DDoS Protection

DDoS Protection nedir?

Cloudflare’in en eski ve en çok bilinen vaadi bu, ve tek cümlede özetleniyor:

“Cloudflare provides unmetered and unlimited distributed denial-of-service (DDoS) protection at layers 3, 4, and 7 to all customers on all plans and services.”

Ücretsiz planda da açık, kapatılamıyor, saldırı büyüdükçe fatura büyümüyor. 2017’deki orijinal duyurunun tonu bugün de aynı:

“Regardless of what Cloudflare plan you use — Free, Pro, Business, or Enterprise — we will never tell you to go away or that you need to pay us more because of the size of an attack.”

Bu sayfa DDoS korumasının tamamını anlatıyor. Yalnızca HTTP tarafını arıyorsan DDoS for Web, IP bloğunun tamamını korumak istiyorsan Magic Transit sayfasına bak.

Nasıl çalışır?

İki katmanlı otonom sistem

“The Cloudflare Autonomous Edge is powered by the denial-of-service daemon (dosd)… A dosd instance runs in every single server in every one of Cloudflare global network’s data centers around the world. These dosd instances can detect and mitigate DDoS attacks autonomously without requiring centralized consensus.”

Bunun üstünde küresel bir katman var: “the centralized systems run in Cloudflare’s core data centers. They receive samples from every global network data center, analyze them, and automatically send mitigation instructions.”

Örnekleme yol dışında yapılıyor:

“Cloudflare’s autonomous edge and centralized DDoS systems analyze traffic samples out of path, which allows Cloudflare to asynchronously detect DDoS attacks without causing latency or impacting performance.”

Dinamik imza üretimi

Sayfanın en önemli paragrafı, çünkü “Cloudflare kuralı nasıl seçiyor” sorusunun cevabı:

“Once attack traffic matches a rule, Cloudflare’s systems will track that traffic and generate a real-time signature to surgically match against the attack pattern and mitigate the attack without impacting legitimate traffic… For example, if the attack is distributed — that is, originating from many source IPs — then the source IP field will not serve as a strong indicator, and the rule will not choose the source IP field as part of the attack signature. …These mitigation rules are ephemeral and will expire shortly after the attack has ended.”

Neden sana eşik rakamı verilmiyor

“Thresholds vary for each rule and there are different thresholds globally and per colocation. Within a rule, the traffic is fingerprinted and the thresholds are per fingerprint, and it is difficult to know ahead of time which rules, colocations, or fingerprints your traffic generates, so the threshold numbers are not necessarily valuable.”

Sana verilen kontrol bir sayı değil, hassasiyet seviyesi: High, Medium, Low, Essentially Off.

Yığındaki parçalar

Mitigasyon süresi

“Immediate mitigation for Advanced TCP and DNS Protection systems.” “Up to three seconds on average for the detection and mitigation of L3/4 DDoS attacks at the edge…” “Up to three seconds on average for the detection and mitigation of HTTP DDoS attacks at the edge…”

Bunlar performans tanımı, sözleşmesel taahhüt değil. Yayımlanan tek SLA uptime SLA’sıdır: Business ve Contract’ta %100, Free ve Pro’da yok.

Ne zaman kullanılır, ne zaman kullanılmaz

Bu ürün için soru “kullanır mıyım” değil — zaten açık ve kapatılamıyor. Doğru soru nereye kadar güvenebileceğin.

Yeterli olduğu yerler

• Cloudflare üzerinden geçen HTTP/HTTPS trafiği — her planda, ölçüsüz
• Zone’a onboard edilmiş hostname’lere yönelik L3/4 saldırılar
• Kısa ve küçük saldırıların ezici çoğunluğu: “96.62% of network-layer attacks remaining under 500 Mbps and 90.60% ending in under 10 minutes”
• Saniyeler süren hiper-volumetrik saldırılar — insan müdahalesinin mümkün olmadığı yer

Yetmediği yerler

• Origin IP’nin sızdığı durum. Cloudflare o trafiği hiç görmüyor; panelde iz bile kalmıyor.
• E-posta protokolleri. Birebir: “Does DDoS Protection protect against email-based attacks? No.… DDoS Protection does not inspect or mitigate threats delivered over email protocols such as SMTP, IMAP, or POP3.”
• Onboard olmadığın katman. “you are protected up to the layer on which your service operates.” Yalnızca Magic Transit kullanıyorsan HTTP DDoS koruması almazsın.
• Kesinlik gerektiren sayım. Rate limiting “not designed to allow a precise number of requests” — birkaç saniyelik gecikmeyle fazladan istek origin’e ulaşabiliyor.
• Cloudflare’in önünde başka bir CDN varken. Görünürlük kaybı, yanlış pozitif riski ve ilk-hop faturası.
• Yalnızca DDoS’a güvenmek. Cloudflare’in kendi tavsiyesi: “Deploy WAF custom rules and rate limiting rules to enforce a combined positive and negative security model.”

