Oyun Sunucusu DDoS Koruması: TCPShield ve OVHcloud Game DDoS Protection

İki temel yaklaşım: proxy ve ağ seviyesi koruma

Oyun sunucusu korumaları kabaca iki modele ayrılır:

Proxy modelinde saldırgan sizin sunucunuzu değil, sağlayıcının dağıtık ağını hedef alır; sunucu IP'niz gizli kaldığı sürece saldırı oraya ulaşmaz. Ağ seviyesi modelde ise sunucu IP'si açıktır, ama sağlayıcı saldırı trafiğini kendi omurgasında, sunucuya ulaşmadan ayıklar. İki model birbirinin yerine geçmez; hangisinin uygun olduğu sunucunuzu nerede barındırdığınıza ve oyununuza bağlıdır.

TCPShield nedir?

TCPShield'in belgeleri kendisini web siteleri ve oyun sunucularının güvenliğine, kararlılığına ve erişilebilirliğine odaklanan bir DDoS azaltma sağlayıcısı olarak tanımlar ve şu an Minecraft sunucularını korumada uzmanlaştığını söyler. Teknik olarak TCPShield dağıtık bir proxy'dir: trafiği sizin adınıza karşılar, gelen bağlantıların meşru olup olmadığına karar verir ve geçersiz ya da kötü niyetli olanları engeller. Anycast bir ağ kullanır. TCPShield Docs: Giriş

Nasıl kurulur (özet)?

• TCPShield panelinde bir ağ (network) oluşturup domaininizi ve backend IP adresinizi tanımlarsınız. Ana sayfa bunu 'domain ve backend IP belirtip korunan CNAME kaydını yönlendirmek' olarak özetler.
• DNS'te oyuncuların kullanacağı alt alan adlarını (örneğin mc veya play) panelin Domains sayfasında gösterilen korunan CNAME'e yönlendirirsiniz.
• Sunucunuzun gerçek IP'sine işaret eden eski DNS kayıtlarını kaldırırsınız.
• Frontend sunucunuza (BungeeCord, Velocity, Spigot veya Paper gibi) TCPShield eklentisini kurarsınız.

Kök domain ile bağlanmak istiyorsanız TCPShield'in DNS rehberi bir SRV kaydı tarif eder ve iki uyarı yapar: SRV kaydının hedefini doğrudan korunan CNAME'e ayarlamayın (önce 'tcpshield' adlı bir alt alan adı oluşturup onu hedefleyin) ve SRV portu 25565 olmalıdır. TCPShield Docs: DNS Setup

TCPShield eklentisi neden gerekli?

Belgelere göre TCPShield ağına erişim için eklentinin kurulu olması gerekir; eklentinin eski adı RealIP'dir. Eklenti yalnızca frontend makinesine kurulur: BungeeCord veya Spigot gibi, ama ikisine birden değil. En kritik ayar only-allow-proxy-connections seçeneğidir; belgeler bu ayar üretim ortamında true değilse TCPShield tarafından korunmadığınızı ve backend sunucularınızın tarayıcılara açık kalacağını vurgular. TCPShield Docs: TCPShield Plugin

Bedrock ve Geyser desteği

TCPShield'in FAQ sayfasına göre Java Edition desteği tüm planlarda vardır; Bedrock desteği ise Premium plan özelliğidir (planlar sayfası Enterprise planında da Geyser desteğini listeler). Bedrock sanal hostname yönlendirmesini desteklemediği için her Bedrock tüneline ayrı bir statik IP verilir. TCPShield Docs: FAQ Geyser belgesi, Proxy Protocol kullanırken UDP 19132 portuna yalnızca TCPShield IP'lerinden gelen bağlantılara izin vermeyi önerir ve şu iptables örneğini verir: TCPShield Docs: Geyser

ipset -F tcpshield
ipset -X tcpshield
ipset -N tcpshield nethash

for IP in $(curl -q https://tcpshield.com/v4/); do
    ipset -A tcpshield $IP
done

iptables -t raw -F
iptables -t raw -A PREROUTING -m set --match-set tcpshield src -p udp --dport 19132 -j ACCEPT
iptables -t raw -A PREROUTING -p udp --dport 19132 -j DROP

TCPShield planları ve fiyatları

Aşağıdaki fiyatlar 3 Kasım 2026 itibarıyla resmi sayfada ($ işaretiyle, aylık) gösterilen değerlerdir. Fiyatlar değişebilir ve vergiler eklenebilir; güncel değerler için TCPShield: Plans sayfasına bakın.

TCPShield ayrıca belgelerinde Minecraft dışındaki uygulama ve oyunlar için Sentry Tunnel adlı bir tünel özelliğinden söz eder; bu yazıda Minecraft senaryosuna odaklanıyoruz.

OVHcloud Game DDoS Protection nedir?

OVHcloud'un Game DDoS Protection'ı (belgelerde Game firewall olarak da geçer), belirli oyun protokollerini korumaya odaklanan bir Katman 7 (uygulama) firewall'udur ve Bare Metal Game sunucularına entegredir. OVHcloud'un genel Anti-DDoS altyapısı ağ katmanlarını (Katman 3 ve 4) korurken, Game DDoS Protection bunun üzerine bağlantısız (genellikle UDP) oyun protokollerini derinlemesine analiz eden ikinci bir katman ekler. Ürün sayfası, VPS serisinde Game DDoS Protection bulunmadığını açıkça belirtir. OVHcloud: Game DDoS Protection

Nasıl yapılandırılır?

