DDoS Korumalı Metin2 Sunucu

Metin2 Sunucuları Neden Saldırı Hedefi Olur?

Metin2 özel sunucu ortamında saldırı, dışarıdan gelen rastgele bir tehdit değildir. Kaynağı genellikle rekabettir: oyuncu sayınız arttıkça rakip sunucu sahiplerinin dikkatini çekersiniz.

Saldırıların zamanlaması bunu doğrular. Çoğu akşam saatlerinde, hafta sonu ve etkinlik zamanlarında gelir — yani oyuncu yoğunluğunuzun en yüksek olduğu anlarda. Tesadüf değil; hasarın en büyük olacağı an bilinçli seçilir.

Bir de "test saldırısı" olgusu var: yeni açılan sunucular kısa süreli, düşük hacimli saldırılarla yoklanır. Korumasız olduğunuz anlaşılırsa asıl saldırı gelir.

Oyun Sunucularına Yönelik Saldırı Türleri

Bu türler farklı savunma gerektirir. Yalnızca hacim filtreleyen bir sistem, uygulama katmanı saldırısını fark etmez; yalnızca bağlantı sayısına bakan bir sistem UDP flood karşısında çaresizdir.

Neden Genel Amaçlı Koruma Yetmez?

Bir web sitesini korumakla oyun sunucusunu korumak aynı iş değildir. Web trafiği çoğunlukla TCP üzerinden, tahmin edilebilir kalıplarla akar. Oyunlar ise UDP kullanır ve saniyede çok sayıda küçük paket gönderir.

Genel amaçlı bir DDoS filtresi için bu trafik saldırıya benzer: yüksek paket sayısı, küçük boyut, sürekli akış. Filtre bunu engellediğinde saldırı durur ama oyuncular da bağlanamaz. Koruma satın alan sunucu sahiplerinin en sık yaşadığı hayal kırıklığı budur.

Metin2 genellikle UDP ve TCP 13000-14000 aralığını kullanır. Bu aralığın oyun protokolüne göre değerlendirilmesi gerekir: paket boyutu, gönderim sıklığı ve el sıkışma davranışı normal web kurallarıyla değil, oyunun kendi davranışıyla karşılaştırılmalıdır.

Trafik Temizleme Nasıl Çalışır?

Koruma, trafiği sunucunuza ulaşmadan önce bir temizleme merkezinden (scrubbing center) geçirerek çalışır. Süreç şöyle işler:

1. 1

   İzleme

   Gelen trafik sürekli ölçülür. Normal davranışın dışına çıkan hacim veya kalıp tespit edilir.

2. 2

   Yönlendirme

   Anormallik saptandığında trafik temizleme merkezine yönlendirilir.

3. 3

   Ayıklama

   Saldırı paketleri ile gerçek oyuncu paketleri ayrıştırılır. Oyun protokolüne özel kurallar burada devreye girer.

4. 4

   Teslim

   Temizlenmiş trafik sunucunuza iletilir. Oyuncular çoğu zaman bir şey olduğunu fark etmez.

5. 5

   Normalleşme

   Saldırı sona erdiğinde trafik normal yoluna döner.

Kritik olan müdahale süresidir. Saldırı başladıktan sonra korumanın devreye girmesi dakikalar alıyorsa, oyuncular o süre boyunca kopmuş olur. Otomatik tespit ve saniyeler içinde müdahale, dakikalar süren manuel süreçten çok farklı bir deneyim üretir.

Koruma Kapasitesi Ne Anlama Geliyor?

Sağlayıcılar korumayı Gbps veya Tbps cinsinden ifade eder. Bu rakam, temizleme altyapısının aynı anda işleyebileceği saldırı trafiğinin üst sınırıdır.

Kapasitenin yanı sıra sınır aşıldığında ne olduğu da sorulmalıdır. Bazı sağlayıcılar bu noktada IP adresinizi karadeliğe alır (null route): saldırı durur ama sunucunuz da erişilemez hale gelir. Bu, korumanın olmaması ile aynı sonucu doğurur.

Saldırı Altında Olduğunuzu Nasıl Anlarsınız?

• Oyuncular toplu halde kopuyor ama panel sunucunun çalıştığını gösteriyor.
• Gelen trafik normalin kat kat üstünde ama oyuncu sayısı artmamış.
• Sunucuya SSH ile bağlanmak bile zorlaşıyor.
• İşlemci ve bellek kullanımı normal, buna rağmen erişim yok.
• Belirli saatlerde tekrarlıyor — özellikle akşam ve etkinlik zamanlarında.

Dördüncü madde en ayırt edici olanıdır: kaynak kullanımı normalken erişim yoksa sorun sunucuda değil, hattadır. Bu, saldırının en net göstergesidir ve sunucuyu yeniden başlatmanın işe yaramayacağı anlamına gelir.

Saldırı Sırasında Ne Yapmalı, Ne Yapmamalı?

