JetSunucum Edge — 7/24 Aktif Koruma

DDoS Koruması
Pletx XDP · Northshield · Gcore

JetSunucum Edge; kernel seviyesinde çalışan Pletx XDP, protokol katmanında Northshield SYN Proxy ve global Gcore BGP Anycast ağından oluşan 3 bağımsız koruma sistemini tek mimaride birleştirir. UDP flood, SYN flood, DNS/NTP amplifikasyon ve HTTP flood saldırıları sunucunuza ulaşmadan temizlenir. Tüm VDS paketlerinde ek ücret olmadan standarttır.

Pletx XDP Kernel · eBPF Northshield SYN Proxy Gcore 20+ Tbps Anycast

Korumalı Sunucu Al Korumayı Canlı İzle

Canlı Koruma Akışı

SYN Flood sonlandırıldıNorthshield

DNS Amplifikasyon emildiGcore

UDP Flood imha edildiPletx XDP

20+ Tbps

Gcore Anycast Kapasitesi

<1μs

Pletx XDP Karar Süresi

3 Sistem

Bağımsız Koruma Katmanı

7/24

Otomatik Saldırı Tespiti

Canlı Paket Akışı

Trafik, Sunucunuza Ulaşmadan Temizlenir

Her paket JetSunucum Edge hattından sırayla geçer. Saldırı paketleri ait oldukları katmanda imha edilir; meşru trafik kesintisiz olarak sunucunuza ulaşır. Bir katmanın gözden kaçırdığını bir sonraki yakalar.

İnternet

Ham trafik

Gcore Anycast

L3 · 20+ Tbps

Northshield

L4 · SYN Proxy

Pletx XDP

Kernel · eBPF

Sunucunuz

Korumalı

0Engellenen paket

0Gcore'da imha

0Northshield'de imha

0Pletx XDP'te imha

0İletilen meşru paket

Görselleştirme ve sayaçlar temsilidir; canlı ortam trafiği değildir.

Canlı Veriler

4.1 Tbps Gerçek Saldırı — Engellendi

Gcore anycast ağı üzerinden gelen volumetrik saldırı dalgası. Grafik, JetSunucum Edge sisteminin saldırı boyunca meşru trafiği kesintisiz iletmeye devam ettiğini göstermektedir.

Engellenen / Geçen Trafik (bps) — JetSunucum Edge

Max: 4.1 Tbps engellendi Meşru trafik korundu

Engellenen saldırı trafiği (B dropped-bps) Geçen meşru trafik (A passed-bps) JetSunucum Edge · Gcore Anycast · Pletx XDP

Koruma Katmanları

3 Katmanlı Koruma Mimarisi

Her saldırı tipi farklı bir katmanda engellenir. Sistemler bağımsız çalışır — biri geçirirse diğeri yakalar.

Katman 1

Pletx XDP

eBPF · Kernel-Level · Inline

NIC sürücüsünde çalışır — sk_buff tahsisi olmadan XDP_DROP ile paket imha edilir
eBPF JIT-derlenmiş kurallar runtime'da güncellenir, yeniden başlatma gerekmez
UDP flood, port tarama ve spoofed kaynak IP saldırılarını doğrudan donanımda engeller
Temiz trafik için XDP_PASS — gecikme sıfır, normal operasyon etkilenmez

Hook NoktasıXDP_DRIVER

Karar Süresi<1 μs

Kural MotorueBPF JIT

OverheadSıfıra Yakın

Katman 2

Northshield

SYN Proxy · DPI · Behavioral AI

SYN Proxy: TCP el sıkışmasını sunucu adına tamamlar — SYN flood'u tamamen etkisiz kılar
Stateful tracking: orphan ACK/RST, window anomalileri ve sequence saldırıları tespit edilir
IP itibar veritabanı: bilinen botnet ve zararlı kaynaklar gerçek zamanlı engellenir
DPI motoru: DNS, NTP, Memcached amplifikasyon yanıtları tespit ve drop edilir

TCP KorumasıSYN Proxy + Cookie

AmplifikasyonDNS · NTP · SSDP

IP İtibarGerçek Zamanlı

AnalizDPI + Behavioral

Katman 3

Gcore Anycast

BGP Anycast · 180+ PoP · 20+ Tbps

BGP Anycast: IP bloğu 180+ PoP'tan eş zamanlı duyurulur — saldırı coğrafi dağılımla emilir
1 Tbps saldırı 10 PoP'a dağılınca her noktaya 100 Gbps düşer — hiçbir nokta aşılmaz
GRE tüneli: temiz trafik Gcore PoP'undan origin'e iletilir — gerçek IP gizli kalır
Normal operasyonda Gcore bypass edilir — yalnızca saldırı sırasında devreye girer

YönlendirmeBGP Anycast

Kapasite20+ Tbps

Temiz TrafikGRE Tüneli

PoP Sayısı180+ Global

Saldırı Tipleri

Her Saldırı Hangi Sistemle Bloklanır?