• Sunucuya bir şey kurmanız gerekmez; koruma kontrol panelinde Network > Public IP Addresses bölümünden IP başına etkinleştirilir.
• Her kural bir oyun profili ve port aralığından oluşur; kuralların portları çakışmamalıdır.
• GAME-1 ve GAME-2 gibi yeni (2024 ve sonrası) sunucularda IP başına 100, eski RISE-GAME ve SYS-GAME serilerinde 30 kurala kadar izin verilir.
• Belge, kurallarla eşleşmeyen trafiği engelleyen 'Default Deny' politikasının etkinleştirilmesini güçlü biçimde önerir.
• Game DDoS Protection, Edge Network Firewall kurallarından sonra devreye girer; bu yüzden Edge Network Firewall çok katı olmamalıdır.
• Aynı sunucuya bağlı ek IP adreslerinin her biri ayrıca yapılandırılmalıdır.

Kaynak: OVHcloud Docs: How to protect a Game server with the application firewall

Minecraft desteği

OVHcloud dokümanı Minecraft için Minecraft Java, Minecraft Query, Minecraft Bedrock ve Minecraft Pocket Edition profillerini listeler. Ürün sayfası ise Bedrock için RakNet cookie desteğinden söz ederken Java tarafını Anti-DDoS altyapısındaki Query profiliyle ilişkilendirir. İki sayfa farklı ayrıntı verdiği ve desteklenen liste zamanla değiştiği için, OVHcloud'un da önerdiği gibi kontrol panelindeki güncel profil listesini esas alın. Diğer desteklenen oyunlar arasında Rust, Valheim, Counter-Strike 2, ARK ve FiveM bulunur.

Fiyat

OVHcloud ürün sayfası, saldırıların hacminden bağımsız olarak ek ücret alınmadan ve süre sınırı olmadan azaltıldığını belirtir; Game DDoS Protection'ın kendisi için ayrı bir fiyat göstermez. Ücreti ödenen ürün Game dedicated sunucunun kendisidir. Bu yazıda sunucu fiyatı vermiyoruz; güncel değerler OVHcloud'un fiyat sayfasındadır.

Path.net hakkında

Oyun sunucusu korumasında adı geçen bir diğer sağlayıcı Path.net'tir. Bu yazıyı hazırlarken Path.net'in resmi sayfasına erişip içeriğini doğrulayamadığımız için hakkında bilgi vermiyoruz.

Hangi yaklaşım ne zaman mantıklı?

• Sunucunuz OVHcloud dışındaysa veya evde barınıyorsa: Proxy tabanlı bir hizmet, sunucuyu taşımadan koruma eklemenin yoludur. TCPShield'in ev sunucuları için de bir rehberi vardır.
• Bedrock ve UDP ağırlıklı oyunlarda: Proxy hizmetinin ilgili protokolü hangi planda desteklediğine bakın (TCPShield'de Bedrock Premium ve üzerinde).
• Gecikmeye çok duyarlıysanız: Ağ seviyesi koruma ek bir proxy durağı eklemez; proxy'de ise rota değişeceği için ping'i test edin.
• Web paneli veya site için: Oyun dışı HTTP trafiğini Cloudflare planları ve Cloudflare WAF ile ayrıca koruyabilirsiniz. Oyun trafiği için ayrı bir koruma gerekir.

Sık Sorulan Sorular

Minecraft sunucusu için DDoS koruması nasıl yapılır?

İki yaygın yol vardır: TCPShield gibi bir proxy hizmetiyle sunucu IP'nizi gizleyip trafiği proxy ağında temizlemek ya da oyun profilli ağ seviyesi koruması sunan bir sağlayıcıda (örneğin OVHcloud Game sunucuları) barınmak.

TCPShield ücretsiz mi?

TCPShield'in resmi planlar sayfasında 3 Kasım 2026 itibarıyla aylık $0 olan bir Free plan bulunuyor (1.0 TB bant genişliği, 1 ağ, 3 domain). Bedrock desteği gibi özellikler ücretli planlardadır.

TCPShield kullanınca sunucu IP'm gizli kalır mı?

Oyuncular korunan CNAME üzerinden bağlandığı ve gerçek IP'yi gösteren eski DNS kayıtlarını kaldırdığınız sürece IP DNS'te görünmez. Eklentide only-allow-proxy-connections ayarını true yapmak da belgelerin şart koştuğu bir adımdır.

OVH Game DDoS koruması VPS'te var mı?

Hayır. OVHcloud ürün sayfası Game DDoS Protection'ın VPS serisinde bulunmadığını belirtir; özellik Bare Metal Game sunucularına entegredir.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: DDoS koruma rehberi · Minecraft sunucu kurulumu · Cloudflare planları · Firewall nedir · nftables ve CrowdSec ile sunucu koruma · Cloudflare WAF