Uluslararası bir havalimanının ana hava trafik kontrol (ATC) kulesini ve küresel uçuş rotalama radar sistemini düşünün. Dünyanın her yerinden kalkan yüzlerce yolcu uçağı, kulelerin birbirine fırlattığı otomatik rota güncellemeleriyle yönünü bulur. Şimdi kuledeki yorgun bir kontrolörün, küresel uçuş bilgisayarına tek bir koordinat rakamını ters girdiğini hayal edin. Sistem bir anda tüm dünyaya şu resmi anonsu geçer: "İstanbul Havalimanı'nın yeni pisti Atlas Okyanusu'nun tam ortasındadır, tüm uçaklar rotalarını oraya çevirsin!" Havada uçan yüzlerce uçak bu resmi anonsa güvenir; rotalarını okyanusun ortasındaki boşluğa çevirir, yakıtları biter ve hepsi radardan silinir. Uçakların motorları sağlamdır, yolcular hazırdır; ancak yön bulma sistemi tüm filoyu bir karadeliğe fırlatmıştır.

İnternet altyapısının ana omurgasını oluşturan BGP (Border Gateway Protocol - Sınır Geçit Protokolü) üzerinde yapılan tek bir yazım hatası (Typo) veya sızıntı (Route Leak), küresel bilişim ağında tam olarak bu uçakların okyanusa gömülmesidir.

Bir veri merkezinin binlerce sunucusu tıkır tıkır çalışır, kabinlerin klimaları mükemmeldir; ancak kenar yönlendiricideki (Edge Router) tek bir satırlık BGP hatası, o veri merkezini dünya genelindeki 4 milyar internet kullanıcısı için anında yok hükmüne getirir.

BGP Nedir ve Neden Dünyanın En Şüpheci Ama En Saftirik Protokolüdür?

İnternet, birbirine bağlı yaklaşık 75.000 bağımsız Otonom Sistemden (AS - Autonomous System) oluşur.

  • Türk Telekom: AS9121
  • Cloudflare: AS13335
  • Google: AS15169
  • Veri Merkeziniz: AS204812

BGP, internetin küresel posta dağıtım memurudur. Veri merkezinizin yönlendiricisi (Juniper MX / Cisco ASR), komşu operatörlere (Türk Telekom, Seabone, Cogent) durmaksızın şu anonsu yapar:
"185.220.40.0/22 IP bloğu benim korumam altındadır! Bu IP'lere gidecek tüm paketleri bana gönderin!"

BGP'nin en büyük trajedisi, 1989 yılında (RFC 1105) üç mühendisin bir peçetenin üzerine tasarladığı bir protokoldür. O çağda internette herkes birbirini tanıdığı için içinde hiçbir güvenlik veya kimlik doğrulama mekanizması konulmamıştır! BGP saftiriktir; komşusunun söylediği her anonsa körü körüne inanır.

Patolojinin Anatomisi: Bir Klavyeden Çıkan Kıyamet

Bir Salı gecesi saat 23:45'te veri merkezinin kıdemli ağ mühendisi yeni bir kurumsal müşteri için BGP anonsu hazırlamaktadır.

Mühendisin girmesi gereken doğru kural:
set routing-options static route 185.120.45.0/24 next-hop 10.0.0.1

Ancak yorgunluk ve dikkatsizlik sonucu parmak kayar. /24 yazmak yerine yanlışlıkla daha geniş ve daha spesifik bir anons fırlatır:
Veya daha da kötüsü, komşu bir operatörden öğrendiği küresel rota tablosunu (Full BGP Table - 900.000 rota) filtrelemeden kendi çıkışından dışarıya "Tüm dünyanın trafiği benim üzerimden geçsin!" diyerek anons eder (BGP Route Leak)!

[AĞ MÜHENDİSİ: KOMUTU GİRDİ: commit]
                       │
                       ▼
[KENAR YÖNLENDİRİCİ: BGP ANONSU FIRLADI]
"185.120.0.0/16 trafiğini ve Google IP'lerini BANA GÖNDERİN!"
                       │
                       ▼
[TÜRK TELEKOM & SEABONE OMURGASI ANONSU ALDI]
BGP Mantığı: "En spesifik rota her zaman kazanır!"
Küresel Yönlendiriciler Rota Tablolarını Günceller!
                       │
                       ▼
[DÜNYA ÇAPINDA KARADELİK TETİKLENDİ!]
- Frankfurt'tan, Tokyo'dan, Ankara'dan gelen milyonlarca gigabitlik trafik,
  veri merkezinin 10 Gbps'lik minik kablosuna hücum eder!
- Hat mikrosaniyede patlar (Bufferbloat)!
- Veri merkezinin kendi meşru IP'leri küresel rota haritasında kaybolur!
- DÜNYADAKİ TÜM KULLANICILAR İÇİN SİSTEMLER SİLİNDİ! ❌

