Layer 7
Web DDoS Koruması
- Layer 7
- HTTP/HTTPS
- WAF
- Bot filtreleme
- Web uygulamaları
Layer 3 / Layer 4 Network DDoS Protection
Ağ DDoS Koruması ile altyapınızı güvence altına alın.
Layer 3 ve Layer 4 DDoS saldırılarına karşı gelişmiş ağ koruması. BGP yönlendirme ve GRE tünelleme ile sunucularınızı taşımadan, mevcut altyapınızı DDOS ARMOR korumasına bağlayın.
- Layer 3 / Layer 4
- BGP yönlendirme
- GRE ile temiz trafik
- Sunucu taşıma gerekmez
- L3 · L4IP, TCP ve UDP katmanında filtreleme
- BGPPrefix duyurusu ile trafik yönlendirme
- GRETemiz trafiğin altyapınıza teslimi
- YerindeSunucularınız ve veri merkeziniz taşınmaz
Mimari
Saldırı trafiğini ağınızdan önce durdurun.
BGP trafiği filtreleme ağımıza yönlendirir, GRE temiz trafiği size taşır. Bir adım seçin; topolojide ilgili bağlantı vurgulanır.
Trafik Yönlendirme
Korunacak prefixleriniz DDOS ARMOR ağından BGP ile duyurulur. İnternetteki yönlendiriciler bu prefixlere giden trafiği filtreleme ağımıza gönderir.
- BGP kontrol düzlemidir: trafiğin hangi yoldan geleceğini belirler
- Prefix sahipliği ve yönlendirme kayıtları kurulumdan önce kontrol edilir
- IPv4 duyurularında genel kabul gören en küçük blok genellikle /24'tür
Saldırı kapsamı
Layer 3 ve Layer 4 saldırı matrisi
Ağ DDoS Koruması IP ve taşıma katmanındaki saldırıları hedefler. Kesin kapsam paket kaydında ve kurulum belgesinde yazılı olarak belirlenir; ürün kaydında yazılı olan türler kartta işaretlenir.
Layer 3 · Ağ katmanı
ICMP Flood
Yoğun ICMP echo ve kontrol mesajlarıyla hat ve işlemci kapasitesini tüketmeye çalışır. Protokol ve oran sınırlarıyla değerlendirilir.
IP Fragmentation
Birleştirilemeyen veya üst üste binen IP parçalarıyla yeniden birleştirme kaynaklarını tüketir. Parça bütünlüğü ve oranı denetlenir.
Hacimsel ağ saldırıları
Bağlantı kapasitenizi doldurmayı hedefleyen yüksek hacimli trafik. Hattınıza ulaşmadan filtreleme ağında karşılanması hedeflenir; hacim paket kapasitesine bağlıdır.
Diğer IP katmanı saldırıları
Sahte kaynak adresli trafik ve geçersiz başlıklı paketler gibi vektörler. Kapsam, trafik profilinize göre kurulumda belirlenir.
Kurulumda değerlendirilir
Layer 4 · Taşıma katmanı
UDP Flood
Rastgele veya hedefli portlara yoğun UDP paketi gönderir. Port, oran ve paket yapısına göre ayrıştırılır.
TCP SYN Flood
Tamamlanmayan bağlantı istekleriyle durum tablolarını doldurur. Yarım açık bağlantılar sunucunuza ulaşmadan değerlendirilir.
TCP ACK Flood
Bağlantı durumuna uymayan ACK paketleriyle durum kontrolünü yorar. Oturumla eşleşmeyen paketler ayrıştırılır.
TCP Connection Exhaustion
Tamamlanmış ama boşta tutulan bağlantılarla bağlantı sınırlarını tüketir. Kaynak başına bağlantı ve oran politikalarıyla sınırlanır.
DNS / NTP Amplification
Sahte kaynaklı küçük isteklere açık sunucuların verdiği büyük yanıtlar hedefe yansıtılır. Yansıma trafiği kaynak port ve profiline göre ayrılır.
Diğer protokol saldırıları
Diğer UDP yansıtma türleri ve protokole özgü taşkınlar. Kapsam, servisleriniz ve portlarınıza göre kurulumda belirlenir.
Kurulumda değerlendirilir
HTTP isteklerini inceleyen WAF, bot filtreleme ve tarayıcı doğrulaması bu hizmetin parçası değildir; bunlar Web DDoS Koruması'ndadır. Web DDoS Koruması
Uzaktan koruma
Sunucularınız yerinde kalsın. Korumanız DDOS ARMOR'dan gelsin.