Somut örnekler

1. Origin’i Cloudflare aralıklarına kilitlemek

Cloudflare’in kendi verdiği iptables örneği:

# Izin ver (her CIDR icin bir kez)
iptables  -I INPUT -p tcp -m multiport --dports http,https -s $ip -j ACCEPT
ip6tables -I INPUT -p tcp -m multiport --dports http,https -s $ip -j ACCEPT

# Geri kalani dusur
iptables  -A INPUT -p tcp -m multiport --dports http,https -j DROP
ip6tables -A INPUT -p tcp -m multiport --dports http,https -j DROP

Kaynak listeler: https://www.cloudflare.com/ips-v4 (15 IPv4 CIDR), https://www.cloudflare.com/ips-v6 (7 IPv6 CIDR), veya https://api.cloudflare.com/client/v4/ips. Aralıklar sık değişmiyor ve “added to our list of IP ranges before being put into production.”

2. Yanlış pozitifi daraltmak

Enterprise + Advanced add-on ile hassasiyeti tüm trafik için düşürmek yerine ifadeyle daralt:

(http.request.uri.path contains "/legacy-api/")

Bu ifade olmadan tek seçenek kuralın hassasiyetini komple düşürmek. Free/Pro/Business’ta ifade alanı yok — plan farkının en somut hâli bu.

3. Under Attack Mode’u zone geneline açmamak

(starts_with(http.request.uri.path, "/admin"))

Configuration Rule ile yalnızca bu path’e uygula. API path’lerini muaf tutmak için de aynı mekanizma kullanılır.

4. Cache’i saldırıya karşı ayarlamak

Cloudflare’in en somut ve en az uygulanan tavsiyesi:

“To help counter attack randomization, Cloudflare recommends to update your cache settings to exclude the query string as a cache key. When the query string is excluded as a cache key, Cloudflare’s cache will take in unmitigated attack requests instead of forwarding them to the origin.”

Cache-busting saldırıları tam olarak bunu hedefler: her istekte farklı bir ?v= ekleyip cache’i atlatmak.

Demo 1: Origin IP’nin açıkta olduğunu göster, sonra kilitle

Bu demo Cloudflare’in en kritik uyarısını kendi sunucunda gözle görülür kılıyor.

Ön koşullar: Ubuntu sunucu, nginx 80/443’te, ornek.com Cloudflare’de aktif, www kaydı turuncu bulut.

export ZONE=ornek.com
export ORIGIN_IP=203.0.113.10      # kendi sunucunun public IP'si

Adım 1 — Proxy’nin çalıştığını doğrula

dig +short A www.$ZONE
curl -sI https://www.$ZONE | grep -Ei '^(HTTP|server|cf-ray|cf-cache-status)'

dig Cloudflare anycast IP’lerini döner, senin IP’ni değil. cf-ray başlığının son üç harfi isteği karşılayan veri merkezidir — Türkiye’den bakıyorsan IST görmen beklenir.

Terminal — dig çıktısında Cloudflare IP'leri, altında curl çıktısında server: cloudflare ve cf-ray satırının sonundaki üç harfli veri merkezi kodu okunacak şekilde

Adım 2 — Origin’in çıplak olduğunu kanıtla

--resolve DNS’i atlar, TLS SNI’ı doğru tutar ve bağlantıyı doğrudan origin’e açar:

curl -sI --resolve www.$ZONE:443:$ORIGIN_IP https://www.$ZONE \
  | grep -Ei '^(HTTP|server|cf-ray)'

curl -s -o /dev/null -w "HTTP %{http_code} | bağlandı: %{remote_ip}:%{remote_port}\n" \
  --resolve www.$ZONE:80:$ORIGIN_IP http://www.$ZONE/

HTTP/2 200 ve server: nginx dönüyor, cf-ray başlığı yok. İstek Cloudflare’i hiç görmedi.

