İTÜ/NET neden yavaş?

Birkaç gündür İTÜ/NET ve Eduroam ağı kullanıcıları normalin çok altında bir performans deneyimliyor. Akademisyenler ve yurtlarda barınan öğrenciler, artık günlük yaşamın bir parçası haline gelmiş, temel haklardan biri sayılabilecek internet erişiminde yaşanan problemlere artık tahammül edemeyecek durumdalar. Peki bu yavaşlama neden oluştu ve Bilgi İşlem Daire Başkanlığı neden bu durumu çözemedi? İTÜ24'ün Sistem Yöneticisi'nin kaleminden, hem "Bilal'e anlatır gibi" hem de tüm teknik detaylarıyla.

Buz dağının görünen yüzü

İTÜ/NET ağındaki yavaşlamalar buz dağının sadece görünen yüzü. Yaklaşık hafta başından beri devam etmekte olan problem sadece İTÜ'de değil, TÜBİTAK tarafından işletilen ve tüm üniversitelere internet erişimini sağlayan Ulusal Akademik Ağ (ULAKNET) dahilindeki bütün ağlarda yaşanıyor. Çünkü, Ortadoğu Teknik Üniversitesi'nde bulunan ve ".tr" ile biten internet adreslerini tahsis etmekle görevli nic.tr kurumu, 14 Aralık öğle saatlerinden beri altyapı kapasitesini aşan bir siber saldırı altında.

nic.tr, aynı zamanda ".tr" ile biten adreslerin hangi sunucudan yayın yaptığını içeren (DNS sunucusu adını verdiğimiz) adres defterini barındırıyor. Bu DNS sunucuları, internet üzerindeki herhangi biri, herhangi bir ".tr" kaynağa ulaşmaya çalıştığında verinin hangi adrese gitmesi gerektiğini gösteriyor. Gelen siber saldırı ise, pek çok kaynaktan, bu sistemin cevap verebileceğinden daha çok soru sormak (bkz. Distributed Denial of Service) yöntemine dayanıyor ve karakterini sürekli olarak değiştirerek önlem alınabilmesini zorlaştırıyor.

Bu kadar önemli bir görevi olan sistem, biri (nic.tr'yi Türkiye'de yetkilendiren) Avrupa'daki RIPE kurumunda olmak üzere 6 tane kök DNS sunucu ile yedekli olarak çalışmasına rağmen altyapı yetersizliği nedeniyle hiçbir şekilde sorulan adreslere yanıt veremiyor. Günlerdir ülke genelinde sağlık (ve diğer devlet kurumları, gov.tr), iletişim (mobil operatörler, net.tr) ve finans (bankalar, com.tr) sektöründe aksaklıklar yaşanıyor.

Çözüm olarak nic.tr, geçici olarak yurtdışından gelen bağlantıları kabul etmeyerek servislerinin üzerindeki yükü azaltmaya çalışıyor. Yurtiçinde ise internet servis sağlayıcıları, adres sorma taleplerini nic.tr'ye iletmeden kendi sistemlerinin önbelleğinde bulunan adrese yönlendirme gerçekleştiriyor.

Ulusal Siber Olaylara Müdahale Merkezi, 14 Aralık:

Yapılan saldırının boyutlarından dolayı, sunucunun ayakta kalabilmesi amacı ile ilgili DNS sunucu YURTDIŞINA kapatılarak YURTİÇİ erişime açık tutulmaktadır. Bu sayede yurtiçi kullanıcılar .tr adreslerine erişebilmek için yaptıkları sorgulara cevap alabilmektedir.

ULAKNET Altyapısı

Ulusal Akademik Ağ, internet erişimini Ankara'daki 34 Gbps (gigabits per second) hat üzerinden sağlıyor, gelen saldırı ise ortalama 40 Gbps kapasiteye sahip olduğundan ODTÜ'deki ağ omurgası tüm veriyi aktarmakta sıkıntı yaşıyor. Bu nedenle bu saldırıdan en çok etkilenen ULAKNET'e bağlı cihazlar oluyor.

ULAKNET omurga istatistikleri, 17 Aralık 14:37

Saldırının uzun süre devam etmesi üzerine ilk olarak Boğaziçi Üniversitesi Bilgi İşlem Merkezi'nden ve hemen ardından İTÜ Bilgi İşlem Daire Başkanlığı da okul mensuplarını bilgilendirme amaçlı bir duyuru paylaştı. İlerleyen saatlerde diğer üniversitelerde de benzer duyurular paylaşıldı.

Değerli İTÜ’lüler,

Son günlerde internet erişiminde gözlemlenen yavaşlamalar, hizmet aldığımız İnternet Servis Sağlayıcılarımıza ve Türkiye’de bulunan Kök DNS sunucularına yapılan DDOS saldırılardan kaynaklanmaktadır.

Saldırı doğrudan İTÜ/NET’i hedeflememesine rağmen servis sağlayıcılarımızda bağlantı yavaşlığına sebep olduğu için performans kaybı gözlemlenmektedir.

Mensuplarımıza duyurulur.

İTÜ/BİDB Ağ Hizmetleri Planlama ve Destek Grubu

ODTÜ'den Açıklama

ODTÜ, 15 Aralık tarihinde Türkiye'deki internet servis sağlayıcılarına yaptığı açıklamada DNS sunucularının tamamını ULAKNET üzerinde bulundurmak yerine,

• 2 tanesi ODTÜ,
• 1'i ULAKNET altyapı sağlayıcısı Superonline,
• 1'i Vodafone,
• 1'i ULAKNET'in bağlı olduğu TÜBİTAK Ulusal Akademik Bilgi İşlem Merkezi (ULAKBİM) ve
• 1 tanesi RIPE

olmak üzere farklı altyapılara dağıttığını açıkladı.

Şu an için bu konuda herhangi bir kanıt bulunmamasına karşın, saldırının Türkiye'nin son dönemlerde gergin uluslararası ilişkiler yaşadığı Rusya'dan yapıldığı söylentiler arasında. Konu, saldırının dördüncü gününde ulusal basına da yansımaya başladı.

Güncelleme 21 Aralık 12:00 - Ünlü bilgisayar korsanı örgütü Anonymous, 19 Aralık Cumartesi günü yayınladıkları bir video ile saldırıyı üstlendi.