Anycast IP Nedir? BGP Yönlendirme ve DDoS Önleme Mimarisi

Anycast IP, aynı IP adresinin veya IP bloğunun internet üzerinde birden fazla farklı fiziksel sunucu ve coğrafi veri merkezi tarafından BGP (Sınır Geçit Protokolü) aracılığıyla aynı anda anons edildiği bir ağ yönlendirme yöntemidir. Geleneksel internet iletişiminde kullanılan Unicast yönteminde her IP adresi dünya genelinde tek bir fiziksel sunucuyu veya yönlendirici arayüzünü temsil ederken; Anycast mimarisinde aynı adres İstanbul, Frankfurt, Amsterdam veya New York gibi farklı konumlardaki sunuculara eşzamanlı olarak atanır. Bir istemci bu IP adresine istek gönderdiğinde, internet omurgasındaki yönlendiriciler paketi ağ topolojisine, otonom sistem sekme sayısına ve yönlendirme maliyetine göre en yakın düğüme teslim eder.

Anycast teknolojisi, alan adı sorgularını hızlandıran DNS sunucularında, statik web varlıklarını dağıtan içerik dağıtım ağlarında (CDN) ve yüksek hacimli siber saldırıları karşılayan dağıtık DDoS koruma altyapılarında çekirdek bileşen olarak kullanılır.

Unicast, Broadcast, Multicast ve Anycast: Yönlendirme farkları

İnternet Protokolü (IP) mimarisinde paketlerin hedefe nasıl ulaştırılacağını belirleyen dört temel adresleme ve yönlendirme yöntemi bulunur. Bu yöntemler arasındaki temel ayrım, paketi gönderen kaynak ile paketi alan hedef arasındaki ilişki yapısından kaynaklanır:

Unicast adreslemede bir sunucunun internet bağlantısı koptuğunda veya sunucu aşırı yük altında kaldığında o IP adresine gönderilen tüm paketler yanıtsız kalır. Anycast adreslemede ise sunuculardan biri devre dışı kaldığında, o veri merkezinden yapılan BGP anonsu geri çekilir ve internet trafiği otomatik olarak sonraki en yakın düğüme yönlendirilir.

BGP ile Anycast nasıl çalışır? Yönlendirme mekanizması

Anycast altyapısının çalışabilmesi için bağımsız bir Otonom Sistem Numarası (ASN) ve en az bir adet /24 IPv4 bloğu (256 adet adres) gerekir. Küresel internet yönlendirme tabloları, yönlendiricilerin bellek sınırlarını korumak amacıyla /24'ten daha küçük blokların genel internette BGP ile anons edilmesine izin vermez.

Anycast yönlendirme süreci şu adımlarla gerçekleşir:

[İstemci (Kullanıcı)]
         │
         ▼
[Yerel İnternet Servis Sağlayıcısı (ISP)]
         │
         ▼
[BGP Yönlendirme Tablosu (En Kısa Otonom Sistem Rotası / En Düşük Metrik)]
         ├────────────────────────┬────────────────────────┐
         ▼                        ▼                        ▼
[PoP 1: İstanbul]        [PoP 2: Frankfurt]       [PoP 3: Amsterdam]
 (Aynı Anycast IP)        (Aynı Anycast IP)        (Aynı Anycast IP)

