Nexren ShieldNexren Shield nedir?
Nexren Shield, web siteniz ve API'leriniz ile internet arasına giren bir ters proxy güvenlik servisidir. Ziyaretçiler doğrudan sunucunuza değil önce Nexren'e bağlanır. Servis isteği inceler, saldırı ve kötü niyetli botları ayıklar, meşru isteği sunucunuza iletir.
Tek cümleyle: DNS kaydınızı değiştirir, trafiğinizin güvenlik filtresinden geçmesini sağlarsınız. Temel kurulum için sunucunuzda kod değişikliği ya da ajan kurulumu gerekmez; yalnız origin'i kilitlemek isterseniz web sunucusu ve güvenlik duvarı ayarı yaparsınız. Ters proxy kavramına yeni başladıysanız önce ters proxy nedir rehberine bakın.
Neler yapar?
Servis dört iş yapar:
- WAF: SQL injection, XSS, uzaktan komut çalıştırma, yerel dosya okuma ve SSRF gibi saldırı ailelerini imza kurallarıyla yakalar. Ayrıntı için WAF nedir rehberine bakın.
- DDoS azaltma: Çekirdek seviyesinde adres engelleme, SYN hızı sınırı ve bağlantı tavanı uygular; L7 tarafında sel eşiklerini izler. Saldırı sınıfları için DDoS saldırı türleri rehberi var.
- Bot doğrulama: Görüntü seçtirmeyen, tıklama istemeyen bir proof-of-work bulmacasıyla istemcinin gerçek bir tarayıcı olup olmadığını sınar.
- Zero Trust erişim: Bir uygulamanın ya da yolun önüne e-posta OTP veya TOTP doğrulaması koyar.
Bunların yanında özel WAF kuralları, ülke ve yol kuralları, IP ve yol başına hız sınırları, isteğe bağlı kenar önbelleği, Slack/Discord/Telegram/e-posta uyarıları, REST API ve MCP sunucusu bulunur.
Neden ters proxy ile korunur?
Güvenlik kararını uygulamanızın önünde vermek, her uygulamaya ayrı koruma kodu yazmaktan daha az emek ister. Tek noktada kural yazar, olayları tek panelde izlersiniz. Engellenen bir istek origin'e ulaşmaz; CPU'nuzu ve veritabanı bağlantılarınızı harcamaz.
Bunun bir bedeli de var: proxy trafiğinizin yolu üzerinde bir bağımlılığa dönüşür. Gerçek istemci IP'sinin origin'e nasıl taşındığı, WebSocket davranışı ve proxy kesintisinde ne olacağı gibi konuları ters proxy rehberinde ayrıntılı anlattık. Bu bedeli bilerek kabul etmeniz gerekir.
Kimler için?
Nexren Shield, kendi sunucusunda web uygulaması ya da API çalıştıran ve bir güvenlik katmanını DNS değişikliğiyle eklemek isteyen ekipler için tasarlandı. Küçük ve orta ölçekli siteler, SaaS ürünleri, webhook alan servisler ve yönetim panelini herkese açık bırakmak istemeyen ekipler için uygundur.
Nasıl çalışır? DNS'ten origin'e
Akış şöyledir:
- Panelde alan adınızı ve origin IP'nizi eklersiniz.
- Alan adının size ait olduğunu
_nexren-challengeadlı bir TXT kaydıyla doğrularsınız. - DNS'te bir CNAME (ya da A) kaydını panelde gösterilen Nexren uç adresine çevirirsiniz.
- DNS yayıldıktan sonra TLS sertifikası otomatik düzenlenir. Sertifika sürecini otomatik SSL ve Let's Encrypt rehberinde anlattık.
Bundan sonra bir istek şu katmanlardan geçer:
| Katman | Ne yapar |
|---|---|
| L3/L4 çekirdek | Yasaklı adresleri 80/443'te netfilter'dan önce düşürür; TCP bayrak denetimi, IP başına SYN hızı ve bağlantı tavanı uygular |
| TLS/HTTP | HTTP/2 destekli TLS ön katmanı; TLS ve HTTP/2 parmak izlerini risk değerlendirmesine girdi olarak toplar |
| L7 | WAF kuralları, özel kurallar, hız sınırları, bot skoru ve gerekirse proof-of-work doğrulaması |
| Erişim | Origin Lock™ başlığı ve isteğe bağlı Zero Trust doğrulaması |
Meşru istek bu katmanları geçince origin'inize ulaşır. Origin'i doğrudan erişime kapatmak için origin IP gizleme ve Origin Lock rehberini izleyin.
Nexren Shield bunu nasıl ele alır
Bu bölüm yalnızca doğrulanmış olguları içerir.
- Çekirdek: XDP (eBPF) generic kipte, 80 ve 443 portlarında yasaklı adreslerin paketlerini bağlantı izlemeden önce düşürür. Yedek olarak raw tablosunda ipset DROP çalışır. IP başına SYN hızı varsayılan 100/sn (ani 200), eşzamanlı bağlantı tavanı varsayılan 300'dür.
- WAF: 600'den fazla imza kuralı regex ve girdi normalizasyonuyla çalışır. Kaynak hata maskeleme (CWE-209) vardır.
- Modlar: Off, Monitor (tespit eder, engellemez), Balanced ve Under Attack.
