Network Firewall

Network Firewall nedir?

Bir kurumun ağ güvenlik duvarı genellikle veri merkezinde duran bir cihazdır. Şubeler ve bulut ortamları trafiğini o cihazın olduğu yere geri taşır (backhaul), orada süzülür, sonra yeniden dağıtılır. Bu, hem gecikme hem kapasite sorunudur.

Network Firewall aynı işi Cloudflare ağında yapar:

“Cloudflare Network Firewall (formerly Magic Firewall) is a firewall-as-a-service (FWaaS) delivered from the Cloudflare global network to protect office networks and cloud infrastructure with advanced, scalable protection. With Cloudflare Network Firewall, you can apply filter rules on a variety of criteria, such as protocol and packet length, to filter unwanted traffic before it reaches your network.”

Pazarlama sayfasının kendi ifadesiyle:

“No more bottlenecks — instead of backhauling traffic through firewall appliances, filter layer 3 and 4 traffic with the Cloudflare network.” “Fine-grained filtering rules can be deployed globally in seconds.”

Tek başına satın alınmıyor. Ön koşul net:

“Cloudflare Network Firewall is available with the purchase of Magic Transit or Cloudflare WAN.”

Magic Transit alırsan zaten geliyor: “Network Firewall is included with Magic Transit.”

Nasıl çalışır?

Stateless bir paket filtresi

Bu, ürünle ilgili bilinmesi gereken tek en önemli şey ve dokümanlarda yalnızca bir yerde açıkça yazılı:

“Network Firewall is not stateful for your Magic Transit egress traffic.” “Network Firewall is not stateful in both directions after DDoS mitigations.”

Klasik bir güvenlik duvarında “giden bağlantının dönüşüne izin ver” diye bir kural yazmazsın; cihaz bağlantı tablosunu tutar. Burada tutmuyor. Bu yüzden Cloudflare’in kendi örnek kuralları TCP bayraklarını elle yazıyor:

ip.proto eq "tcp" and ip.dst in $endpoints and tcp.dstport in {32768..60999}
  and not (tcp.flags.syn and not tcp.flags.ack)      → Allow

Son satır şunu söylüyor: “çıplak SYN olmasın”. Yani dışarıdan yeni bağlantı açılamıyor ama senin başlattığın bağlantının SYN-ACK’i geçebiliyor. Stateful bir cihazda bu ifade hiç yazılmazdı.

Dört faz, tek dil

Kural dili WAF ile aynı — Ruleset Engine ve wirefilter:

“Rules are written using the Cloudflare Rules language, which is inspired by Wireshark syntax.”

Faz adlarının hâlâ magic_transit_* olması tesadüf değil: yeniden adlandırma API’ye dokunmadı. Var olan Terraform ve API kodu aynen çalışıyor.

Değerlendirme sırası ve varsayılan

“By default, Cloudflare Network Firewall permits all traffic until explicitly blocked by a rule. If no rules are configured, all traffic is permitted after Cloudflare’s DDoS mitigations have been applied.” “Traffic is matched in order of the configured rules. As soon as traffic is matched by an enabled rule, it is no longer validated against the later rules.”

Cloudflare’in kendi uyarı örneği:

“permitting all TCP traffic in a rule #4 would mean all TCP traffic is permitted. A rule #5 to block traffic for IP address x.x.x.x would not be checked.”

Custom faz önce, managed faz sonra değerlendiriliyor — bu sayede custom bir kuralla managed bir kuralın davranışı ezilebiliyor.

DDoS’tan bağımsız — en sık yanlış anlaşılan nokta

Doğru teşhis yolu: Network Analytics → filtre Action = Drop → üç nokta menüsünden Mitigation system kırılımı. Hangi katmanın düşürdüğünü orası söylüyor; her katmanın bypass mekanizması ayrı.