1. Eşzamanlı BGP Anonsu: Ağ yöneticisi, sahip olduğu Anycast IP bloğunu dünyanın farklı noktalarında bulunan veri merkezlerindeki (PoP - Point of Presence) sınır yönlendiricilerinden aynı ASN ile internet değişim noktalarına (IXP) ve üst taşıyıcılara (Tier-1 / Tier-2 transit sağlayıcılar) anons eder.
2. Yol Belirleme (Rota Seçimi): Bir kullanıcı Anycast IP adresine doğru bir istek başlattığında, kullanıcının internet servis sağlayıcısı (ISP) kendi BGP tablosundaki rotaları inceler. BGP algoritması en kısa otonom sistem geçişine (AS rotası uzunluğu), yerel öncelik (Local Preference) değerine ve IGP (İç Ağ Geçit Protokolü) metriklerine göre hedef IP'ye giden en uygun yolu seçer.
3. En Yakın Düğüme Ulaşım: Türkiye'den çıkan bir istek doğrudan Türkiye'deki PoP noktasına teslim edilirken, Almanya'dan çıkan bir istek Frankfurt'taki PoP noktasına teslim edilir. Buradaki "yakınlık" fiziksel coğrafi mesafeden ziyade ağ kabloları ve yönlendirici sekmeleri (hops) bazındaki mantıksal ağ mesafesidir.

Anycast mimarisinde TCP oturumu yönetimi ve rota dalgalanması

Anycast mimarisi, DNS gibi UDP tabanlı ve tekil soru-cevap mantığıyla çalışan durumsuz (stateless) protokollerde yüksek verimle çalışır. İstemci tek bir UDP paketi gönderir ve gelen tekil UDP yanıtıyla işlem tamamlanır.

Buna karşılık HTTP, HTTPS ve SSH gibi durum bilgisi (stateful) tutan TCP bağlantılarında Anycast uygulanırken özel ağ önlemleri alınması gerekir. TCP protokolü üç aşamalı el sıkışma (SYN, SYN-ACK, ACK) ve oturum boyunca sıra numaralarının doğrulanması esasına dayanır:

• Rota Dalgalanması (Route Flapping) Riski: İnternet servis sağlayıcıları arasındaki ara hatlarda geçici bir kesinti veya BGP yol güncellemesi yaşandığında, kullanıcının trafiği oturum devam ederken bir PoP noktasından diğerine sapabilir. Örneğin kullanıcı ilk SYN paketini İstanbul PoP noktasına göndermiş ve oturum orada açılmışken, sonraki veri paketleri anlık BGP dalgalanması nedeniyle Frankfurt PoP noktasına ulaşabilir.
• Bağlantı Sıfırlama (Connection Reset): Frankfurt'taki sunucu o TCP oturumunun el sıkışma durumunu bilmediği için tanınmayan paketlere TCP RST (sıfırlama) bayrağıyla yanıt verir ve kullanıcının bağlantısı kopar.

Modern Anycast ağlarında bu sorunu engellemek için üç temel mimari çözüm uygulanır:

1. Tutarlı Özetleme (Consistent Hashing) ve ECMP: Kenar yönlendiricilerde Eşit Maliyetli Çoklu Yol (ECMP) yönlendirmesi yapılarak istemci IP'si ve kaynak portu üzerinden paketler oturum süresince aynı sunucu havuzuna yönlendirilir.
2. PoP Noktaları Arası Tünelleme: Farklı veri merkezleri arasında GRE (Generic Routing Encapsulation) veya IPIP tünelleri kurularak yanlış PoP noktasına gelen bir oturum paketi, oturumu ilk açan PoP noktasına iç ağ üzerinden şeffaf şekilde aktarılır.
3. Kenarda Sonlandırma ve Kaynak İletimi: Web trafiğinde Anycast düğümleri doğrudan son sunucu olmak yerine ters vekil (reverse proxy) olarak çalışır. TCP el sıkışması ve TLS sonlandırması en yakın Anycast düğümünde tamamlanır; arka plandaki kaynak sunucuya olan iletişim optimize edilmiş kararlı tüneller üzerinden yürütülür.

DDoS saldırılarına karşı Anycast: Dağıtık trafik sönümleme ve süzme

Anycast ağ mimarisi, dağıtık hizmet engelleme (DDoS) saldırılarına karşı en etkili savunma hattını oluşturur. DDoS saldırılarının yıkıcı gücü, binlerce ele geçirilmiş cihazdan (botnet) aynı anda gelen devasa trafik hacminden kaynaklanır.