Aynı anda origin log’unu izle:

sudo tail -f /var/log/nginx/access.log

Kaynak IP olarak kendi makinenin gerçek IP’si görünüyor — bir Cloudflare IP’si değil.

İki bölmeli terminal — solda curl --resolve çıktısında HTTP/2 200 ve server: nginx, cf-ray yokluğu; sağda tail -f access.log içinde kendi IP'nden gelen istek satırı

Adım 3 — Sızıntı yollarını tara

for h in mail ftp cpanel webmail direct dev staging vpn smtp; do
  ip=$(dig +short A $h.$ZONE | tail -1)
  [ -n "$ip" ] && echo "$h.$ZONE -> $ip"
done

dig +short TXT $ZONE | grep -i 'v=spf1'
dig +short MX $ZONE

mail.ornek.com -> 203.0.113.10 gibi bir satır çıkarsa, turuncu bulut kullanmana rağmen origin IP’n açıkta demektir.

Terminal — döngünün çıktısı; varsa origin IP'sini gösteren bir alt alan adı satırı ve SPF kaydındaki ip4: değeri

Adım 4 — Cloudflare aralıklarını al ve kilitle

sudo mkdir -p /etc/cloudflare
curl -s https://www.cloudflare.com/ips-v4 | sudo tee /etc/cloudflare/ips-v4 >/dev/null
curl -s https://www.cloudflare.com/ips-v6 | sudo tee /etc/cloudflare/ips-v6 >/dev/null
wc -l /etc/cloudflare/ips-v4 /etc/cloudflare/ips-v6

Beklenen: 15 ve 7 satır.

sudo tee /etc/nftables.d/cfguard.nft >/dev/null <<'EOF'
table inet cfguard {
  set cf4 { type ipv4_addr; flags interval; }
  set cf6 { type ipv6_addr; flags interval; }
  chain input {
    type filter hook input priority filter; policy accept;
    ct state established,related accept
    iif lo accept
    tcp dport { 80, 443 } ip  saddr @cf4 accept
    tcp dport { 80, 443 } ip6 saddr @cf6 accept
    tcp dport { 80, 443 } counter drop
  }
}
EOF
sudo nft -f /etc/nftables.d/cfguard.nft
sudo nft add element inet cfguard cf4 "{ $(paste -sd, /etc/cloudflare/ips-v4) }"
sudo nft add element inet cfguard cf6 "{ $(paste -sd, /etc/cloudflare/ips-v6) }"
sudo nft list table inet cfguard

Terminal — nft list table inet cfguard çıktısı; cf4 setinde 15 CIDR ve tcp dport { 80, 443 } counter drop satırı görünür durumda

Adım 5 — Önce/sonra farkını ölç

echo "--- Cloudflare üzerinden (çalışmalı) ---"
curl -s -o /dev/null -w "HTTP %{http_code}\n" https://www.$ZONE/

echo "--- Doğrudan origin'e (artık düşmeli) ---"
curl -s -o /dev/null -w "HTTP %{http_code}\n" --max-time 8 \
  --resolve www.$ZONE:443:$ORIGIN_IP https://www.$ZONE/ \
  || echo "ZAMAN AŞIMI — beklenen sonuç"

sudo nft list table inet cfguard | grep 'counter'

Paket drop edildiği için RST bile dönmüyor; curl zaman aşımına düşüyor. Sayaç artışı kilidin çalıştığının kanıtı.

Terminal — üst üste iki curl sonucu (biri HTTP 200, diğeri Operation timed out) ve altında counter packets değerinin sıfırdan büyük olması

Adım 6 — Kalıcılık ve haftalık senkron

echo 'include "/etc/nftables.d/cfguard.nft"' | sudo tee -a /etc/nftables.conf
sudo systemctl enable --now nftables

sudo tee /etc/cron.weekly/cf-ips >/dev/null <<'EOF'
#!/bin/sh
curl -sf https://www.cloudflare.com/ips-v4 -o /etc/cloudflare/ips-v4.yeni && \
  mv /etc/cloudflare/ips-v4.yeni /etc/cloudflare/ips-v4
nft flush set inet cfguard cf4
nft add element inet cfguard cf4 "{ $(paste -sd, /etc/cloudflare/ips-v4) }"
EOF
sudo chmod +x /etc/cron.weekly/cf-ips

Demo 2: Kendi hostname’ine kontrollü patlama

Yasal çerçeve. Cloudflare bunu açıkça izinli kılıyor:

“You can only launch DDoS attacks against your own Internet properties… The Internet properties are not shared with other organizations or individuals… You do not have to obtain permission from Cloudflare to launch a DDoS attack simulation against your own Internet properties.”