Saldırı Tipi	Pletx XDP	Northshield	Gcore
UDP Flood	Kaynak IP başına rate-limit; eşik aşıldığında XDP_DROP ile sk_buff tahsisi yapılmadan drop	Geo-bazlı filtreleme, IP itibar skoru	BGP anycast ile PoP'lara dağıtılır, absorbe edilir
SYN Flood	SYN cookie doğrulaması — geçerli istemci TCP handshake'i tamamlayabilmeli	SYN Proxy: Northshield handshake'i tamamlar; gerçek sunucuya yalnızca doğrulanan oturumlar gider	PoP seviyesinde rate-limit
DNS Amplifikasyon	Karşılıksız gelen büyük UDP DNS yanıtları (asimetrik akış) XDP_DROP	DNS yanıt trafiğini kaynak/hedef oranına göre filtreler	DNS flood trafiğini PoP'ta absorbe eder
NTP Amplifikasyon	UDP port 123 kaynaklı anormal büyük paketleri XDP_DROP	NTP monlist yanıtı imzasını tespit edip engeller	Volumetrik absorpsiyon
ICMP Flood	Kaynak IP başına ICMP rate-limit; eşik aşılınca XDP_DROP	ICMP oranını protokol bazında sınırlar	Anycast absorpsiyonu
ACK / RST Flood	Stateful XDP: karşılığı olmayan (orphan) ACK/RST paketleri drop	Stateful connection table — geçerli oturum yoksa RST/ACK geçemez	Kısıtlı (PoP rate-limit)
Slowloris	IP başına maksimum eş zamanlı bağlantı limiti; uzun süreli yarım bağlantılar drop	HTTP bağlantı zaman aşımı, proxy tabanlı tespit	L7 değil
HTTP Flood (GET/POST)	IP başına yeni TCP bağlantı hızını sınırlar	HTTP istek rate-limit, User-Agent / fingerprint bazlı bot tespiti	Kısıtlı CDN cache yardımı
Memcached Amp	UDP 11211 kaynaklı anormal büyük yanıtlar XDP_DROP	Memcached yanıt imzası tespiti + kaynak filtreleme	Volumetrik absorpsiyon

JetSunucum Tabanlı XDP

XDP Neden Geleneksel Çözümlerden Çok Daha Hızlı?

Geleneksel iptables ve nftables bazlı DDoS çözümleri Linux kernel ağ yığınının ortasında çalışır: paket önce NIC'ten alınır, sk_buff yapısı için bellek tahsis edilir, IP yığınından geçirilir, netfilter'a iletilir ve ancak orada bir kural eşleşmesi aranır. 10 Mpps (saniyede 10 milyon paket) hızındaki bir saldırıda bu sıra ciddi CPU ve bellek baskısı oluşturur.

XDP ise bu yığını tamamen atlar. eBPF programı NIC sürücüsünde çalışır — sk_buff tahsisi bile yapılmadan kararlar verilir. XDP_DROP döndürüldüğünde paketin hiçbir işleme maliyeti yoktur. Bu model, modern 10/25/100 Gbit NIC'lerde saniyede 100+ milyon paket işlemesine olanak tanır.

JetSunucum'da hem Pletx (sunucu kerneli) hem de Northshield (scrubbing merkezi) XDP tabanlıdır. İki bağımsız XDP instance, birbirinden habersiz çalışır — biri güncelleme alırken diğeri korumayı sürdürür. eBPF kuralları bpftool üzerinden canlı güncellenebilir, sunucu yeniden başlatılmaz.

<1μs

Paket kararı

0 alloc

Drop'ta tahsis yok

100 Mpps

İşlem kapasitesi

eBPF JIT

Native kod hızı

LİNUX AĞ YIĞINI — XDP HOOK NOKTASI

Uygulama (User Space)

Nginx, veritabanı, servisler — en üst katman

Socket / sk_buff Tamponu

TCP/UDP soketleri · bellek tahsisi · kernel↔userspace

Kernel Ağ Yığını

IP katmanı · netfilter · nftables · iptables burada

XDP Hook — eBPF Programı ← JetSunucum Burada

Pletx + Northshield · XDP_DROP / XDP_PASS · sk_buff tahsisi yok

JetSunucum Edge

NIC Sürücüsü (mlx5, i40e, ixgbe)

Native XDP destekli driver · XDP_DRIVER modu

Ağ Kartı (NIC)

Fiziksel / sanal ağ adaptörü — paketler buraya gelir

Oyun Koruması

Oyun Sunucunuz İçin Özel Koruma

Her oyunun protokolü ve saldırı yüzeyi farklıdır. JetSunucum Edge, oyun trafiğini tanır ve meşru bağlantıları engellenmeden iletir.

