Nexren ShieldBeş katman, tek istek yolu
Nexren Shield’in nasıl çalıştığını, neyi ölçtüğümüzü ve nerede sınırlandığımızı açıkça yazıyoruz. Buradaki her sayı yayımlanmış bir ölçüme ya da kaynak kodumuzdaki bir sabite dayanır.
Sadeleştirilmiş görünüm. Kırmızı etiketler o katmanda verilebilecek kararları gösterir.
Her katman bir öncekinin bıraktığını eler
Çekirdek katmanı
Yasaklı adreslerden gelen paketler, sunucunun bağlantı izleme tablosuna bile girmeden ağ kartının hemen arkasında düşürülür. Breakwave, aynı adresten gelen bağlantı ve SYN selini adres başına sınırlar.
- XDP kipi
- generic (skb), operatör onaylı iki adımlı açılış
- SYN hız sınırı
- IP başına 100/sn, ani artış 200
- Eşzamanlı bağlantı
- IP başına 300
- Yedek yol
- raw/PREROUTING ipset DROP
- SYNPROXY
- uygulanmış ve test edilmiş, canlıda varsayılan kapalı
Bağlantı katmanı
Şifreli bağlantı Nexren’de sonlanır. Sertifikalar kendiliğinden alınır ve yenilenir. Bağlantının parmak izi, istemcinin gerçek bir tarayıcı olup olmadığını değerlendirmede kullanılır.
- TLS
- HTTP/2 destekli sonlandırma
- Sertifika
- Let’s Encrypt (ACME v2)
- Yenileme
- bitişe 15 gün kala, otomatik
- Yeniden yükleme
- 15 saniyede bir, servis yeniden başlatılmadan
- Parmak izi
- JA3/JA4 ve HTTP/2 (Akamai tarzı)
Uygulama katmanı
İsteğin içeriği okunur. Bilinen saldırı kalıpları engellenir, bot olduğundan şüphelenilen istemcilere doğrulama gösterilir. Sel algılanınca site, paketten bağımsız olarak doğrulama kipine geçer.
- WAF imzası
- 600+ kural, girdi normalizasyonu ile
- Saldırı aileleri
- SQLi, XSS, RCE, LFI, SSRF
- Bot doğrulama
- zaman kilitli iş kanıtı (RSW, WebAssembly)
- Risk modeli
- lojistik regresyon, skora en fazla 30 puan
- İtibar listeleri
- Spamhaus DROP, FireHOL level1, günlük
- Kenar önbelleği
- site başına isteğe bağlı, varsayılan kapalı
Erişim ve denetim
Origin Lock™ sunucunuza yalnız Nexren üzerinden gelinebilmesini sağlar. Panel erişimi, ekip yetkileri ve değişiklik kaydı aynı yerden yönetilir.
- Origin Lock™
- paylaşılan gizli başlık + origin güvenlik duvarı betiği
- Zero Trust
- OTP / TOTP ile doğrulanan erişim
- Ekip yetkileri
- her üyeye modül başına görüntüleme ya da düzenleme yetkisi
- Denetim kaydı
- HMAC-SHA256 zincirli, kurcalamaya dayanıklı
- Uyarılar
- Slack, Discord, Telegram, e-posta
Engellenen paketin maliyetini ölçtük
Aynı sunucuda altı düşürme senaryosu. Ana ölçü, alıcı tarafta paket başına harcanan işlemci süresidir; yükten bağımsızdır.
- XDP generic (539 ns), iptables INPUT düşürmeye (1020 ns) göre engellenen paket başına ~%47, raw/PREROUTING'e (607 ns) göre ~%11 daha ucuz. Sıralama 7 turun 7'sinde de aynı.
- raw ile XDP arasındaki fark gerçek ama küçüktür: generic XDP de skb ayrıldıktan sonra çalışır; kazanç netfilter ve bağlantı izleme girişinin atlanmasından gelir.