WAF ile karşılaştırma

Ne zaman kullanılır, ne zaman kullanılmaz

Uygun olduğu işler

• Şube ve veri merkezi trafiğini fiziksel cihaza backhaul etmeden süzmek
• Amplifikasyon saldırılarında kullanılan UDP portlarını ağın kenarında kapatmak
• Bir IP bloğuna deny-by-default politikası uygulamak, yalnızca bilinen portları açmak
• Ülke veya ASN bazlı L3 filtreleme (Advanced)
• Tehdit istihbaratı listeleriyle anonimleştirici, botnet C2 ve bilinen kötü amaçlı IP’leri düşürmek (Advanced)
• Kural değişikliğini dakikadan kısa sürede küresel yaymak

Uygun olmadığı işler

• HTTP katmanı koruması. Paket görüyor, istek görmüyor. SQL injection, XSS, bot davranışı — hiçbiri burada yakalanmaz. Onun için WAF gerekir.
• Magic Transit veya Cloudflare WAN’ın olmadığı ortam. Bu ürün tek başına satın alınamıyor.
• Stateful bir cihazın birebir yerine geçmesi. Bağlantı tablosu tutmuyor; kurallarını buna göre yazman gerekiyor.
• Fragman bazlı kural. “you cannot create firewall rules for fragments.”
• CDN/WAF’ın arkasındaki kaynak IP kuralları. Bağlantı Cloudflare’de sonlandırıldığı için gördüğü kaynak IP artık ziyaretçinin değil.
• DDoS mitigasyonunu esnetmek. Buradaki allow o katmanı hiç etkilemiyor.

Somut örnekler

1. Minimal ruleset — amplifikasyon portlarını kapatmak

Cloudflare’in yayımladığı üç kurallık minimal set:

(udp.srcport in {1900 11211 389 111 19 1194 3702 10001 20800 161 162 137 27005 520 0})  → Block
(tcp.srcport in {21 0 3306})                                                             → Block
(ip.proto eq "hopopt") or (not ip.proto in {"esp" "tcp" "udp" "gre" "icmp"})              → Block

Portların karşılıkları: SSDP 1900, Memcached 11211, CLDAP 389, SunRPC 111, CHARGEN 19, OpenVPN 1194, WS-Discovery 3702, Ubiquiti 10001, Call of Duty 20800, SNMP 161/162, NetBIOS 137, SRCDS 27005, RIP 520.

Üçüncü kural bir izin listesi mantığıdır: ESP, TCP, UDP, GRE ve ICMP dışındaki her protokolü, ve HOPOPT’u (protokol 0) düşürür.

2. Endpoint (istemci) koruma seti

ip.proto eq "tcp" and ip.dst in $endpoints and tcp.dstport in {32768..60999}
  and not (tcp.flags.syn and not tcp.flags.ack)                                → Allow
ip.proto eq "udp" and ip.dst in $endpoints and udp.dstport in {32768..60999}   → Allow
ip.proto eq "icmp" and ip.dst in $endpoints
  and (icmp.type eq 0 or icmp.type eq 3 or icmp.type eq 11)                    → Allow
ip.dst in $endpoints                                                            → Block

ICMP tipleri rastgele seçilmemiş: 0 (echo reply), 3 (destination unreachable — path MTU discovery bunu kullanır), 11 (time exceeded — traceroute). Üçünü de kapatırsan büyük paketler sessizce kaybolur.

3. Port 8080 hariç tüm TCP’yi kapatmak

"rules": [
  { "action": "skip",
    "action_parameters": { "ruleset": "current" },
    "expression": "tcp.dstport in { 8080 }",
    "description": "Allow port 8080" },
  { "action": "block",
    "expression": "tcp.dstport in { 1..65535 }",
    "description": "Block all TCP ports" }
]

skip sırası kritik: block kuralından önce gelmezse hiçbir işe yaramaz.

4. Yapılandırılmış alanların yetmediği durum

udp and bit_slice("udp", 64, 96) == 0x13371337

bit_slice UDP yükünün ilk 32 bitine bakar (offset_start 64, çünkü UDP başlığı 64 bit). Sınırlar: dilim en fazla 32 bit, offset en fazla 2.040 bit. Daha uzun eşleşme için mantıksal ifadelerle birden çok çağrı birleştirilir.