Tarihi BGP Sızıntıları: Koca Ülkelerin İnternetini Yutan Hatalar

BGP faciaları sadece küçük veri merkezlerinde yaşanmaz; internet tarihinin en büyük çöküşleri hep bu tek satırlık BGP hatalarından doğmuştur:

  1. Pakistan Telecom ve YouTube Faciası (2008):
    Pakistan hükümeti ülke içinde YouTube'u engellemek ister. Pakistan Telecom, yerel bir BGP karadeliği oluşturur. Ancak kuralı yanlışlıkla küresel sağlayıcısına (PCCW) anons eder! 20 dakika içinde dünyadaki tüm YouTube trafiği Pakistan Telecom'un minik sunucularına akar; tüm dünyada YouTube çöker!
  2. Facebook / Meta Küresel Çöküşü (Ekim 2021):
    Facebook mühendisleri rutin bir veri merkezi bakımında BGP yönlendiricilerine yanlış bir komut gönderir. Facebook'un tüm DNS sunucularını tutan BGP anonsları dünya haritasından silinir! Facebook, Instagram ve WhatsApp 6 saat boyunca dünyadan buharlaşır; mühendisler veri merkezinin kapısındaki elektronik kilitler bile çalışmadığı için binaya fiziksel olarak giremez!
  3. Vodafone Hindistan ve Google Trafiği Sızıntısı (Nisan 2021):
    Vodafone Hindistan yanlışlıkla Google'ın IP bloklarını kendisininmiş gibi anons eder. ABD ve Avrupa'daki trafiğin önemli bir kısmı Hindistan'a tünellenir ve küresel internet felç olur.

Semptom: "Sunucular Çalışıyor Ama Dünya Bizi Göremiyor!"

BGP anonsu bozulduğunda veya rota sızdığında veri merkezinin içinde olanlar son derece tuhaftır:

  • Veri merkezinin içine girersiniz: Sunucuların CPU kullanımı sıfırdır, MySQL çalışmaktadır, klimalar serindir.
  • Yerel ağdan (LAN) curl http://localhost yazarsınız: Web siteniz 1 milisaniyede açılır!
  • Ancak cep telefonunuzdan 4G ile girmeye çalıştığınızda: ERR_NAME_NOT_RESOLVED veya Destination Host Unreachable alırsınız.

Çünkü sunucularınız canlıdır; ancak dünyadaki ISP yönlendiricileri (Router) sizin adresinizi kaybetmiştir. İnternetin haritasında veri merkezinizin bulunduğu yer artık boş bir okyanustur.

Cerrahi Savunma: RPKI ve BGP Prefix Filtreleme Zırhı

Modern ağ mühendisliği bu felaketleri "dikkatli olarak" engelleyemez. BGP'nin o 1989'dan kalma saftirik doğasını kriptografik kalkanlarla kilitlemek şarttır:

[MODERN BGP GÜVENLİK ZIRHI]

1. RPKI (Resource Public Key Infrastructure) ve ROA Kayıtları:
   - IP bloklarınızı kriptografik olarak imzalayın (ROA - Route Origin Authorization).
   - RIPE NCC üzerinden resmi imzanızı atın: "Bu IP bloğunu YALNIZCA AS204812 anons edebilir!"
   - Dünyadaki tüm modern operatörler (Cloudflare, Telia, Google), RPKI imzası
     olmayan sahte veya hatalı anonsları otomatik olarak ÇÖPE ATAR (Drop Invalid)!

2. Katı Prefix Filtreleri (Strict Prefix-List):
   - BGP yapılandırmanızda asla "tüm rotaları dışarı fırlat" kuralı olamaz!
   - Çıkış filtresine yalnızca ve yalnızca size ait olan IP blokları tek tek yazılır:
     `set policy-options prefix-list MY-NETWORKS 185.120.45.0/24`

3. Max-Prefix Koruması:
   - Komşunuz olan operatöre şu emri verin:
     "Eğer benden 10 adetten fazla prefix anonsu gelirse, BGP oturumunu ANINDA KAPAT!"
   - Yanlışlıkla tüm internet tablosunu sızdırsanız bile 11. rotada bağlantı kesilir
     ve dünya felaketten korunur.

Sonuç

Hava trafik kulesindeki tek bir yanlış koordinat yüzlerce uçağı okyanusun ortasında kaybettirir; BGP yönlendiricisindeki tek bir hatalı prefix anonsu da binlerce sunucuyu küresel internetin haritasından silip karadeliğe gömer.

Ağ mühendisliği bir metin düzenleme işi değil; küresel internet diplomasisinin en hassas ameliyat masasıdır. BGP konsoluna her oturduğunuzda parmaklarınızın altındaki o yönlendiricinin dünyadaki binlerce otonom sistemle konuştuğunu unutmayın. RPKI filtrelerinizi kilitleyin, prefix listelerinizi çift kontrol edin; tek bir dikkatsiz "commit" ile veri merkezinizi dijital bir mezarlığa çevirmeyin.