Başımdan geçen hikaye herkesin başına gelebilir..

Geçenlerde google robot.txt dosyanıza ulaşamıyorum diye google 'dan webmaster tools dan mesaj geldi..her türlü şeyi denedim ama yine görmüyor normalde siteismi.com/robots.txt yazıyorum gözüküyor ama ne yazık ki google görmüyor. Neden böyle olduğuna dair.en ufak bir iz yok. Hostingi arıyorum DNS ler düzgün sorun yok diyorlar. Neyse uzatmayacağım.

Tekrar hostingi arayıp biraz üzerlerine gittiğimde olay meydana çıktı...şöyle Hosting şirketi güvenlik nedeniyle yurtdışına çıkış hattını kapatmış yani yurt içerisinde gözüküyor ama yurt dışından siteme ulaşılamıyor. Bunu hostingin bizi uyarması gerekli değilmidir ?

Sizlere önerim uptimerobot gibi ücretiz siteye kayıt olun sitenizim ne zaman kapandığını ve açıldığını öğrenirsiniz. Aslında bende bu siteyi kullanıyorum ama yurt içinde açık olduğu için önemsemedim. Ama sanırım çok uyanık olmak gerekiyor.
Aklınızda bulunsun diye sizlerle paylaşıyorum arkadaşlar..

Merhabalar,

İP size özel ipmiyidi yoksa shared / paylaşımlı ip adresimiydi?

Bende basimdan gecenleri bir anlatsam...Benimde basima gelmisti buna benzer..

Yurtdışından gelebilen yüksek boyutlu saldırılar nedeniyle verimerkezleri otomatik olarak saldırı alan ip adresini yurtdışına kapatabilmektedir. Google botları sitenize yurtdışından eriştiğinden, yurtdışı erişimi kapatıldığında botlarda sitenize erişemeyecektir. Kısa süreli erişemediğinde sıkıntı yaşanmaz ancak bu süre uzadıkça botlar sitenizin kapalı olduğunu düşünerek sitenizi sıralamalardan düşürmeye başlayacaktır.

Darklord (onur) un değindiği gibi, siteniz paylaşımlı bir ip üzerinde yer alıyorsa diğer sitelere gelebilecek olası saldırılarda ip adresi ortak olduğundan o ip üzerindeki tüm sitelerin yurtdışı erişimi kapanacaktır. Siteleriniz için özel ip kullandığınızda diğer sitelere gelebilecek layer4 tipi saldırılardan sizin ip adresiniz etkilenmeyecektir.

Sizinde önerdiğiniz gibi sitelerinizi mutlaka monitörleyin, monitörleme yapmadığınızda yurtdışına erişimin kapanıp kapanmadığını hemen anlayabilmeniz mümkün değildir. Ancak kendiniz google gibi getir yaptığınızda veya yurtdışı proxy ile test ettiğinizde anlarsınız. Google webmaster tools üzerinde site erişim problemi uyarısı gecikmeli çıkmaktadır, aynı şekilde erişim sorunu düzeldiğinde de hatalar geç düzelmektedir.

Uyarma konusuna gelirsek, maalesef birçok yerli verimerkezinde otomasyon zayıflığı olduğundan, bu tür yurtdışı erişim kapatılmasında hosting firmasına herhangi bir bilgi gelmemektedir, yani hosting firmasınında çoğu zaman bu olaydan haberi olmamakta, saldırı geldiğinde erişim otomatik kapanır, saldırı bittiğinde geri açılır, monitörleme yapılmıyorsa fark edilmesi zordur.

Bizde aynı sorunu yaşadık yaşıyoruz da gelirler düştü falan diyorduk,yaza bağladık olayı ama sağolasın sunucu sahibi 22 temmuzdan beri cevap yazmaması sebebiyle bir sonuca varamadık.Şikayet konusu açsak lak diye damlarlar.Birde sipariş öncesi kurumsal izlenimi verirler parayı kaptılar mı kaybolurlar,böyleleri iş yapmamak lazım ama gel gelelim r10 da bazı karaktersiz insanlar sahte yorum yaptığı için bizde inanıyoruz.

Merhaba,

IP adresinize büyük çaplı saldırılar geliyor ise IP adresinizin anonsları yurtdışına kapatılır, sizin yapmanız gereken şu şekildedir saldırı durduktan sonra firmaya bildirmek firma gerekli kotrolleri sağladıktan sonra IP adresinizin anonslarını yurtdışına açacaktır.

Firma size bilgilendirme yapmalımıdır?

Firmanın sürekli olarak müşteriye saldırılardan dolayı haber vermesi gerekmez saldırı neticesinde siteniz kapansa belki daha büyük sorun yaşayacaksınız firmada bunu engellemek için IP adresinizi belli bir süreliğine yurtdışına kapatıyor.

Tekrar IP adresinizin anonslarını yurtdışına açtırabilirsiniz bunun çok büyük bir problem olduğunu düşünmemekteyim asıl kapatmıyorsa sitenize gelen saldırıya müdehale edemeyecek ve sitenizin kapanması ile daha büyük sorunlar ortaya çıkacaktır.