Demo 1: Minimal ruleset’i kendi sunucunda çalıştır

Adım 1 — Test ortamı

sudo apt update && sudo apt install -y nftables hping3 nmap tcpdump

# Amplifikasyonda kullanilan bir porta sahte bir dinleyici koy
sudo python3 -c "
import socket
s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.bind(('0.0.0.0', 11211))
print('memcached taklidi 11211/udp dinliyor')
while True:
    veri, adres = s.recvfrom(2048)
    print('istek:', adres, veri[:40])
    s.sendto(b'X' * 1400, adres)   # amplifikasyon: kucuk istek, buyuk yanit
" &

ss -ulnp | grep 11211

Terminal — python betiğinin başlangıç satırı ve ss -ulnp çıktısında 0.0.0.0:11211 satırı

Adım 2 — Filtresiz hâli ölç

Başka bir makineden (ya da aynı makinede farklı bir kaynak adresle):

# 40 baytlik istek gonder, donen yanitin boyutunu olc
sudo hping3 --udp -p 11211 -d 40 -c 3 <SUNUCU-IP>
sudo tcpdump -ni any 'udp port 11211' -c 10

Küçük istek, 1400 baytlık yanıt. Amplifikasyon oranı ~35x.

İki bölmeli terminal — solda hping3 çıktısı, sağda tcpdump'ta 40 baytlık istek ve 1400 baytlık yanıt paketlerinin boyutları okunacak şekilde

Adım 3 — Minimal ruleset’i nftables’a çevir

sudo tee /etc/nftables.d/minimal.nft >/dev/null <<'EOF'
table inet nfdemo {
  chain input {
    type filter hook input priority filter; policy accept;

    # Kural 1 — amplifikasyonda kullanilan UDP kaynak portlari
    udp sport { 1900, 11211, 389, 111, 19, 1194, 3702, 10001, 20800,
                161, 162, 137, 27005, 520, 0 } counter drop

    # Kural 2 — TCP kaynak portlari
    tcp sport { 21, 0, 3306 } counter drop

    # Kural 3 — izin listesi disindaki her protokol
    meta l4proto != { esp, tcp, udp, gre, icmp } counter drop
  }

  chain output {
    type filter hook output priority filter; policy accept;
    # Cloudflare kurali KAYNAK portu suzuyor; yanitin cikisini de kapatalim ki
    # amplifikasyonun gercekten durdugu gorulsun
    udp sport 11211 counter drop
  }
}
EOF
sudo nft -f /etc/nftables.d/minimal.nft
sudo nft list table inet nfdemo

Terminal — nft list table inet nfdemo çıktısı; üç drop kuralı ve sayaçları görünür durumda

Adım 4 — Aynı testi tekrarla

sudo hping3 --udp -p 11211 -d 40 -c 3 <SUNUCU-IP>
sudo nft list table inet nfdemo | grep -A0 counter

Yanıt gelmiyor, ama sayaçlar artıyor — paketlerin düşürüldüğünün kanıtı bu.

İki bölmeli terminal — solda hping3'ün '100% packet loss' satırı, sağda nft çıktısında counter packets değerinin sıfırdan büyük olması

Adım 5 — İzin listesi kuralını sına

Üçüncü kural, izin listesindeki beş protokol dışındaki her şeyi düşürüyor. SCTP ile dene:

sudo nmap -sO -p 132 <SUNUCU-IP>     # protokol taramasi: SCTP = 132
sudo nft list table inet nfdemo | tail -6

Terminal — nmap protokol taraması sonucu ve üçüncü kuralın sayacındaki artış

Demo 2: Stateless filtre neden TCP bayrağı yazdırıyor?

Bu demo tek bir soruyu gösteriyor: Cloudflare’in örnek kurallarında neden not (tcp.flags.syn and not tcp.flags.ack) gibi bir ifade var?