Kendi Tarafınızda Alabileceğiniz Önlemler

• Gerçek sunucu IP adresinizi gizli tutun. Web siteniz ayrı bir IP üzerinden yayınlanabilir; böylece site üzerinden sunucu adresiniz keşfedilemez.
• Yalnızca kullandığınız portları açın. Gereksiz açık port, saldırı yüzeyi demektir.
• Yönetim panellerini herkese açık bırakmayın. IP kısıtı veya VPN arkasına alın.
• Bot girişlerine karşı doğrulama ekleyin. Kayıt ve giriş formlarında basit bir kontrol, otomatik denemeleri ciddi oranda azaltır.
• Yazılımları güncel tutun. Bilinen açıklar üzerinden yapılan saldırılar hacim gerektirmez.
• Yedeklerinizi düzenli alın. Taşınma gerekirse hızlı davranmanızı sağlar.

DDoS Konusunda Yapılan Yaygın Hatalar

• "Küçük sunucuyum, kimse saldırmaz" varsayımı. Yoklama saldırıları büyüklüğe bakmaz.
• Korumayı saldırı geldikten sonra aramak. O aşamada oyuncular çoktan kopmuştur.
• Kapasiteyi sormadan "DDoS korumalı" ifadesine güvenmek. 10 Gbps ile 1 Tbps arasında büyük fark var.
• Oyun protokolüne özel filtreleme olup olmadığını sormamak. Genel filtre oyuncuları da engelleyebilir.
• Sunucu IP adresini forumlarda paylaşmak. Saldırganın işini kolaylaştırır.
• Sınır aşımı politikasını bilmemek. Null route uygulanıyorsa koruma etkisiz kalır.

Saldırı Bittikten Sonra Ne Yapmalı?

Saldırı durduğunda iş bitmiş olmuyor. O anın kaydını çıkarmak, bir sonraki saldırıda çok daha hazırlıklı olmanızı sağlar. Çoğu sunucu sahibi saldırı geçince rahatlayıp bu adımı atlıyor ve aynı yöntemle tekrar tekrar vuruluyor.

1. 1

   Saldırı raporunu isteyin

   Saldırının başlangıç saati, süresi, hacmi ve türü kayıt altına alınmalı. Bu veriler tekrarlayan saldırılarda kural setini sunucunuza göre ayarlamakta kullanılır.

2. 2

   Gerçek oyuncu etkisini ölçün

   Saldırı sırasında kaç oyuncu düştü, ne kadarı geri döndü? Bu sayı korumanın işe yarayıp yaramadığını gösteren en net ölçüttür.

3. 3

   Sızıntı olup olmadığını kontrol edin

   Bazı saldırılar dikkat dağıtmak için yapılır; asıl amaç o sırada başka bir açıktan girmektir. Saldırı sonrası giriş kayıtlarını ve yetkili hesapları gözden geçirin.

4. 4

   Oyuncularınıza bilgi verin

   Ne olduğunu açıklamak, sunucunun kalitesiz olduğu izlenimini engeller. Sessiz kalmak spekülasyonu büyütür.

Korumanın Maliyeti ve Kesintinin Maliyeti

DDoS koruması bir gider kalemi olarak görülüyor, oysa doğru karşılaştırma korumanın bedeli ile kesintinin bedeli arasında yapılmalı. Bir Metin2 sunucusunda kesintinin faturası yalnızca o günün geliri değildir.

Saldırı riski düşük, yeni açılan bir sunucuda standart paketlerdeki temel koruma yeterli olabilir. Rekabetin sert olduğu ve oyuncu sayısı yüksek sunucularda ise gelişmiş filtreleme, kesinti maliyetinin yanında küçük kalır.

Sağlayıcıya Sorulması Gereken Sorular

"DDoS korumalı" ifadesi tek başına hiçbir şey ifade etmiyor. Aynı ifadeyi kullanan iki sağlayıcı arasında yüz kat kapasite farkı olabilir. Karar vermeden önce şunları sorun:

• Temizleme kapasitesi kaç Gbps veya Tbps? Rakam veremeyen sağlayıcıya dikkat edin.
• Sınır aşıldığında ne oluyor? IP karadeliğe alınıyorsa koruma değil, kapatma yapılıyor demektir.
• Oyun protokolüne özel kural var mı? Genel web filtresi Metin2 trafiğini yanlış okuyabilir.
• Müdahale otomatik mi, manuel onay mı bekliyor? Manuel süreçte saldırı çoktan etkisini gösterir.
• Saldırı raporu paylaşılıyor mu? Rapor yoksa tekrarlayan saldırıya karşı öğrenme olmaz.
• Koruma web paneline de uygulanıyor mu? Oyun ayakta kalıp site düşerse satış yine durur.

Sözleşmede aranacak diğer maddeleri Metin2 sunucu kiralama sözleşmesi yazımızda topladık.

Koruma Dışında Sunucu Tarafında Yapılabilecekler

Ağ seviyesindeki filtreleme hacim tabanlı saldırıları durdurur, ancak sunucunuzun kendi yapılandırması da saldırı yüzeyini belirler. Aşağıdakiler koruma paketinden bağımsız olarak her sunucuda yapılmalıdır.

Port ve güvenlik duvarı yapılandırmasının adımlarını Metin2 sunucu portları ve güvenlik duvarı rehberimizde anlattık.