- Açık porta SYN selinde SYNPROXY kapalıyken bağlantı izleme tablosu her koşuda doldu (262 143). SYNPROXY açıkken tablo 0 kaldı ve paket başı maliyet ~%31 düştü (1885 ve 2752 ns): asıl kazanç durum tablosunu korumaktır.
Alıcı softirq, ns/paket · medyan (en düşük–en yüksek) · 7 Ekim 2026 · 6 senaryo × 7 koşu × 5 sn
Aynı sanal sunucuda iki ağ ad alanı ve bir veth çifti kuruldu; canlı arayüze hiçbir şey bağlanmadı. Üreteç her pakette kaynak adresi /16 içinden ve kaynak portu rastgele seçerek sahte kaynaklı IPv4 SYN seli gönderdi (pratikte her SYN yeni bir akış). Engelli senaryolarda /16'nın 65 534 adresinin tamamı listedeydi. Bağlantı izleme her senaryoda açıktı. Her koşu taze bir ad alanı çiftinde yapıldı; senaryolar turlar hâlinde dönüşümlü sırayla koşturuldu ve üretici tek bir vCPU'ya sabitlendi. Bağımsız bir 7 koşuluk tekrar senaryo 1–3'te %3'ün altında fark verdi. Ölçüm betikleri ve ham veriler kaynak depomuzda tutulur; tablo ham veriden yeniden üretilebilir. XDP bağlama/sökme ve SYNPROXY davranışı ayrıca yalıtılmış ağ ad alanlarında uçtan uca test edilir.
Bu sayılar katmanlar arası göreli bir karşılaştırmadır. veth + generic XDP + sanal makine, gerçek ağ kartının satır hızı değildir; mutlak pps/ns değerleri bu sunucunun veth yoluna özgüdür. Gönderen ve alıcı aynı vCPU'yu paylaşır; çok kuyruklu (RSS) dağıtım ölçülmedi. Sunulan paket hızları bir sunucu kapasitesi değildir. Yalnız IPv4 ve 40 baytlık SYN paketleri ölçüldü; IPv6 ve bant genişliği (Gbps) ölçülmedi. Ölçüm sırasında canlı servisler çalışıyordu; dönüşümlü sıra ve N=7 gürültüyü dağıtır ama ortadan kaldırmaz. SYNPROXY senaryosu IP başına Breakwave sınırları kapalıyken ölçüldü; canlıda sınırlar SYNPROXY'den önce uygulanır.
Nerede ve neyle çalışıyoruz
Nexren Shield, Türkiye içindeki bir veri merkezinde çalışır. Koruma kapasitesi, sunucunun ve barındırma sağlayıcısının ağ bağlantısıyla belirlenir.
- Bölge
- Türkiye'de tek veri merkezi, tek bölge
- Sunucu
- Tek sanal sunucu · 8 vCPU · 16 GB RAM · Debian 12
- Ağ
- Anycast ve BGP yok; üst bağlantıda trafik temizleme hizmeti yok
- Çekirdek / XDP
- Linux 6.1 · generic (skb) XDP; yerel (sürücü) XDP bu ağ kartında Linux 6.6+ gerektirir
- Uygulama
- Bun + TypeScript; ağ geçidi, uç (edge) ve denetim düzlemi ayrı servisler
Panelde yaptığınız her şey API’de de var
REST API ve MCP sunucusu, paneldeki modül yetkilerine aynen uyar.
- REST API v1
- OpenAPI 3.1 belgesi, kapsamı sınırlı API belirteçleri, hız sınırı ve 24 saat saklanan Idempotency-Key yanıtları.
- MCP sunucusu
- JSON-RPC 2.0 üzerinden altı araç — siteleri listeleme, site ayrıntısı, site ekleme (DNS doğrulamasıyla), önbellek temizleme, WAF yapılandırmasını okuma ve olay sorgulama.
Altyapı hakkında sorunuz mu var?
Ölçümler, sınırlar ya da kurulum hakkında teknik ekibimize yazın.