Müşterilerimiz mevcut veri merkezlerini veya sunucularını değiştirmeden, uygun ağ yapılandırmaları üzerinden DDOS ARMOR'un L3/L4 koruma altyapısından yararlanabilir.
Bugün
- İnternet
- Hattınız
- Sunucularınız
Saldırı trafiği doğrudan sizin hattınıza iner.
DDOS ARMOR ile
- İnternet
- DDOS ARMOR
- GRE
- Sunucularınız
Saldırı filtreleme ağında kalır, temiz trafik tünelle size gelir.
Uzaktan DDoS koruması
Sunucularınız başka bir veri merkezinde kalır; filtreleme DDOS ARMOR ağındaki noktalarda yapılır.
BGP yönlendirme
Uygun prefixleriniz BGP ile DDOS ARMOR üzerinden duyurulur ve gelen trafik filtreleme ağına çekilir.
GRE tünel ile teslim
Temizlenen trafik GRE tüneliyle router'ınızdaki tünel uç noktasına iletilir.
Layer 3 ve Layer 4 filtreleme
IP, TCP ve UDP katmanındaki saldırı trafiği protokol ve davranış kurallarıyla ayrıştırılır.
Ağ trafiği kontrolü
IP, ülke ve ASN kurallarını öncelik sırasıyla yazarak hangi trafiğin kabul edileceğini belirlersiniz.
Mevcut altyapıyla uyum
GRE destekleyen router veya güvenlik duvarı olan altyapılar donanım değiştirmeden bağlanabilir; uyumluluk kurulumdan önce kontrol edilir.
Paketler
Ağ DDoS Koruması paketleri
Korunan bant genişliğini Gbit/s olarak seçin; fiyat seçtiğiniz kapasiteye göre hesaplanır ve 10 Tbit/s'e kadar ölçeklenir. Sipariş, özel görüşme sonrasında ekibimiz tarafından açılır.
L3 · L4
Ağ DDoS Koruması
Korunan bant genişliğini 10 Gbit/s bloklar hâlinde seçin. Her blok $50 / ay; 10 Tbit/s kapasiteye kadar ölçeklenir.
Korunan bant genişliği10 blok × $50Gbit/s$500/ ay
Bu hizmet özel görüşme sonucunda sağlanmaktadır. BGP ve GRE yapılandırması, ağ uygunluk kontrolünden sonra ekibimizle birlikte devreye alınır.
Paket parametreleri
- Korunan bant genişliği
- 100 Gbit/s
- Ölçeklenebilir kapasite
- 10 Tbit/s'e kadar
- Fiyat birimi
- $50 / 10 Gbit/s / ay
Aşağıdaki parametreler ağ uygunluk kontrolünde yazılı olarak belirlenir:
- IP / prefix kapsamı
- GRE bağlantısı
- BGP yönlendirme
- Saldırı kapsamı
- Trafik politikaları
- Destek seviyesi
- Kurulum gereksinimleri
Teknik entegrasyon
Kurulum dört adımda tamamlanır
Bağlantı modeli ağınıza göre belirlenir. Aşağıdaki adımlar ve teknik notlar, ağ ekibinizin kurulum öncesi neyi hazırlaması gerektiğini gösterir.
- 01
Hizmet ve IP kapsamı
Korunacak prefixler, TCP/UDP servisleri ve portlar ile trafik profiliniz birlikte çıkarılır.
- 02
Ağ uygunluk kontrolü
Prefix sahipliği, IRR ve RPKI kayıtları, gerekiyorsa yetki belgesi (LOA), router'ınızın GRE desteği ve MTU yapısı incelenir.
- 03
BGP ve GRE yapılandırması
Prefix duyuru planı hazırlanır; temiz trafik teslimi gerekiyorsa GRE tünel uç noktaları iki tarafta yapılandırılır.
- 04
Test ve devreye alma
Tünel, MTU/MSS ve yönlendirme testleri tamamlandıktan sonra prefix duyurusu açılır ve koruma devreye alınır.
Ağ ekibiniz için teknik notlar
- ASN ve IP prefix gereksinimi
- Kendi ASN'iniz ve prefixiniz varsa duyuru sizin yetkinizle DDOS ARMOR üzerinden yapılabilir. ASN'iniz veya size ait bir IP bloğunuz yoksa bu durum otomatik desteklenmez; uygun bir model olup olmadığı ayrıca değerlendirilir.
- GRE tünel uç noktası
- Tünelin bir ucu DDOS ARMOR filtreleme ağında, diğer ucu sizin router veya güvenlik duvarınızdadır. Uç noktalar sabit ve erişilebilir IP adresleri kullanır; tünel kaynak adresi korunan prefixin dışında tutulur.
