Konut Tipi P2P Düğüm Güvenliği: dVPN İçin En İyi Yöntemler

Bireysel P2P Düğümlerinin Temelleri ve Riskleri

Evdeki internet bağlantınızın neden sadece Netflix izlemekten daha değerli hale geldiğini hiç merak ettiniz mi? Bunun sebebi, DePIN projelerinin kullanmak için can attığı, henüz değerlendirilmemiş bir bant genişliği madeninin üzerinde oturuyor olmanızdır. DePIN (Merkeziyetsiz Fiziksel Altyapı Ağları), temel olarak depolama veya internet gibi donanım kaynaklarını paylaşan kişileri ödüllendirmek için blokzinciri teknolojisinin kullanılması anlamına gelir.

Basitçe ifade etmek gerekirse; bilgisayarınızı veya bir Raspberry Pi cihazınızı küçük bir sunucuya dönüştürüyorsunuz. Bir dVPN (Merkeziyetsiz VPN) düğümü (node) çalıştırarak, başkalarının trafiklerini sizin ev bağlantınız üzerinden yönlendirmesine izin verirsiniz. Bu durum interneti daha açık bir hale getirir; çünkü bireysel (residential) IP adresleri, büyük güvenlik duvarları tarafından bir veri merkezi gibi algılanmaz. Bu da gizlilik açısından muazzam bir avantajdır.

Bant genişliği madenciliği (bandwidth mining), bu kurulumun "kazanç" kısmıdır. Fazladan yükleme (upload) hızınızı paylaşırsınız ve ağ sizi token ile ödüllendirir. Aylık internet faturanızı dengelemek için harika bir yoldur, ancak yapılandırma konusunda dikkatli olmazsanız ciddi riskleri de beraberinde getirebilir.

Bilgisayar korsanları bireysel düğümleri severler çünkü bu düğümler genellikle zayıf savunulur. Eğer düğümünüzü ele geçirirlerse, sadece bant genişliğinize ulaşmakla kalmazlar; tüm ev ağınıza, yani özel fotoğraflarınıza, akıllı kameralarınıza ve diğer her şeye sızmak için bir kapı aralamış olurlar.

En büyük sorun ise açık portlardır. Çoğu P2P yazılımı, UPnP veya manuel port yönlendirme kullanarak güvenlik duvarınızda bir "delik" açmanızı gerektirir. Eğer bu yazılımda bir açık varsa, internetteki herhangi biri bu açığı kötüye kullanmaya çalışabilir.

Shadowserver Foundation tarafından yayınlanan 2023 raporuna göre, yanlış yapılandırılmış UPnP nedeniyle her gün milyonlarca cihaz dış tehditlere açık hale geliyor; bu da DePIN dünyasına yeni girenler için büyük bir risk oluşturuyor.

Ayrıca IP sızıntıları (IP leaks) konusunda da endişelenmeniz gerekir. Eğer düğüm yazılımınız yeterince güçlendirilmemişse, başkalarına gizlilik sağlamaya çalışırken yanlışlıkla kendi gerçek kimliğinizi ifşa edebilirsiniz. Bunu önlemek için yapılandırmanızda bir "kill-switch" (acil durdurma anahtarı) veya yönetim trafiğiniz için ikincil bir VPN kullanmalısınız. Bu sayede, düğümün kontrol mekanizmasında bir hata oluşsa bile ev IP adresinizin halka açık veri izleyicilerine sızması engellenmiş olur.

Temel bilgileri kavradığımıza göre, şimdi bu sistemi nasıl gerçekten güvenli hale getirebileceğinizi ve siber saldırılara karşı nasıl korunacağınızı konuşalım.

Ağ İzolasyonu ve Donanım Kurulumu

Tanımadığınız kişilerin trafiğini kendi donanımınız üzerinden yönlendirmesine izin vermek, aslında tüm dünyayı oturma odanıza davet etmek gibidir; bu yüzden mutfağa giremediklerinden emin olmanız gerekir.

DePIN güvenliğinde altın standart ağ izolasyonudur. Bir dVPN istemcisindeki açığın, birine ağ depolama cihazınıza (NAS) veya iş bilgisayarınıza erişim yolu sunmasını istemezsiniz. Her şeyden önce, bu tür yazılımları günlük kullandığınız ana bilgisayarınızda çalıştırmayın. Ciddiyim. Eğer bir düğüm (node) uygulamasında güvenlik açığı varsa, tüm işletim sisteminiz risk altına girer. Bunun yerine ucuz, özel bir mini-PC veya Raspberry Pi edinin. Zaten 7/24 madencilik (mining) için bu cihazlar çok daha enerji verimlidir.

