DDoS Korumalı Metin2 Sunucu

Metin2 Sunucuları Neden Saldırı Hedefi Olur?

Metin2 özel sunucu ortamında saldırı, dışarıdan gelen rastgele bir tehdit değildir. Kaynağı genellikle rekabettir: oyuncu sayınız arttıkça rakip sunucu sahiplerinin dikkatini çekersiniz.

Saldırıların zamanlaması bunu doğrular. Çoğu akşam saatlerinde, hafta sonu ve etkinlik zamanlarında gelir — yani oyuncu yoğunluğunuzun en yüksek olduğu anlarda. Tesadüf değil; hasarın en büyük olacağı an bilinçli seçilir.

Bir de "test saldırısı" olgusu var: yeni açılan sunucular kısa süreli, düşük hacimli saldırılarla yoklanır. Korumasız olduğunuz anlaşılırsa asıl saldırı gelir.

Oyun Sunucularına Yönelik Saldırı Türleri

Bu türler farklı savunma gerektirir. Yalnızca hacim filtreleyen bir sistem, uygulama katmanı saldırısını fark etmez; yalnızca bağlantı sayısına bakan bir sistem UDP flood karşısında çaresizdir.

Neden Genel Amaçlı Koruma Yetmez?

Bir web sitesini korumakla oyun sunucusunu korumak aynı iş değildir. Web trafiği çoğunlukla TCP üzerinden, tahmin edilebilir kalıplarla akar. Oyunlar ise UDP kullanır ve saniyede çok sayıda küçük paket gönderir.

Genel amaçlı bir DDoS filtresi için bu trafik saldırıya benzer: yüksek paket sayısı, küçük boyut, sürekli akış. Filtre bunu engellediğinde saldırı durur ama oyuncular da bağlanamaz. Koruma satın alan sunucu sahiplerinin en sık yaşadığı hayal kırıklığı budur.

Metin2 genellikle UDP ve TCP 13000-14000 aralığını kullanır. Bu aralığın oyun protokolüne göre değerlendirilmesi gerekir: paket boyutu, gönderim sıklığı ve el sıkışma davranışı normal web kurallarıyla değil, oyunun kendi davranışıyla karşılaştırılmalıdır.

Trafik Temizleme Nasıl Çalışır?

Koruma, trafiği sunucunuza ulaşmadan önce bir temizleme merkezinden (scrubbing center) geçirerek çalışır. Süreç şöyle işler:

1. 1

   İzleme

   Gelen trafik sürekli ölçülür. Normal davranışın dışına çıkan hacim veya kalıp tespit edilir.

2. 2

   Yönlendirme

   Anormallik saptandığında trafik temizleme merkezine yönlendirilir.

3. 3

   Ayıklama

   Saldırı paketleri ile gerçek oyuncu paketleri ayrıştırılır. Oyun protokolüne özel kurallar burada devreye girer.

4. 4

   Teslim

   Temizlenmiş trafik sunucunuza iletilir. Oyuncular çoğu zaman bir şey olduğunu fark etmez.

5. 5

   Normalleşme

   Saldırı sona erdiğinde trafik normal yoluna döner.

Kritik olan müdahale süresidir. Saldırı başladıktan sonra korumanın devreye girmesi dakikalar alıyorsa, oyuncular o süre boyunca kopmuş olur. Otomatik tespit ve saniyeler içinde müdahale, dakikalar süren manuel süreçten çok farklı bir deneyim üretir.

Koruma Kapasitesi Ne Anlama Geliyor?

Sağlayıcılar korumayı Gbps veya Tbps cinsinden ifade eder. Bu rakam, temizleme altyapısının aynı anda işleyebileceği saldırı trafiğinin üst sınırıdır.

Kapasitenin yanı sıra sınır aşıldığında ne olduğu da sorulmalıdır. Bazı sağlayıcılar bu noktada IP adresinizi karadeliğe alır (null route): saldırı durur ama sunucunuz da erişilemez hale gelir. Bu, korumanın olmaması ile aynı sonucu doğurur.

Saldırı Altında Olduğunuzu Nasıl Anlarsınız?

• Oyuncular toplu halde kopuyor ama panel sunucunun çalıştığını gösteriyor.
• Gelen trafik normalin kat kat üstünde ama oyuncu sayısı artmamış.
• Sunucuya SSH ile bağlanmak bile zorlaşıyor.
• İşlemci ve bellek kullanımı normal, buna rağmen erişim yok.
• Belirli saatlerde tekrarlıyor — özellikle akşam ve etkinlik zamanlarında.

Dördüncü madde en ayırt edici olanıdır: kaynak kullanımı normalken erişim yoksa sorun sunucuda değil, hattadır. Bu, saldırının en net göstergesidir ve sunucuyu yeniden başlatmanın işe yaramayacağı anlamına gelir.

Saldırı Sırasında Ne Yapmalı, Ne Yapmamalı?

Kendi Tarafınızda Alabileceğiniz Önlemler

• Gerçek sunucu IP adresinizi gizli tutun. Web siteniz ayrı bir IP üzerinden yayınlanabilir; böylece site üzerinden sunucu adresiniz keşfedilemez.
• Yalnızca kullandığınız portları açın. Gereksiz açık port, saldırı yüzeyi demektir.
• Yönetim panellerini herkese açık bırakmayın. IP kısıtı veya VPN arkasına alın.
• Bot girişlerine karşı doğrulama ekleyin. Kayıt ve giriş formlarında basit bir kontrol, otomatik denemeleri ciddi oranda azaltır.
• Yazılımları güncel tutun. Bilinen açıklar üzerinden yapılan saldırılar hacim gerektirmez.
• Yedeklerinizi düzenli alın. Taşınma gerekirse hızlı davranmanızı sağlar.

DDoS Konusunda Yapılan Yaygın Hatalar

• "Küçük sunucuyum, kimse saldırmaz" varsayımı. Yoklama saldırıları büyüklüğe bakmaz.
• Korumayı saldırı geldikten sonra aramak. O aşamada oyuncular çoktan kopmuştur.
• Kapasiteyi sormadan "DDoS korumalı" ifadesine güvenmek. 10 Gbps ile 1 Tbps arasında büyük fark var.
• Oyun protokolüne özel filtreleme olup olmadığını sormamak. Genel filtre oyuncuları da engelleyebilir.
• Sunucu IP adresini forumlarda paylaşmak. Saldırganın işini kolaylaştırır.
• Sınır aşımı politikasını bilmemek. Null route uygulanıyorsa koruma etkisiz kalır.