- MTU ve MSS uyumu
- GRE her pakete ek başlık ekler. Tünel MTU'su ve TCP MSS değeri buna göre düşürülür; MSS clamping ve parçalanma davranışı kurulumda test edilir.
- Temiz trafiğin dönüş yolu
- Sunucularınızın yanıtları çoğu modelde kendi internet çıkışınızdan doğrudan gider; bazı modellerde tünelden döner. Kullanılacak yol ve kaynak adres filtreleri (uRPF, BCP 38) kurulumda birlikte belirlenir.
- BGP oturumu GRE tüneli değildir
- BGP prefixlerin nasıl duyurulacağını belirleyen kontrol düzlemidir; GRE temiz paketleri taşıyan veri düzlemidir. Kurulum modeline göre BGP oturumu tünel içinden veya ayrı bir bağlantı üzerinden kurulabilir.
Ek başlık · 24 BTünel MTU · 1500 − 24 = 1476 B
- Ek başlık
- 20 + 4 = 24 B
- Tünel MTU
- 1500 − 24 = 1476 B
- TCP MSS
- 1476 − 40 = 1436 B
IPv4 üzerinde anahtarsız GRE örneği. Gerçek değerler hattınıza göre kurulumda doğrulanır.
- Kontrol düzlemiBGPPrefix duyurusu · trafiğin yolu
- Veri düzlemiGREKapsülleme · temiz paket teslimi
Doğru ürün
Web Koruması mı, Ağ Koruması mı?
İki ürün farklı katmanlarda çalışır ve birbirinin yerine geçmez.
Layer 3 / Layer 4 Bu sayfa
Ağ DDoS Koruması
- Layer 3 / Layer 4
- TCP/UDP
- IP ve protokol tabanlı saldırılar
- BGP yönlendirme
- GRE tünel üzerinden temiz trafik teslimi
- Sunucular ve ağ altyapıları
- Web DDoS Koruması HTTP isteklerini inceler; oyun sunucusu, DNS, VPN veya özel TCP/UDP servislerinizi korumaz.
- Ağ DDoS Koruması IP trafiğini L3/L4 seviyesinde filtreler; HTTP isteklerinin içeriğini, WAF kurallarını veya bot doğrulamasını değerlendirmez.
- Hem web siteniz hem de kendi IP bloğunuzda çalışan servisleriniz varsa iki koruma birlikte kullanılabilir.
Kullanım alanları
Kimler için uygun?
Ağ DDoS Koruması, trafiği IP ve port seviyesinde korunması gereken altyapılar için tasarlanır.
Hosting sağlayıcıları
Müşteri sunucularının bulunduğu prefixleri tek noktadan korumaya alın; tek bir müşteriye gelen saldırı tüm hattınızı doldurmasın.
Veri merkezleri
Uplink ve donanım düzeninizi değiştirmeden saldırı trafiğini veri merkezinize girmeden önce filtreleme ağında karşılayın.
Dedicated sunucu sahipleri
Başka bir sağlayıcıdaki fiziksel sunucularınız için temiz trafiği GRE tüneliyle alın. Uygunluk IP kapsamına ve sağlayıcınızın ağına bağlıdır.
Ağ operatörleri
Kendi ASN'iniz ve prefix planınızla uyumlu bir koruma modeli ağ ekibimizle birlikte tasarlanır.
Kurumsal altyapılar
VPN, e-posta, ses ve özel TCP/UDP servisleriniz gibi web dışı hizmetlerinizi L3/L4 seviyesinde korumaya alın.
Oyun ve gerçek zamanlı servisler
UDP ağırlıklı oyun ve gerçek zamanlı servislerde saldırı trafiğini oyuncu trafiğinden ayırmayı hedefleyin.
Ağ DDoS Koruması Nedir?
Ağ DDoS Koruması, saldırıları IP ve taşıma katmanında karşılayan bir hizmettir. L3 DDoS koruması ICMP taşkınları, IP parçalama ve hacimsel saldırılar gibi ağ katmanı vektörlerini; L4 DDoS koruması ise UDP flood, TCP SYN ve ACK flood ile amplifikasyon saldırılarını hedefler.
Web uygulama korumasından farkı, HTTP isteklerinin içeriğine değil paketlerin kendisine bakmasıdır. Bu yüzden oyun sunucuları, DNS, VPN ve özel TCP/UDP servisleri gibi web dışı altyapılar için Layer 3 DDoS koruması ve Layer 4 DDoS koruması birlikte değerlendirilir.