• VLAN'lar (Sanal Yerel Ağlar): Bu işin profesyonel yöntemidir. Trafiği anahtar (switch) seviyesinde etiketleyerek düğümün kendi alt ağında (subnet) kalmasını sağlarsınız. Tek bir internet hattı için ödeme yapsanız bile, sanki iki ayrı yönlendiriciniz varmış gibi çalışır.
• Güvenlik Duvarı (Firewall) Kuralları: Düğüm VLAN'ından "Ana" ağınıza doğru başlatılan tüm trafiği engellemeniz gerekir. pfSense veya OPNsense gibi sistemlerde bu, düğüm arayüzünde basit bir kuraldır: Engelle Kaynak: Node_Net, Hedef: Home_Net.
• "Misafir Ağı" Kısayolu: Eğer 802.1Q VLAN etiketlemeyi desteklemeyen standart bir ev yönlendiricisi kullanıyorsanız, yerleşik Misafir Ağı (Guest Network) özelliğini kullanın. Bu özellik genellikle varsayılan olarak "AP İzolasyonu"nu etkinleştirir. Not: Bazı Misafir Ağları port yönlendirmeyi tamamen engeller; bu da NAT delme (hole-punching) yapamayan düğümleri bozabilir, bu yüzden önce yönlendirici ayarlarınızı kontrol edin.

P2P ağlar, binlerce eşzamanlı bağlantı oluşturur. Cisco'nun 2024 tarihli bir raporu, yoğun ağ trafiğiyle gelen durum tablosu (state table) şişmesini cihaz kilitlenmesi yaşamadan yönetebilmek için modern ve yüksek performanslı yönlendiricilerin şart olduğunu vurguluyor. Eski bir servis sağlayıcı modeminde beş farklı düğüm çalıştırmaya çalışan kullanıcıların, NAT tablosu yetersizliği nedeniyle cihazlarının kilitlendiğine defalarca şahit oldum.

Ağı fiziksel olarak ayırdığımıza göre, şimdi o izole kutu üzerinde çalışan yazılımı gerçek anlamda nasıl kilitleyeceğimizi konuşalım.

Yazılım güvenliği ve işletim sistemi sıkılaştırma

Ağınızı izole etmiş olabilirsiniz, ancak düğümünüzdeki (node) yazılımlar eskiyse, arka kapıyı resmen açık bırakmışsınız demektir. Bazı kullanıcıların DePIN düğümlerini kurup altı ay boyunca yüzüne bakmadıklarına şahit oldum; bu durum, cihazınızın bir botnet ağına dahil edilmesi için biçilmiş kaftandır.

Bir dVPN düğümü çalıştırmak, yaşayan bir ağın parçası olduğunuz anlamına gelir ve her gün yeni açıklar keşfedilir. Eğer Ubuntu veya Debian kullanıyorsanız, unattended-upgrades (katılımsız güncellemeler) ayarını mutlaka yapmalısınız. Böylece çekirdek (kernel) ve güvenlik kütüphaneleriniz, siz sürekli terminal başında beklemek zorunda kalmadan güncel kalır.

• Güncellemeleri otomatikleştirin: Düğüm istemcinizin (node client) otomatik güncelleme özelliği yoksa, en güncel ikili dosyayı (binary) çekmek için basit bir cron görevi veya systemd zamanlayıcısı kullanabilirsiniz.
• Güvenin ama doğrulayın: Önünüze gelen her betiği körü körüne indirmeyin. Yayınlanan sürümlerin SHA256 sağlama toplamlarını (checksum) her zaman kontrol edin (örneğin: sha256sum -c checksum.txt). Geliştirici, paylaşımlarını GPG ile imzalıyorsa bu çok daha güvenilirdir.
• Gelişmeleri takip edin: Ben genellikle squirrelvpn platformunu takip ediyorum; yeni VPN protokolleri ve gizlilik trendleri konusunda güncel kalmak için oldukça sağlam bir kaynak.

Düğümünüzü asla "root" (yönetici) yetkileriyle çalıştırmayın. Eğer birisi P2P protokolündeki bir açıktan faydalanırsa ve siz root olarak çalışıyorsanız, tüm sistemin kontrolünü ele geçirebilirler. Ben, iyi bir soyutlama katmanı sağladığı için Docker kullanmayı tercih ediyorum.

docker run -d \
  --name dvpn-node \
  --user 1000:1000 \
  --cap-drop=ALL \
  --cap-add=NET_ADMIN \
  -v /home/user/node_data:/data \
  depin/provider-image:latest

Snyk tarafından yayınlanan 2024 raporuna göre, popüler konteyner imajlarının %80'inden fazlası yamalanabilir en az bir güvenlik açığı barındırıyor. Bu yüzden imajlarınızı güncel tutmak (pull etmek) tartışmaya kapalı bir zorunluluktur.

Dürüst olmak gerekirse, günlüklerinizi (logs) düzenli olarak inceleyin. Tanımadığınız ülkelerdeki rastgele IP adreslerine yönelik garip giden bağlantılarda (outbound) bir artış görürseniz, bir şeyler ters gidiyor olabilir. Bir sonraki bölümde, düğümünüzün sağlığı ve performansı üzerinde nasıl tam görünürlük sağlayacağınızı inceleyeceğiz.

