BGP VDS Nedir? Kendi ASN ve IP Bloğunla Sanal Sunucudan Anons

BGP VDS, üzerinde kendi BGP oturumunuzu kurabildiğiniz sanal dedicated sunucudur. BGP VPS aramasıyla da bulunan bu yapı, kendi ASN'inizi ve IP bloğunuzu fiziksel bir router almadan, sanal sunucudan internete anons etmenizi sağlar. Yani IP adresleriniz hosting firmasına bağlı kalmaz; sunucunuz hangi lokasyonda olursa olsun adresleriniz sizin kontrolünüzde kalır.

Bu yazıda BGP VDS'in ne olduğunu, kimlerin buna gerçekten ihtiyaç duyduğunu, başlamadan önce hazır etmeniz gerekenleri, örnek bir BIRD yapılandırmasını ve sık yapılan hataları adım adım anlatıyoruz.

BGP VDS / BGP VPS nedir?

Klasik bir VDS'te hosting firması size bir IP adresi verir. Adres firmaya aittir; hizmeti bırakırsanız adresi de bırakırsınız. BGP VDS'te ise sunucunun içinde bir BGP daemon'u (BIRD, FRRouting, GoBGP gibi) çalışır ve sağlayıcının router'ıyla eBGP oturumu kurar. Siz kendi ASN'inizle kendi prefix'inizi bu oturum üzerinden anons edersiniz; sağlayıcı da bu rotayı internete duyurur.

"VPS" ve "VDS" terimleri pratikte aynı şeyi anlatır. Önemli olan sanallaştırma etiketi değil, sunucuya BGP oturumu açılıp açılmadığı ve hangi rotaları aldığınızdır.

Kimler için gereklidir?

BGP VDS her proje için gerekli değildir. Şu durumlarda anlamlıdır:

• Kendi ASN'i ve IP bloğu olan küçük ağlar: Adreslerinizi bir sağlayıcıdan diğerine, adres değiştirmeden taşımak istiyorsunuz.
• Hosting ve bayilik işi yapanlar: Müşterilerinize kendi IP bloğunuzdan adres veriyorsunuz ve sağlayıcı değişse bile bu adreslerin kalmasını istiyorsunuz.
• Oyun sunucusu sahipleri: IP itibarı ve adres sürekliliği önemli; DDoS saldırısında trafiği koruma katmanına yönlendirebilmek istiyorsunuz.
• Anycast veya çoklu lokasyon denemek isteyenler: Aynı prefix'i farklı noktalardan anons etmeyi test etmek için tam bir router kurmak istemiyorsunuz.
• BGP öğrenen ağ mühendisleri: Gerçek bir ASN ve gerçek bir oturumla laboratuvar dışı pratik yapmak istiyorsunuz.

Tek bir web sitesi veya küçük bir uygulama barındırıyorsanız, kendi ASN'iniz ve bloğunuz yoksa BGP'ye ihtiyacınız büyük olasılıkla yoktur. Normal bir VDS yeterlidir.

Kendi ASN ve IP bloğuyla anons etmenin avantajları

1. IP taşınabilirliği: Adresler sizin olduğu için sağlayıcı değiştirirken IP değişmez. DNS kayıtları, müşteri whitelist'leri, lisans bağlı IP'ler ve itibar geçmişi korunur.
2. Sağlayıcıdan bağımsız adres planı: Hangi adresin hangi sunucuda çalışacağına siz karar verirsiniz. Rezerve ettiğiniz adresi tek bir kayıtla başka bir sunucuya taşıyabilirsiniz.
3. DDoS senaryolarında esneklik: Saldırı altında prefix'i korumalı bir yola almak mümkün olur. Nixcon'da DDoS korumasız ve DDoS korumalı BGP anonsu ayrı seçenekler olarak sunulur.
4. Yönlendirme kontrolü: Hangi rotaları alacağınızı (yalnızca sağlayıcı rotaları veya full table) ve neyi anons edeceğinizi kendiniz belirlersiniz.
5. Daha düşük giriş maliyeti: Fiziksel router, rack ve transit sözleşmesi yerine sanal bir sunucuyla başlayabilirsiniz. Ağ büyüdüğünde fiziksel sunucu veya colocation'a geçmek mümkündür.

Başlamadan önce hazır olması gerekenler

• ASN: Bir RIR'den (RIPE NCC, ARIN vb.) alınmış, size kayıtlı bir ASN.
• IP bloğu: Genel internette yaygın olarak kabul gören en küçük IPv4 prefix /24, IPv6'da ise /48'dir. Daha küçük prefix'ler çoğu ağda filtrelenir.
• RPKI ROA: Prefix'iniz için, anonsu yapacak ASN'i belirten geçerli bir ROA.
• IRR kaydı: route / route6 nesneleri ve ilgili aut-num kaydı güncel olmalı.

Nixcon'da ASN ve prefix sahipliği RPKI ROA ile resmi RIR/IRR kayıtları üzerinden otomatik doğrulanır. Doğrulanan müşteri ASN'i AS-NIXCON AS-SET'ine eklenir; bu da upstream filtrelerinin prefix'inizi kabul etmesini kolaylaştırır. Kurulum otomatiktir.

Kayıtlarınızı kontrol etmek için örnek:

whois -h whois.ripe.net 198.51.100.0/24
whois -h whois.ripe.net AS64496

Nixcon'da hangi seçenekler var?