- IP, TCP ve UDP katmanı
- Web dışı servisler
- Paket seviyesinde filtreleme
- Kapsam pakette yazılı
BGP DDoS Koruması ve GRE Tünel Nasıl Birlikte Çalışır?
BGP DDoS koruması modelinde prefixleriniz DDOS ARMOR ağından duyurulur ve internetteki trafik filtreleme ağımıza gelir. BGP burada yalnızca yönlendirmeyi yapar; paketleri taşımaz.
Temizlenen trafik GRE tünel koruması ile, yani GRE kapsüllemesiyle, router'ınızdaki tünel uç noktasına iletilir. Böylece sunucularınızı taşımadan mevcut veri merkezinizde korunmaya devam edersiniz. Kurulumdan önce prefix uygunluğu, GRE desteği ve MTU yapısı kontrol edilir.
- BGP: kontrol düzlemi
- GRE: veri düzlemi
- Sunucu taşıma yok
- Uygunluk kontrolü
DDoS Koruması Satın Alırken Nelere Dikkat Edilmeli?
DDoS koruması satın almadan önce paketin temiz trafik kapasitesini, koruma kapasitesini, kapsanan IP ve prefixleri, GRE teslim seçeneğini ve destek seviyesini yazılı olarak görün. Bu değerler pakete ve kurulum modeline göre değişir.
Kendi ASN'iniz ve IP bloğunuz yoksa hangi modelin uygun olduğunu baştan netleştirin. Ağ ekibinizin router'ında GRE desteğini, MTU/MSS ayarlarını ve dönüş trafiği yolunu kurulumdan önce kontrol etmesi, devreye alma sürecini kısaltır.
- Kapasite yazılı olmalı
- ASN ve prefix durumu
- GRE ve MTU uyumu
- Destek seviyesi
SSS
Ağ DDoS Koruması: Sık Sorulan Sorular
BGP, GRE, uygunluk ve satın alma hakkında merak edilenler.
Layer 3 ve Layer 4 seviyesindeki DDoS saldırılarını, trafiği DDOS ARMOR filtreleme ağına yönlendirerek karşılayan hizmettir. Saldırı paketleri ağımızda düşürülür, temiz trafik altyapınıza iletilir.
Hayır. Uygun ağ yapılandırmalarında trafik BGP ile filtreleme ağımıza yönlendirilir ve temiz trafik GRE tüneliyle mevcut veri merkezinize iletilir. Uygunluk kurulumdan önce kontrol edilir.
BGP prefixlerinizin nasıl duyurulacağını ve trafiğin hangi yoldan geleceğini belirleyen kontrol düzlemidir. GRE ise temiz paketleri kapsülleyerek router'ınıza taşıyan veri düzlemidir. BGP oturumu GRE tünelinin kendisi değildir.
Bu durum otomatik olarak desteklenmez. Hangi modelin uygun olduğu IP kapsamınıza ve mevcut sağlayıcınızın ağına göre ayrıca değerlendirilir. Satış ekibimizle görüşerek durumunuzu iletebilirsiniz.
Hizmet ICMP flood, IP parçalama, hacimsel saldırılar, UDP flood, TCP SYN/ACK flood, bağlantı tüketme ve DNS/NTP amplifikasyonu gibi L3/L4 vektörlerini hedefler. Kesin kapsam ve kapasite paket kaydında ve kurulum belgesinde yazılı olarak belirlenir.
Fiyat korunan bant genişliğine göre belirlenir: her 10 Gbit/s blok aylık 50 USD'dir. 10 Gbit/s ile 10 Tbit/s arasında istediğiniz kapasiteyi seçebilirsiniz; yıllık ödemede %10 indirim uygulanır.
Yalnızca HTTP/HTTPS üzerinden çalışan bir web siteniz varsa Web DDoS Koruması uygundur. Kendi IP bloğunuzda TCP/UDP servisleri, oyun sunucuları veya ağ altyapısı varsa Ağ DDoS Koruması gerekir. İkisi birlikte de kullanılabilir.
Ödeme sonrası hizmet müşteri panelinizde açılır. BGP ve GRE yapılandırması ile trafik testleri, ağ uygunluk kontrolünden sonra ekibimizle birlikte tamamlanır. Süre ağ yapınıza bağlıdır.
GRE her pakete ek başlık eklediği için tünel MTU'su ve TCP MSS değeri genellikle düşürülür. Doğru değerler ve MSS clamping ayarı kurulum testlerinde birlikte belirlenir.
Ağınızı L3/L4 saldırılarına hazırlayın
Bu hizmet özel görüşme sonucunda sağlanmaktadır. Ağ yapınızı paylaşın, uygunluk kontrolünden sonra korumayı birlikte devreye alalım.