Adım 1 — Ayrı bir test yolu aç

sudo mkdir -p /var/www/html/ddos-lab
echo "lab ok" | sudo tee /var/www/html/ddos-lab/index.html
curl -sI https://www.$ZONE/ddos-lab/ | head -3

Adım 2 — Rate limiting kuralını kur

Panel: Security → Security rules → Rate limiting rules → Create rule

Panel ekran görüntüsü — kural formu dolu hâliyle; Period açılır menüsü açık olsun ki ücretsiz planda yalnızca 10 seconds seçeneğinin bulunduğu görünsün

Adım 3 — Patlamayı gönder

sudo apt-get install -y hey 2>/dev/null || sudo snap install hey
hey -n 60 -c 10 -t 10 https://www.$ZONE/ddos-lab/

hey yoksa:

for i in $(seq 1 60); do
  curl -s -o /dev/null -w "%{http_code}\n" https://www.$ZONE/ddos-lab/ &
done | sort | uniq -c
wait

İlk ~20 istek 200, kalanı 429. Ziyaretçi tarafında bu error 1015 olarak görünüyor:

curl -s https://www.$ZONE/ddos-lab/ | grep -io "error 1015\|rate limited" | head -1

Terminal — hey özet tablosunda 'Status code distribution' satırında [200] ve [429] sayıları ve gecikme histogramı

Adım 4 — Security Events’te gör

Panel: Analytics → Events · Filtre: Action equals Block ve Service equals Rate limiting

Panel ekran görüntüsü — Events grafiğinde dikey sütun, altındaki örneklenmiş log tablosunda Block aksiyonu, lab-burst-test kural adı, kaynak IP ve ülke kolonunda TR

Adım 5 — Rate limiting ile DDoS korumasını ayır

Aynı ekranda filtreyi değiştir: Service equals HTTP DDoS

Küçük bir lab patlamasında bu ekran büyük ihtimalle boş çıkacak — ve bu öğretici bir sonuç. Rate limiting senin kuralın; DDoS koruması Cloudflare’in otomatik sistemi ve eşikleri fingerprint başına, yayımlanmıyor.

İki panel ekran görüntüsü yan yana — solda Service equals HTTP DDoS filtresiyle boş Events ekranı, sağda Service equals Rate limiting filtresiyle dolu ekran

Adım 6 — Origin’in yükü görmediğini kanıtla

sudo tail -n 200 /var/log/nginx/access.log | grep -c '/ddos-lab/'

60’tan belirgin biçimde az. Engellenen istekler origin’e hiç ulaşmadı.

İki bölmeli terminal — solda hey çıktısındaki toplam 60 istek, sağda access.log sayımının belirgin şekilde düşük olması

Adım 7 — Temizlik

sudo rm -rf /var/www/html/ddos-lab

Panelden lab-burst-test kuralını sil veya devre dışı bırak.

Ölçüm tablosu

Fiyatlandırma

DDoS mitigasyonu her planda ücretsiz ve ölçüsüz. Fark, kontrol ve görünürlükte.

Plan fiyatları (cloudflare.com/plans, 1 Eylül 2026): Free $0, Pro $20/ay (yıllık) veya $25/ay, Business $200/ay (yıllık) veya $250/ay, Contract özel fiyat.

Magic Transit gerektirenler — hiçbir WAF/CDN planında yok: Advanced TCP Protection, Advanced DNS Protection, Programmable Flow Protection, Network Analytics panosu ve Logpush dataset’i, L3/4 DDoS uyarıları, protokol bazlı adaptive koruma, haftalık e-posta raporları. Magic Transit için yayımlanmış liste fiyatı yoktur.

Ücretsiz ek: DDoS Botnet Threat Feed. “available for free to service providers” — kendi ASN’lerine ait, HTTP DDoS saldırılarına katılmış IP adreslerini veriyor. ASN sahipliği PeeringDB üzerinden doğrulanıyor. Türkiye’deki ISP ve hosting sağlayıcıları için doğrudan uygulanabilir.

Lisanslama ve hukuki çerçeve

DDoS Protection tescilli bir hizmettir ve Cloudflare Hizmet Şartlarına tabidir. Ayrı bir lisans veya sözleşme gerektirmez; her planda açıktır.