BGP destekli VDS sunucularımızda VMware vSphere tabanlı sanal sunucudan BGP oturumu açabilirsiniz. Seçenekler şunlardır:

• DDoS korumasız BGP anonsu
• DDoS korumalı BGP anonsu
• Full routing table (seçmezseniz yalnızca Nixcon rotalarını alırsınız)

Altyapı AS40368 üzerinde çalışır. Ana veri merkezi İzmir'dedir; Frankfurt ve Fremont (Kaliforniya) POP'ları vardır.

Örnek: BIRD ile prefix anonsu

Aşağıdaki örnek dokümantasyon amaçlıdır. ASN, prefix ve komşu adresi örnek değerlerdir; gerçek komşu adresini ve oturum bilgilerini hizmet kurulumunda size iletilen değerlerle değiştirin.

Önce anons edeceğiniz adresi sunucuda bir dummy arayüze bağlayın:

ip link add dummy0 type dummy
ip link set dummy0 up
ip addr add 198.51.100.10/32 dev dummy0

Ardından /etc/bird/bird.conf dosyası (BIRD 2.x):

router id 192.0.2.10;

define MY_ASN = 64496;

protocol device { }

protocol static my_prefixes {
    ipv4;
    route 198.51.100.0/24 blackhole;
}

filter export_mine {
    if net = 198.51.100.0/24 then accept;
    reject;
}

protocol bgp nixcon_v4 {
    local as MY_ASN;
    neighbor 192.0.2.1 as 40368;
    ipv4 {
        import where net = 0.0.0.0/0;
        export filter export_mine;
    };
}

Bu örnekte yalnızca varsayılan rota kabul edilir ve yalnızca kendi prefix'iniz dışarı verilir. Full table alıyorsanız import kuralını bogon, çok uzun AS-path ve kendi prefix'inizi içeren rotaları reddedecek şekilde genişletmeniz gerekir.

Yapılandırmayı yükleyip oturumu kontrol edin:

birdc configure
birdc show protocols
birdc show route export nixcon_v4

Oturum Established durumuna geçtiğinde anons başlamıştır. IPv6 için aynı mantıkla bir ipv6 kanalı ve 2001:db8::/32 benzeri kendi /48 veya daha geniş bloğunuz tanımlanır.

Anonsu doğrulama

Yayılımı dışarıdan görmek için Nixcon looking glass üzerinden İzmir, Frankfurt ve ABD lokasyonlarından BGP rota, ping ve traceroute sorguları yapabilirsiniz. Prefix'iniz için rotanın görünüp görünmediğine, AS-path'e ve traceroute'un sunucunuza ulaşıp ulaşmadığına bakın.

Sık yapılan hatalar

• ROA ile uyumsuz anons: ROA'da maxLength /24 iken /25 anons etmek veya ROA'daki ASN'den farklı bir ASN kullanmak, rotanın RPKI-invalid sayılıp düşmesine yol açar.
• /24'ten küçük prefix anons etmek: /25 ve daha küçük IPv4 prefix'leri çoğu ağda filtrelenir; trafik hiç gelmez.
• Eksik veya eski IRR kaydı: route nesnesi yoksa ya da yanlış origin içeriyorsa upstream filtreleri prefix'i kabul etmeyebilir.
• Kernel'e rota yazmamak veya IP'yi arayüze bağlamamak: BGP oturumu ayakta olsa bile adres sunucuda tanımlı değilse trafik cevapsız kalır.
• Dönüş yolunun asimetrik olması: Birden fazla yoldan trafik alıyorsanız rp_filter ayarı (net.ipv4.conf.all.rp_filter) paketleri düşürebilir. Gerekirse 2 (loose) yapın.
• Full table'ı küçük bir sanal sunucuda almak: Tam tablo bellek ve CPU tüketir. İhtiyacınız yoksa yalnızca sağlayıcı rotaları veya varsayılan rota yeterlidir.
• Çıkış filtresi koymamak: Export filtresi olmazsa yanlışlıkla sahip olmadığınız bir prefix'i anons edebilirsiniz. Her zaman açık bir allow-list kullanın.
• Güvenlik duvarında TCP 179'u kapatmak: Host firewall BGP oturumunu engelleyebilir; komşu adresine izin verin.

DDoS ve izleme tarafı

Kendi prefix'inizi anons ettiğinizde saldırı trafiği doğrudan size gelir. Bu yüzden korumalı BGP anonsu seçeneğini veya DDoS koruma ve firewall hizmetini değerlendirmek mantıklıdır. Trafiğinizi flow bazında izlemek ve saldırıları erken tespit etmek isterseniz NixMon bunun için kullanılabilir. Kendi ASN'i ve IP bloğu olup başka bir yerde barındırılan ağlar için NixGuard Edge ise GRE tüneli üzerinden DDoS korumalı temiz trafik sunar.

Sonuç

BGP VDS, kendi ASN'i ve IP bloğu olanlar için adres bağımsızlığını makul bir başlangıç seviyesinde sağlar. Önce ROA ve IRR kayıtlarını düzeltin, filtrelerinizi yazın, oturumu kurun ve looking glass'tan yayılımı doğrulayın. Büyüdükçe fiziksel sunucu veya colocation'a geçmek de seçenek olarak açıktır.