UDP Flood & Amplifikasyon

DNS Amplification — 50x büyütülmüş UDP refleksiyonu Gcore anycast'te sonlanır
NTP Monlist — 700x amplifikasyon Pletx XDP tarafından <1μs'de drop edilir
Meşru UDP trafiği Pletx rate-limit kurallarıyla geçirilir

Katman: Gcore (volumetrik) + Pletx XDP (kernel drop) — birlikte çalışır

SYN Flood & TCP Exhaustion

SYN Flood — yarım TCP bağlantıları Northshield SYN Proxy'de sonlandırılır
ACK/RST Flood — geçersiz flag kombinasyonları Pletx tarafından XDP_DROP
Gerçek TCP el sıkışmaları Northshield onayı ile sunucuya iletilir

Katman: Northshield SYN Proxy — tüm TCP bağlantılarını doğrular

Minecraft Java TCP 25565

Login Bot Flood — binlerce sahte login paketi Northshield behavioral filtre ile kesilir
Ping Flood — saniyede yüzlerce server-list-ping isteği Pletx rate-limit ile drop
Gerçek oyuncu handshake'leri gecikme olmadan geçer

Protokol: Northshield TCP + Pletx bağlantı hızı sınırlama — oyuncu gecikmesi etkilenmez

Minecraft Bedrock UDP 19132

UDP amplifikasyon — spoofed source IP ile yüksek hacimli paketler Gcore'da yok edilir
Raknet bağlantı bombası — geçersiz Raknet header'ları Pletx tarafından XDP_DROP
Geçerli Bedrock bağlantı paketleri port 19132'ye iletilir

Protokol: Pletx XDP UDP filtresi + Gcore anycast dağılımı

FiveM (GTA V) UDP 30120

UDP source spoofing — sahte kaynak IP'li yüksek PPS saldırısı Pletx <1μs drop
Connection request flood — binlerce sahte bağlantı Northshield behavioral ile engel
CitizenFX protokolü trafiği Pletx whitelist ile doğrudan iletilir

Katman: Pletx XDP yüksek PPS filtresi + Northshield bağlantı doğrulama

FiveM — HTTP Panel TCP 30120

HTTP Flood — /info.json, /players.json endpoint'lerine hızlı istekler Northshield DPI filtre
Slowloris — yavaş header gönderimi bağlantı timeout limitleriyle engellenir
Gerçek server browser sorguları gecikmesiz yanıtlanır

Katman: Northshield L7 DPI — uygulama katmanı saldırıları

MTA:SA UDP 22003

UDP kaynak sahteciliği — yüksek PPS spoofed paketler Pletx XDP_DROP <1μs
Amplifikasyon yansıması — büyütülmüş UDP yanıtları Gcore anycast'te emilir
MTA SA-MP protokol paketleri whitelist ile sunucuya iletilir

Protokol: Pletx port 22003 UDP rate-limit + Gcore volumetrik emme

MTA:SA — Server Browser UDP 22126

Server query flood — ASE protokol sorgu bombardımanı Pletx rate-limit ile kesilir
Gerçek server browser listelemesi normal hızda çalışmaya devam eder

Katman: Pletx XDP — port bazlı UDP rate limiting

DDNet (Teeworlds) UDP 8303

Yüksek PPS UDP flood — küçük paketlerle çok yüksek paket/saniye saldırısı Pletx <1μs drop
TOKEN flood — geçersiz Teeworlds token paketleri Pletx eBPF programında filtrele
Geçerli token'lı bağlantılar UDP 8303'e gecikme olmadan ulaşır

Protokol: Pletx XDP eBPF — kernel seviyesi yüksek PPS filtresi (DDNet için en kritik katman)

DDNet — Master Server UDP 8300

Register flood — sahte server kayıt paketleriyle master server üzerindeki trafik Pletx filtre
Gerçek server kayıtları ve browser sorguları geçirilir

Katman: Pletx XDP + Gcore anycast — düşük gecikme kritik

Counter-Strike 2 UDP 27015

Source engine query flood — A2S_INFO, A2S_RULES sorgu bombardımanı Pletx rate-limit
UDP amplifikasyon — spoofed query response amplifikasyonu Gcore'da engellenir
Steam oyuncu trafiği ve GOTV yayını kesintisiz çalışır

Protokol: Pletx XDP Source Engine filtresi + Gcore anycast dağılımı

CS2 — RCON & Steam TCP 27015-27020

RCON brute force — hızlı RCON login denemeleri Northshield bağlantı limiti ile engel
SYN flood — TCP bağlantı seli Northshield SYN Proxy'de sonlandırılır
Yetkili RCON bağlantıları ve Steam P2P trafiği geçer

Katman: Northshield TCP SYN Proxy + Pletx bağlantı hızı limiti

Hangi Paketlerde?