Test etme izni. Cloudflare kendi altyapına yönelik simülasyona açıkça izin veriyor:

“You can only launch DDoS attacks against your own Internet properties… provided that: The Internet properties are not shared with other organizations or individuals. The Internet properties have been onboarded to Cloudflare in an account under your name or ownership.” “You do not have to obtain permission from Cloudflare to launch a DDoS attack simulation against your own Internet properties.”

Ve bir uyarı: “if you want to test Cloudflare against an HTTP DDoS attack and you are only using Magic Transit, the test is going to fail because you need to onboard your HTTP application to Cloudflare’s reverse proxy service.”

Veri toplama. Advanced DNS Protection için: “Cloudflare collects DNS-related data such as query type (for example, A record) and the queried domains.” Bunu kapatmanın tek yolu prefix’i kaldırmaktır — ve bu Advanced TCP Protection’ı da kaldırır.

Türkiye. Cloudflare’in Data Localization dokümanında bir Turkey bölgesi var ve tanımı “Cloudflare will only use data centers that are physically located within Turkey to decrypt and service HTTPS traffic.” Bu bölge L7/HTTPS içindir; Magic Transit, Network Firewall ve Cloudflare WAN için Regional Services ⚫️ “Not applicable” olarak işaretlidir.

Sık yapılan hatalar

Origin IP’yi açıkta bırakmak

Bu sayfadaki tek en pahalı hata. Cloudflare’in güvenlik derecelendirmesiyle çözüm sırası: Cloudflare Tunnel (Very secure) > Authenticated Origin Pulls (Very secure) > IP izin listesi (Moderately secure) > HTTP header doğrulaması (Moderately secure).

Cloudflare IP’lerini yanlışlıkla engellemek — ters hata

“To your origin server’s firewall, this can look like a limited number of sources sending a high volume of traffic — which may trigger automatic blocking or rate limiting. Because all visitor traffic appears to come from Cloudflare IP addresses, blocking these IPs — even accidentally — will prevent visitor traffic from reaching your application.”

Türkiye’deki paylaşımlı hosting ortamlarında en sık görülen arıza bu: fail2ban, mod_evasive veya cPanel’in otomatik ban mekanizması bir Cloudflare kenar IP’sini banlıyor ve o kenara düşen tüm ziyaretçiler siteyi kaybediyor. Cloudflare ayrıca WordPress güvenlik eklentilerini ve ModSecurity’yi adıyla uyarıyor.

Gri bulutlu kayıtları unutmak

Proxied olmayan her A/AAAA kaydı origin IP’ni yayınlıyor. En sık unutulanlar: mail, ftp, cpanel, webmail, direct, dev, staging, vpn, smtp. SPF ve TXT kayıtları da düz metin olarak IP sızdırıyor.

Hassasiyeti aşırı düşürmek

Cloudflare’in ilk tavsiyesi varsayılana dönmektir: “Make sure all DDoS managed rulesets are set to default settings (High sensitivity level and mitigation actions) for optimal DDoS activation.” Test aşamasındaki kuralları elle Block’a çevirmek de bir hata: “By applying a manual Block override, you prevent your configuration from automatically inheriting the more nuanced DDoS Dynamic action once it is released.”

Cache’i kullanmamak

“Enable caching as much as possible to reduce the strain on your origin servers, and when using Workers, avoid overwhelming your origin server with more subrequests than necessary.”

Cache-busting saldırılarına karşı query string’i cache anahtarından çıkarmak, Cloudflare’in verdiği en somut ayardır.

Under Attack Mode’u zone geneline açmak

API’lerin, webhook’ların ve ödeme callback’lerin JavaScript çalıştıramadığı için interstitial’ı geçemiyor. Configuration Rule ile kapsamı daralt.

Yalnızca DDoS korumasına güvenmek

“Deploy WAF custom rules and rate limiting rules to enforce a combined positive and negative security model. Reduce the traffic allowed to your website based on your known usage.”

“Essentially Off”un gerçekten kapalı olduğunu sanmak

“However, if the attack is extremely large, Cloudflare’s protection systems will still trigger the rule’s mitigation action to protect Cloudflare’s network.”

Tamamen kapatamıyorsun — bu güvenlik açısından iyi, ama trafiğinin ne zaman ve neden mitige edileceği üzerinde tam kontrolün olmadığı anlamına da geliyor.