Adım 1 — Stateful referansı kur

sudo tee /etc/nftables.d/stateful.nft >/dev/null <<'EOF'
table inet durumlu {
  chain input {
    type filter hook input priority filter; policy drop;
    ct state established,related counter accept
    iif lo accept
    tcp dport 22 accept
  }
}
EOF
sudo nft -f /etc/nftables.d/stateful.nft

# Giden baglanti calisir: donus trafigi ct state ile gecer
curl -s -o /dev/null -w 'stateful cikis: %{http_code}\n' https://example.com/

Terminal — nft dosyasının içeriği (ct state established satırı görünür) ve curl'ün 200 dönmesi

Adım 2 — State’i kaldır, aynı şeyi dene

sudo nft delete table inet durumlu

sudo tee /etc/nftables.d/durumsuz.nft >/dev/null <<'EOF'
table inet durumsuz {
  chain input {
    type filter hook input priority filter; policy drop;
    iif lo accept
    tcp dport 22 accept
    # ct state YOK — Network Firewall gibi paket paket bakiyoruz
  }
}
EOF
sudo nft -f /etc/nftables.d/durumsuz.nft

curl -s -o /dev/null -m 8 -w 'durumsuz cikis: %{http_code}\n' https://example.com/ \
  || echo "ZAMAN ASIMI — donus paketleri dusuruldu"

Bağlantı kurulamıyor. SYN gidiyor, SYN-ACK geliyor, ve gelen paket hiçbir kurala uymadığı için düşüyor.

İki bölmeli terminal — solda curl'ün zaman aşımıyla düşmesi, sağda tcpdump'ta giden SYN'in görünüp yanıtın gelmemesi

Adım 3 — Cloudflare’in çözümünü uygula

Network Firewall’ın yaptığı tam olarak bu: dönüş trafiğini bayraklarla tanımlamak.

sudo nft add rule inet durumsuz input tcp sport 443 \
  tcp flags '& (syn|ack) == ack' counter accept

# Cloudflare'in ifadesinin birebir karsiligi:
#   not (tcp.flags.syn and not tcp.flags.ack)
#   = "ciplak SYN degilse gecir"

curl -s -o /dev/null -m 8 -w 'bayrakli: %{http_code}\n' https://example.com/
sudo nft list table inet durumsuz

Terminal — eklenen tcp flags kuralı, ardından curl'ün 200 dönmesi ve nft list çıktısında kuralın sayacı

Adım 4 — Çıplak SYN’in hâlâ engellendiğini kanıtla

Kural dönüş trafiğine izin verdi ama dışarıdan yeni bağlantı açılmasına izin vermedi. Başka bir makineden:

sudo hping3 -S -p 443 -c 3 <SUNUCU-IP>       # ciplak SYN — dusmeli
sudo hping3 -A -p 443 -c 3 <SUNUCU-IP>       # ciplak ACK — gecmeli

İkinci komutun geçmesi, stateless filtrenin dürüst sınırıdır: sahte ACK paketleri geçer. Cloudflare bu boşluğu Network Firewall’da değil, Advanced TCP Protection katmanında flowtrackd ile kapatıyor — “detect and mitigate sophisticated out-of-state TCP attacks such as randomized and spoofed ACK floods”.

Terminal — iki hping3 komutunun çıktısı üst üste; SYN için paket kaybı, ACK için yanıt alınması

Ölçüm tablosu

Fiyatlandırma

Ayrı bir fiyat yayımlanmıyor. Network Firewall bağımsız satın alınmıyor:

“Cloudflare Network Firewall is available with the purchase of Magic Transit or Cloudflare WAN.” “Network Firewall is included with Magic Transit.”

Ürün sayfasındaki tek eylem çağrısı “Talk to an expert”. Erişim de kapılı: “This product is enterprise-only.”