Saygılar.

Forumda yaptığınız yorumları ve yazılarınızı takip ettiğim için ve bilginize de güvendiğim için size sorma gereksinimi duydum.

Konuyla alakam olmadığı gibi böyle bir sorun da yaşamadım daha önce.

Konuyla alakalı olarak anlayamadığım konu; bir verimerkezi neden anonsları yurtdışına kapatır ya da kapama ihtiyacı duyar ? Şimdi verimerkezleri genel olarak %99 üzerinde uptime garantisiyle işe girişmiyorlar mı ? Bu %99 garanti sadece Türkiye olarak belirtilmiyor ki. Yurtdışından biri bağlandığında siteye ulaşamayacaklar, haliyle adı üstünde verimerkezinden "Veri" çekemeyecekler. Bu durumda uptime garantisinin bir anlamı kalmıyor ve verilen garanti yerine getirilmiyor.

Çözüm gerçekten anonsları kapatmak mı? Firewall çözümleri mevcut değil mi bu saldırılar için ? ya da daha önce kulak aşinalığım olduğu bir çöp hat mevzusu var filtre gibi kullanım görevi yapan. Verimerkezi oluşturmak belli yatırım gerektirir, bu yatırımın içine uptime garantisi için gerekli cihazlar da dahil edilmez mi ?

Kısaca maliyetten mi kaçıyorlar yoksa tecrübe ve bilgi eksikliğimi var bu konuda ?

Selamlar

Layer4 tipteki tcp-udp trafiği oluşturan saldırılarda yüksek bant genişliğine sahip sunuculardan hedef sunucuya yüksek seviyede trafik girişi olmaktadır.

Tek bir sunucudan juno tarzı exploitlerle veya udp exploitlerle 100 mbitten 1 gbit kadar, amp türü exploitlerle (tcp amp, ntp, ssdp) 2 gbitten 200 gbite kadar trafik gönderilebilmektedir.

Tabi 200 gbit gibi bir trafiği herkesin oluşturması yada kendi halinde duran ufak bir sitenize bu boyutta bir saldırı gelmesi pek mümkün değildir.

Genelde bu tip saldırılarda ortalama boyut 2-10 gbit arasıdır.

Türkiyede aldığınız sunucu hizmetinde genelde 100 mbit hat hızınız bulunmakta, tabi bu süreç 100 mbit port 10 mbit-20 mbit-50 mbit gibi hızlar olarakta belirlenebilir. Vds-vps gibi hizmetlerde ortak 100 mbit hat, vds başına ise 5-20 mbit arası bant genişliği verilmektedir.

Sunucunuz için verilen bant genişliklerine göre yorum yaparsak 100 mbit bant genişliği olan bir sunucuya 2 gbit 5 gbit gibi trafiklerin gelmesi mevcut tanımlı bant genişliğini aşmanıza neden olacaktır.

Sunucunuzun ethernet portu 100 mbit olduğunda zaten saldırı gelir gelmez port tıkanacak ver erişim düşecektir buraya kadar olan süreç sizin sunucunuzu etkiliyor, birde gelen bu trafiğin verimerkezi tarafında dönen kısmı var. 2 gbit gelen saldırıyı siz sunucu ethernetinizde 100 mbit tam olarak göreceksiniz, verimerkezinin telekomdan gelen fiber devresinde, router ve switchinde ise 2 gbit olarak dönmeye devam edecek.

Halbuki sizin sunucunuza 100 mbit bant genişliği tanımlanmışken, sizin ip adresinize gelen atak verimerkezi üzerinde fazladan 1.9 gbit bant genişliği işgal edecektir.

Evet bu tür saldırılar sizin sunucunuza ulaşmadan fiziksel cihazlar ile filtrelenebilir, zararlı olan trafik sunucu önündeki fiziksel firewallda kalır sizin sunucunuza temiz trafik iletilir. Fakat gelen 2 gbit trafik yine verimerkezi içerisinde, firewall cihazı üzerinde dönmeye devam eder. Yani en üst düzey cihazıda koysanız sunucu önüne, gelen 2 gbit trafiği yok edemez.

Sizin sunucunuzu açık tutabilmeleri için size verimerkezi genel hattından 2 gbit hat tahsis etmeleri gerekecektir. Türkiye şartlarında 2 gbit bant genişliği yüksek bir rakamdır, fiyatı yüksektir. Verimerkezi hattı boldur, birden fazla lokasyondan fiber devre vardır, yurtdışından hat çekilmiştir bu gibi durumlarda trafik daha ucuz olan yurtdışı hattından route edilebilir trafiğin ordan dönmesine müsade edilebilir ancak bu da bedava olan birşey değil haliyle o yurtdışı hattı içinde ödemeler yapılmakta.

