Hizmetin Teknik Tanımı

Filter Rule, IP prefix sahibi müşterilere yönelik geliştirilmiş bir Layer 4 stateless paket filtreleme yönetim aracıdır. OSI modelinin Transport katmanında (L4) çalışır; uygulama katmanı içeriğini (L7) incelemez. Tanımlanan kurallar, belirlenen IP hedeflerine gelen trafiğin ağ cihazında —uç noktaya ulaşmadan önce— işlenmesini sağlar.

Uygulamaya sol menüdeki Uygulamalar bölümünden erişilebilir. Bu uygulama yalnızca aktif IP prefix hizmeti bulunan hesaplara açıktır; tahsisli prefix, hesabınızdaki hizmet tanımından otomatik olarak tespit edilir.

Teknik Kapsam ve Kısıtlar

ParametreDeğer
Çalışma katmanıOSI Layer 4 (Transport)
Filtreleme türüStateless (bağlantı durumu takip edilmez)
Trafik yönüYalnızca gelen trafik (inbound)
Adres ailesiIPv4
Hedef prefix kısıtıYalnızca /25 – /32 aralığındaki subnet'ler
Hesap başına maksimum kural10 adet
Hedef kısıtıYalnızca size tahsisli IP prefix bloğu içindeki adresler

 

Desteklenen Protokoller

ProtokolAçıklama
anyTüm protokoller
TCPİletim Kontrol Protokolü — port eşleştirmesi desteklenir
UDPKullanıcı Datagram Protokolü — port eşleştirmesi desteklenir
ICMPİnternet Kontrol Mesaj Protokolü
GREGeneric Routing Encapsulation (tünel protokolü)
ESPEncapsulating Security Payload (IPsec şifreli veri)
AHAuthentication Header (IPsec kimlik doğrulama)
SCTPStream Control Transmission Protocol
DCCPDatagram Congestion Control Protocol

Port numarası eşleştirmesi yalnızca TCP ve UDP protokollerinde geçerlidir; diğer protokollerde kaynak/hedef port alanları devre dışı kalır.

Kural Parametreleri

Her filtre kuralı aşağıdaki parametrelerden oluşur:

AlanZorunlulukAçıklamaGeçerli Değerler
Kaynak IPOpsiyonelEşleştirilecek kaynak IP/CIDRHerhangi bir IPv4 veya CIDR; boş bırakılırsa 0.0.0.0/0 (tüm kaynaklar)
Hedef IPZorunluKuralın uygulanacağı hedefSize tahsisli prefix içinde; /25–/32 arası
ProtokolZorunluL4 protokol türüany, tcp, udp, icmp, gre, esp, ah, sctp, dccp
Kaynak PortOpsiyonelKaynak port numarası0–65535; yalnızca TCP/UDP
Hedef PortOpsiyonelHedef port numarası0–65535; yalnızca TCP/UDP
AksiyonZorunluEşleşen paket için yapılacak işlemACCEPT, DROP, REJECT
REJECT TürüKoşulluREJECT aksiyonunda gönderilecek yanıtProtokole bağlı (bkz. aşağıda)

Aksiyon Türleri

ACCEPT

Eşleşen paketler hedef adrese iletilir. Açık izin kuralı olarak kullanılır.

DROP

Eşleşen paketler sessizce imha edilir; gönderici tarafa herhangi bir yanıt dönmez. Bağlantı isteği göndericiye zaman aşımı olarak görünür. DDoS veya kaba kuvvet (brute force) saldırılarında kaynak tespitini zorlaştırmak amacıyla tercih edilir.

REJECT

Eşleşen paketler engellenir ve gönderici tarafa protokole özgü bir hata yanıtı iletilir:

ProtokolREJECT Türü Seçenekleri
TCPtcp-reset — RFC 793 uyumlu TCP RST paketi gönderilir
UDPicmp-port-unreachable — ICMP Type 3 Code 3
UDPicmp-net-unreachable — ICMP Type 3 Code 0
UDPicmp-host-unreachable — ICMP Type 3 Code 1
ICMP, GRE, ESP, AH, SCTP, DCCPYukarıdaki ICMP unreachable seçenekleri

DROP ile REJECT arasındaki fark: DROP gönderici tarafı zaman aşımına bırakırken REJECT anında bir hata mesajıyla bilgilendirir. Servis güvenilirliği gerektiren senaryolarda (örn. yanlış port denemeleri için hızlı geri bildirim) REJECT, saldırı azaltma senaryolarında ise DROP tercih edilir.

Kural Listesi ve İzleme

Tanımlı kurallar ekranda tablo halinde görüntülenir. Her kural için şu bilgiler anlık olarak izlenir:

SütunAçıklama
NumKural sıra numarası (silme işleminde referans alınır)
PacketsBu kuralla eşleşen toplam paket sayısı
BytesBu kuralla eşleşen toplam veri hacmi (byte)
TargetUygulanan aksiyon (ACCEPT / DROP / REJECT)
ProtocolEşleştirilen protokol
SourceKaynak IP/CIDR
DestinationHedef IP/CIDR
OptionsPort veya protokole özgü ek parametreler

Packets ve Bytes sayaçları, kuralın ne ölçüde tetiklendiğini gösterir; bu veriler kural etkinliğinin değerlendirilmesi ve anormal trafik tespiti için kullanılabilir.

Kural Ekleme

Yeni Filtre Kuralı Ekle butonuna tıklayın. Parametreleri girdikten sonra Kuralı Ekle butonuyla kaydedin.

Hedef IP doğrulama mantığı: Girilen hedef IP veya CIDR, hem istemci tarafında hem de sunucu tarafında hesabınıza tahsisli prefix bloğu içinde olup olmadığı kontrol edilir. Ayrıca CIDR girişi yapılıyorsa prefix uzunluğunun /25 ile /32 arasında olması zorunludur; daha geniş bloklar (/24 ve üzeri) kabul edilmez.

Kural Silme

Silmek istediğiniz kuralın yanındaki Sil butonuna tıklayın. Silme işlemi onaylandığında sistem arka planda şu adımları gerçekleştirir:

  1. Kural numarasına göre mevcut kural içeriği sorgulanır
  2. Gönderilen parametre seti (num, target, protocol, source, destination, options) ile sistemdeki kayıt karşılaştırılır
  3. Tam eşleşme sağlandığında kural kaldırılır

Bu çift doğrulama mekanizması, kural sırası değişmişken yanlış kuralın silinmesini önler.

Güvenlik Sınırları

  • Kurallar yalnızca size tahsisli IP prefix bloğundaki adreslere uygulanabilir; başka hesaplara veya genel internet adreslerine kural tanımlanamaz
  • Hesap başına en fazla 10 kural oluşturulabilir; bu limite ulaşıldığında yeni kural ekleme engellenir
  • Her kural eklenip silinirken sunucu tarafında prefix sahipliği yeniden doğrulanır