Geleneksel Unicast mimarisi ile Anycast koruma mimarisinin saldırı anındaki davranışı şu şekilde farklılaşır:

[Geleneksel Unicast Mimarisi - Tek Hedef]
Küresel Botnet Saldırısı (1 Tbps) ──► [Tek Veri Merkezi Hattı (100 Gbps)] ──► HAT DOYAR (Hizmet Çöker)

[Anycast Dağıtık Koruma Mimarisi]
Küresel Botnet Saldırısı (1 Tbps)
 ├─ Asya Trafiği (300 Gbps)    ──► [Tokyo PoP Süzme Katmanı]     ──► Yerel temizleme
 ├─ Avrupa Trafiği (400 Gbps)  ──► [Frankfurt PoP Süzme Katmanı] ──► Yerel temizleme
 └─ Türkiye Trafiği (300 Gbps) ──► [İstanbul PoP Süzme Katmanı]  ──► Yerel temizleme
                                          │
                                          ▼
                            [Kaynak Sunucuya Yalnızca Temiz Veri İletilir]

Volümetrik bir saldırı (örneğin DNS amplification, NTP reflection veya SYN flood) başlatıldığında:

• Trafiğin Coğrafi Olarak Parçalanması: Saldırı trafiği tek bir sunucunun internet bağlantısına veya veri merkezinin omurga kapasitesine hücum edemez. Dünyanın farklı ülkelerine yayılmış botnet düğümleri, BGP yönlendirmesi gereği kendi bölgelerindeki en yakın Anycast PoP noktasına akar. 1 Tbps büyüklüğündeki küresel bir saldırı, ağdaki 20 farklı düğüme bölünerek her düğümde yönetilebilir 50 Gbps'lik paket seviyelerine iner.
• Yerel Süzme Merkezleri (Edge Scrubbing): Her Anycast PoP noktasında donanımsal ve yazılımsal güvenlik filtreleri yer alır. Zararlı paketler (sahte kaynaklı UDP paketleri, geçersiz TCP bayrakları, anomali içeren HTTP istekleri) kullanıcının bulunduğu bölgedeki PoP noktasında süzülerek çöpe atılır.
• Kaynak Sunucunun Korunması: Kaynak sunucunun gerçek IP adresi internete doğrudan duyurulmaz; yalnızca Anycast ağı üzerinden gelen doğrulanmış temiz trafik iletilir. Bu sayede sunucunun internet erişim hattı doygunluğa ulaşmaz ve meşru kullanıcılar hizmet almaya devam eder.

TREAS altyapısında sunulan sanal sunucu ve hosting hizmetlerinde Anycast mimarisi aktif olarak devrededir. TREAS'ın kendi geliştirdiği DDoS koruma katmanı olan TRSHIELD, Anycast ağ yapısı üzerinde çalışarak L3, L4 ve L7 seviyesinde trafik süzmesi gerçekleştirir. 12 Tbps DDoS koruma kapasitesi ile bilinen bütün saldırı vektörlerine karşı koruma sağlar ve gelen-giden trafiği 1 ms altı ek gecikmeyle analiz eder. DDoS koruma özellikleri ve katmanları hakkında daha geniş bilgi için /ddos-koruma sayfamızı ve /rehber/ddos-saldirisi-nedir başlıklı rehberimizi inceleyebilirsiniz.

Anycast ve Unicast karar tablosu: Hangi altyapı için hangisi seçilmeli?

Sunucu yönetimi, ağ tasarımı ve uygulama mimarisi planlarken her senaryo için Anycast zorunlu veya uygun değildir. İhtiyacınıza en uygun yönlendirme metodunu seçerken aşağıdaki karar kriterlerini göz önünde bulundurabilirsiniz:

Kendi ağınızda bağımsız BGP anonsu yapmak veya sunucularınız arasında özel adresleme planlamak istiyorsanız, tahsis edilen IP bloklarının boyutları ve yönlendirme şartları hakkında teknik ayrıntılara /ip-kiralama sayfamızdan ulaşabilirsiniz.