Asıl fiyatlandırma sorusu Standard mı Advanced mı olduğudur:

Kaynak: Network Firewall plans · Erişim: 1 Eylül 2026

Lisanslama ve hukuki çerçeve

Network Firewall tescilli bir hizmettir; açık kaynak bileşeni yoktur ve Cloudflare Hizmet Şartlarına tabidir. Kullanımı bir Enterprise sözleşmesi ve Magic Transit veya Cloudflare WAN aboneliği gerektirir.

Veri yerelleştirme — Türkiye için kritik ayrım. Cloudflare’in Data Localization dokümanı bir Turkey bölgesi listeliyor ve şöyle tanımlıyor: “Cloudflare will only use data centers that are physically located within Turkey to decrypt and service HTTPS traffic.” Ama aynı belgenin Network Services matrisi Network Firewall için Regional Services’i ⚫️ “Not applicable — this product does not interact with this DLS feature” olarak işaretliyor.

GDPR notu. “Magic Transit customers with Customer Metadata Boundary enabled for the European Union can access GRE, IPsec, and CNI health check and traffic volume data in the Cloudflare dashboard and through the API.”

Log saklama. Network Analytics için: “The data retention for Network Analytics is 16 weeks. Additionally, data older than eight weeks might have lower resolution when using narrow time frames.” Logpush hedefi senin kendi depolamandır; Cloudflare tarafında bir Logpush saklama süresi yayımlanmıyor.

Sık yapılan hatalar

Network Firewall’da allow yazıp DDoS’un blokladığını fark etmemek

Dört mitigasyon katmanı var ve Network Firewall sonuncusu: DDoS managed rulesets → Advanced TCP Protection → Advanced DNS Protection → Network Firewall. Buradaki izin, önceki üçünü etkilemiyor.

ICMP’yi topluca bloklamak

“Cloudflare Network Firewall rules apply to Internet Control Message Protocol (ICMP) traffic. If you enable Cloudflare Network Firewall, ensure your rules allow ICMP traffic sourced from Cloudflare public IPs. Otherwise, health checks will fail.”

Sıra kritik: önce Allow · ICMP · Source: Cloudflare IP ranges, sonra block kuralı. ICMP tip 3’ü kapatmak ayrıca path MTU discovery’yi kırar ve büyük paketler sessizce kaybolur.

Yönetim erişimini kilitleyen kural sırası

Kurallar ilk eşleşende duruyor. 10. sıradaki catch-all Block varsa, yeni izin kuralı 10’dan önce eklenmeli. Doküman bunu birebir uyarıyor: “the new rule must be added before rule 10.” Ve yayılma hızlı — “Fast propagation of rule changes in less than a minute” — yani hata da bir dakikada global oluyor.

Egress’te catch-all drop bırakmak

“If you have a Network Firewall ‘default drop’ catchall rule for ingress traffic, you will need to add an earlier rule to permit traffic sourced from your Magic Transit prefix with the destination as any to allow outbound egress traffic.”

Stateless olduğu için giden trafiğin dönüşü kendiliğinden geçmiyor.

POST /rulesets ile var olan politikaları ezmek

Var olan ruleset’e kural eklerken …/rulesets/{ruleset_id}/rules kullanılmalı. Yanlış uç nokta tüm firewall’ı silebilir.

ip.geoip.country kullanmak

Kullanımdan kalkıyor ve tehlikeli: “will match on either source or destination address.” Yani kaynak ülkeyi engellemek isterken hedef ülkeyi de eşleştirebiliyor. Yerine ip.src.country veya ip.dst.country yaz.

sip alanını guard olmadan kullanmak

“Requires UDP packets to operate.” İfadeye ip.proto == "udp" koşulunu eklemeden sip kullanma.

IDS’i açıp Logpush kurmamak

“You must configure Logpush to log detected risks.”

Logpush yoksa IDS tespit ediyor ama sonucu hiçbir yere yazmıyor.

PCAP’in boş dönmesine şaşırmak

“the packet capture (pcap) might be empty because packets were dropped.”

DDoS katmanında düşürülen trafik PCAP’e hiç girmiyor — aradığın paketler orada olmayabilir.