Verimerkezi ancak böyle bir altyapı oluşturmuşsa ve fiziksel firewall hizmeti ile bunu satışa sunmuşsa böyle bir hizmet alınabilir. Tabi saldırı seviyesine göre fiyatlar artmaktadır. Atıyorum 2 gbit koruma için hizmet aldığınızda yukarda anlattığım sürece göre siteniz yurtdışına kapanmaz trafiğin dönmesine müsade edilir, trafik firewall cihazlarına gelir orada filtrelenir sizin sunucunuza temiz trafik ulaşır, verimerkezi hattı ve ekipmanları üzerinde 2 gbit trafiğin dönmesine müsade edilir.

Saldırı 2 gbitten 10 gbite çıkarsa, siz aldığınız koruma paketinin üstünde bir bant genişliği işgal ettiğinizden network stabilitesini korumak adına ip adresi yurtdışı erişime kapatılır.

Yani tüm bu süreçte önemli olan nokta bant genişliğidir. Ovh nasıl yüksek seviyede saldırıları engelleyebiliyor? Çünkü devasa bir total bant genişliği mevcut, 12 den fazla pop noktası olan avrupanın en büyük isplerinden fiber devresi olan bir networke sahip.

Tek yapmaları gereken networklerinin durumuna uygun cihazları temin etmekti, onuda birkaç sene önce yaparak ellerindeki bolca hattı değerlendirmiş oldular.

Tabi ovh gibi büyük bir networkte yüzde 99 başarılı bir ddos mitigation hizmeti verebilmek mümkün değil. Her hafta yeni bir saldırı tipi ortaya çıkıyor, bu saldırılara göre anlık olarak custom kurallar uygulamak gerekir, ovh gibi yüzbinlerce her türden yazılımı uygulamayı kullanan sunucunun olduğu ortamda her yeni saldırı için custom kural yazabilmek mümkün değildir, uygulanacak bir kural windows sunuculardaki sorunu çözerken unix sunucuları etkileyebilir, sonuçta firewall hizmeti tüm networkü tüm sunucuları kapsayan ortak bir yapı.

Ovh nin bu hizmeti ücretsiz verme nedeni kimseye garanti vermek istememesinden.

"Bizde böyle bir sistem var ama size tüm saldırıları yüzde yüz engelleyeceğimizin garantisini vermiyoruz, zaten bu yüzdende ücretsiz, işinize gelirse."

Ovh nin mantığı budur.

Neyse konu uzadı ovh ye falan nerden geldik

Yani olay özetle bant genişliğinde bitiyor, verimerkezi network stabilitesini korumak için yurtdışı erişimi mecburen kapatabilmektedir. Uptime konusuna unutmadan deyinelim.

Sunucunuza aldığınız saldırılar verimerkezinin verdiği uptime garantisine dahil değildir. Sonuçta sunucunuz aktif ve çalışır durumdadır, verimerkezi hattı aktiftir yani verimerkezi enerji ve network sürekliliğini sağlamaktadır.

Ancak size tanımlı bant genişliğinin üstüne çıktığınızda verimerkezi network stabilitesini sağlamak için ip adresinizi tamamiyle nullroute etme hakkınada sahiptir, eskiden sistem böyle işliyordu ve bu sistem tamamiyle sözleşme şartları içerisindeydi. Daha sonradan telekomun /32 subneti yani tek ip adresine anons kesme imkanı tanımasından sonra artık saldırı alan tek ip adresi yurtdışına kapatılabiliyor.

Zaten ziyaretçilerin büyük kısmının Türkiyeden bağlandığı düşünülürse aslında böylesi çok daha iyi. Tek sıkıntı google botları buna da bir çözüm bulunabilse sadece yurtdışı ziyaretçileri hariç pek bir kayıp olmayacak.

Şu şartlarda yurtdışı kapatma konusunda en önemli şey kapatmanın ne kadar süre yapıldığı. Bazı verimerkezlerinde bu süreç tam otomasyon ile çalışmakta saldırı geldiği an kapanmakta, sonrasında router kısa aralıklarla gelen trafiği kontrol edip saldırı bitmişse ipi geri açmaktadır. Bazı verimerkezlerinde ise saldırı boyutuna göre kapatma elle yapılmakta elle açılmaktadır bu da saldırı bitse bile geri açılmanın 8-10 saat sürmesine neden olmaktadır.

İzlenimlerime göre tam otomasyon ile en hızlı kapatma açma yapan verimerkezleri.

Dgn
Netinternet

Orta karar tepki süresi olan

Sadecehosting
Radore

En geç açan

natro

Bunlar tabi benim izlenimlere göre çıkan sonuçtur, diğer verimerkezlerinin durumunu bilmiyorum. TTdos hizmeti alan verimerkezlerinde telekomun verdiği koruma kapasitesine kadar yurtdışı kapatma olmuyor. Saldırı trafiği tamamiyle telekomun omurgası üzerinde dönüyor, verimerkezinin hiçbir ek hat, cihaz yatırımı yapmasına gerek kalmıyor.

Benimde başıma gelmişti hocam sizdeki problem sonradan farkettim bende meğerse yurtdışına erişimi kapatıyorlarmış