- Otomatik saldırı tepkisi: Sel algılanınca site, tüm planlarda otomatik olarak doğrulama moduna geçer.
- Bot katmanı: Sezgisel bot skoru, WebAssembly ile çalışan zaman kilitli proof-of-work ve davranış telemetrisi birlikte çalışır. İç bot test matrislerinde atlatma yolları bulduk; bu yüzden %100 engelleme iddia etmiyoruz.
- IP itibarı: Spamhaus DROP ve FireHOL level1 listeleri günde bir yenilenir.
- Kayıtlar: Olay kaydı saklama süresi plana göre 30, 90 veya 365 gündür. Meşru isteklerin gövdesi saklanmaz. Ayrıntı için gizlilik sayfasına bakın.
Teknik özet için teknoloji sayfası da yararlı.
Paketler
Üç paket vardır: Starter aylık 5 milyon, Pro aylık 25 milyon istek kotası verir; Enterprise'da aylık kota yoktur ve teklif sözleşmeye özeldir. Olay kaydı saklama süresi sırasıyla 30, 90 ve 365 gündür. Kota yalnızca origin'e iletilen istekleri sayar. Manuel Under Attack, manuel RPS eşiği, kalıcı saldırı modu, bakım modu ve Sistem Analizi yalnızca Pro ve Enterprise'dadır; diğer özellikler her pakette açıktır. Abonelik site başınadır. Fiyatlar için fiyatlandırma sayfasına bakın.
Sınırlar
Satın almadan önce bilmeniz gereken sınırlar:
- Tek bölge, tek sunucu. Hizmet Türkiye'de tek bir sanal sunucuda (8 vCPU, 16 GB RAM) çalışır. Çok bölgeli kenar ağı yok.
- Anycast yok ve upstream temizleme (scrubbing) hizmeti yok.
- Bant genişliği vaadi yok. Hacimsel bir saldırı sağlayıcı hattını doldurursa trafik sunucuya ulaşmadan hat tıkanabilir. Kapasite rakamı vermiyoruz.
- Yüzdesel SLA yok. Hizmet Şartları'nda bir hizmet seviyesi hedefi var; bu bir taahhüt değildir. Bakım kısa kesintilere yol açabilir.
- WAF regex tabanlıdır. Girdiyi bir sözdizimi ağacına ayırmaz; yeni ya da gizlenmiş saldırı biçimlerini kaçırabilir.
- Yanlış pozitif oranını ölçmedik. Yeni bir siteyi önce Monitor modunda izleyin.
- Origin yalıtımı sizin adımınıza bağlıdır. L3/L4 yalıtımı, origin güvenlik duvarı betiğini siz çalıştırırsanız geçerlidir.
Bu sınırlar sizin tehdit modelinize uymuyorsa, bunu satın almadan önce bize yazın.
Sonraki adım
Yeni bir WAF seçiyorsanız WAF seçerken sorulacak 10 soru listesini kullanın. Bot tarafını merak ediyorsanız bot koruması ve CAPTCHA alternatifleri rehberi var. Kurulum soruları için yardım sayfası açık.
Kaynaklar
İlgili ürün sayfaları:Teknoloji Fiyatlandırma
Sık sorulan sorular
Nexren Shield'i kullanmak için sunucumu taşımam gerekir mi?
Hayır. Sunucunuz olduğu yerde kalır. Panelde alan adınızı ve origin IP'nizi girer, DNS kaydınızı Nexren'in uç adresine yönlendirirsiniz.
Ücretsiz deneme var mı?
Hayır, ücretsiz deneme sunmuyoruz. Hesapları ekip açar; başlamak için iletişim sayfasından yazabilirsiniz.
Abonelik kaç alan adını kapsar?
Abonelik site başınadır ve bir alan adını kapsar. Birden fazla siteyi korumak için her site için ayrı abonelik gerekir.
Kota dolarsa koruma kapanır mı?
Hayır. Kota dolunca ek ücret çıkmaz ve koruma devam eder; panel yalnızca bir kota aşımı uyarısı gösterir.
Destek hangi saatlerde çalışır?
E-posta ve bilet desteği hafta içi 09:00-18:00 arasındadır. Otomatik tehdit izleme ise kesintisiz çalışır.
İlgili rehberler
WAF nedir? Web uygulama güvenlik duvarı nasıl çalışır
WAF (web uygulama güvenlik duvarı), uygulamanıza giden HTTP isteklerini kurallara göre inceler ve SQL injection, XSS gibi saldırıları uygulamaya ulaşmadan engeller.
Ters proxy nedir? Reverse proxy mantığı, TLS ve güvenlik
Ters proxy, istemcilerin bağlandığı ve istekleri arkadaki sunucuya ileten ara katmandır.
DDoS saldırı türleri: L3, L4 ve L7 farkları ve savunma
DDoS saldırıları üç sınıfa ayrılır: hattı doldurmaya çalışan hacimsel saldırılar (L3/L4), bağlantı tablolarını tüketen protokol saldırıları (L4) ve uygulamayı yoran HTTP saldırıları (L7).
Origin IP Gizleme ve Origin Lock: Sızıntı Yolları ve Çözüm
Origin IP, ters proxy arkasındaki gerçek sunucunuzun adresidir.