Gelişmiş güvenlik duvarı ve port yönetimi

Açık portlar aslında düğümünüzün (node) "hizmete hazır" olduğunu gösteren bir tabeladır; ancak her kapıyı kilitsiz bırakırsanız, başınıza iş açarsınız. Çoğu kişi sadece "UPnP'yi etkinleştir" seçeneğine tıklar ve işin bittiğini sanır, fakat dürüst olmak gerekirse bu, ileride pişman olacağınız devasa bir güvenlik açığıdır.

İlk iş olarak yönlendiricinizde (router) UPnP'yi mutlaka devre dışı bırakmalısınız. UPnP, uygulamaların bilginiz dışında güvenlik duvarınızda delikler açmasına izin verir ki bu durum ağ hijyeni açısından tam bir kabustur. Bunun yerine, P2P istemcinizin ihtiyaç duyduğu spesifik portu manuel olarak yönlendirin; bu genellikle WireGuard veya OpenVPN tüneli için tek bir porttan ibarettir.

• Kapsamı Sınırlandırın: Çoğu yönlendirici, bir kural için "Kaynak IP" (Source IP) belirlemenize izin verir. Eğer dahil olduğunuz DePIN projesi sabit bir dizin sunucusu seti kullanıyorsa, portu sadece bu IP'lerin düğümünüzle iletişim kurabileceği şekilde kilitleyin.
• Hız Sınırlandırma (Rate Limiting): Ana işletim sisteminizde iptables kullanarak, o porta yönelebilecek yeni bağlantı sayısını sınırlayın. Uyarı: Eğer Docker kullanıyorsanız, bu kuralların DOCKER-USER zincirine yerleştirilmesi gerekir; aksi takdirde Docker'ın varsayılan NAT kuralları, standart INPUT zinciri filtrelerinizi devre dışı bırakacaktır.
• Her Şeyi Kaydedin: Reddedilen paketleri günlüğe kaydetmek (log) için bir kural oluşturun. On saniye içinde rastgele bir IP'den 500 istek geliyorsa, birinin sizi taradığını anlarsınız.

# Ana işletim sistemi güvenlik duvarı için örnek
iptables -I DOCKER-USER -p udp --dport 51820 -m state --state NEW -m recent --set
iptables -I DOCKER-USER -p udp --dport 51820 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

Cloudflare tarafından yayınlanan 2024 tarihli bir rehbere göre, hız sınırlandırması uygulamak, hacimsel saldırıları bant genişliğinizi tüketmeden önce hafifletmenin en etkili yoludur.

Ancak kuralları koyup arkanıza yaslanmayın. Kurallarınızın çok katı olup olmadığını ve trafiği engelleyip engellemediğini anlamak için bu günlükleri ara sıra kontrol etmelisiniz. Bir sonraki bölümde, körü körüne hareket etmemeniz için trafiğinizi gerçek zamanlı olarak nasıl izleyeceğinize bakacağız.

Uzun vadeli güvenlik için izleme ve bakım

Bakın, bir düğümü (node) kurup sanki bir ekmek kızartma makinesiymiş gibi sonsuza dek kendi haline bırakamazsınız. Eğer trafiği takip etmiyorsanız, aslında gösterge paneli olmayan bir uçağı uçuruyorsunuz demektir.

Gerçek zamanlı izleme için her zaman Netdata veya Prometheus kullanılmasını öneririm. İşlemci (CPU) kullanımınızın ne zaman tavan yaptığını veya bant genişliği kullanımınızın neden aniden zirveye ulaştığını görmeniz gerekir; bu durum genellikle birinin düğümünüzü kötüye kullandığı veya bir DDoS saldırısı altında olduğunuz anlamına gelir.

• Çalışma Süresi (Uptime) Kontrolleri: Düğüm çevrimdışı olduğunda Telegram veya Discord üzerinden size bildirim gönderecek basit bir "heartbeat" servisi kullanın.
• Trafik Analizi: Giden veri hedeflerinizi kontrol edin. Eğer bireysel bir DePIN projesindeki bir düğüm, bir bankanın API'sine devasa miktarda trafik göndermeye başlarsa, sistemi derhal kapatın.
• Günlük (Log) Denetimleri: Haftada bir kez /var/log/syslog dosyasında "denied" (reddedilen) paketleri taramak (grep), güvenlik duvarınızın işini gerçekten yapıp yapmadığını anlamanıza yardımcı olur.

DigitalOcean'ın 2024 tarihli bir rehberinde açıklandığı üzere, kaynak tükenmesi (resource exhaustion) için otomatik uyarılar kurmak, yüksek trafikli P2P ortamlarında donanım arızalarını önlemenin tek yoludur.

Dürüst olmak gerekirse, projenin Discord kanalında aktif kalmanız yeterli olacaktır. Eğer bir "sıfırıncı gün" (zero-day) açığı varsa, bunu ilk orada duyarsınız. Güvende kalın ve düğümlerinizi her zaman korunaklı tutun.