VPS İstanbul: İstanbul lokasyonlu VPS seçerken veri merkezi, ağ bağlantısı, DDoS koruması ve KVKK kontrolü

"VPS İstanbul" diye arama yapan çoğu kişi üç şeyden birini istiyor: kullanıcılarına düşük gecikme, Türkiye'de görünen bir IP adresi ya da kişisel verinin yurt dışına çıkmaması. Ama ilanlardaki "İstanbul lokasyonu" ibaresi bu üçünü birden garanti etmez. Bu rehber, İstanbul lokasyonlu VPS tekliflerini karşılaştırmadan önce veri merkezini, ağ bağlantısını, DDoS korumasını, IP ve KVKK durumunu nasıl kontrol edeceğinizi adım adım anlatıyor. İlk sunucusunu seçen KOBİ sahipleri ve sağlayıcısını değiştirmeyi düşünen sistem yöneticileri için hazırlandı.

VPS İstanbul aramasında gerçekte ne arıyorsunuz?

Teklif toplamaya başlamadan önce önceliğinizi yazın. Seçim ölçütleriniz buna göre değişir.

• Gecikme: Kullanıcılarınız Türkiye'deyse, uzak masaüstüyle muhasebe programı kullanıyorsanız ya da oyun sunucusu gibi gecikmeye duyarlı bir işiniz varsa ağ yolu her şeyden önemlidir.
• Türkiye IP'si: Bazı kamu ve banka entegrasyonları, IP izin listeleri ya da yerel içerik sunumu Türkiye'ye kayıtlı bir adres ister.
• KVKK ve veri yerleşimi: Müşteri, personel ya da hasta verisi işliyorsanız verinin nerede tutulduğu ve kimin erişebildiği hukuki bir sorudur.

Bu üçünden hangisinin sizin için belirleyici olduğunu bilmek, gereksiz özelliğe para ödemenizi önler. Yalnızca statik bir tanıtım sitesi barındırıyorsanız ve kişisel veri işlemiyorsanız, İstanbul ile Frankfurt arasındaki fark çoğu ziyaretçi için hissedilmez. Bu ayrımı ölçümle nasıl yapacağınızı Türkiye sunucu mu yurt dışı mı rehberinde ayrıntılı bulabilirsiniz.

İstanbul'daki veri merkezleri ve Tier sınıfı ne anlatır?

Sağlayıcılar çoğunlukla kendi binalarını işletmez; İstanbul'daki büyük veri merkezlerinden kabin ya da alan kiralar. Bu yüzden ilk soru "sunucularınız hangi veri merkezinde?" olmalı. Açık bir yanıt alamıyorsanız bu başlı başına bir işarettir.

Tier sınıfını doğru okuyun

Tier sınıflandırması Uptime Institute'un tanımladığı bir altyapı standardıdır ve dört seviyeden oluşur. Kabaca:

• Tier II: Güç ve soğutmada yedek bileşen vardır, ama tek bir dağıtım yolu bulunur. Bakım sırasında kesinti gerekebilir.
• Tier III: Eşzamanlı bakım yapılabilir (concurrently maintainable). Herhangi bir bileşen, hizmet durmadan bakıma alınabilir.
• Tier IV: Arızaya dayanıklı (fault tolerant). Tek bir arıza hizmeti kesmemelidir.

Burada dikkat etmeniz gereken nokta, "Tier III belgeli" ile "Tier III standartlarına uygun" ifadeleri arasındaki farktır. İlki bağımsız bir kuruluşun tasarım ya da tesis denetiminden geçmiş demektir; ikincisi işletmecinin kendi beyanıdır. Belge varsa belge türünü (tasarım belgesi mi, inşa edilmiş tesis belgesi mi) sorun ve belgenin bir kopyasını ya da belge numarasını isteyin. Belge numarasını belgeyi veren kuruluşun kendi kayıtlarından teyit edebilirsiniz.

Veri merkezi için sorulacaklar

1. Veri merkezinin adı ve adresi (en azından ilçe düzeyinde).
2. Tier belgesi var mı, hangi türde?
3. Enerji beslemesi kaç ayrı hattan geliyor, jeneratör ve UPS düzeni nasıl?
4. ISO 27001 gibi bilgi güvenliği belgeleri hangi kapsamı içeriyor: yalnız bina mı, sağlayıcının işletimi de mi?

Unutmayın, en iyi veri merkezi bile sizin sanal sunucunuzun çalıştığı fiziksel makineyi korumaz. Host arızasında sanal makinenin başka bir hosta ne kadar sürede taşındığı (yüksek erişilebilirlik) ve depolamanın yedekli olup olmadığı, bina sınıfı kadar önemlidir.

Operatör bağlantıları ve yurt içi gecikmeyi kendiniz ölçün

İstanbul'da olmak, her operatörden düşük gecikme demek değildir. Türkiye'de trafik bazen operatörler arası değişim noktası yerine yurt dışı üzerinden dolaşabilir. Bu durumda İstanbul'daki sunucuya Ankara'daki bir ev bağlantısından giden paket Avrupa'ya gidip dönebilir. Bunu ilan metninden anlayamazsınız; ölçmeniz gerekir.

Sağlayıcıdan bir test IP adresi ya da "looking glass" sayfası isteyin. Sonra ofisinizden, evden ve mümkünse bir mobil hattan aşağıdaki ölçümleri yapın.

ping ile temel gecikme

Aşağıdaki komut sistemde değişiklik yapmaz, yalnızca 20 paket gönderip gidiş-dönüş süresini ölçer. Ubuntu 24.04 ve Debian 12 için hazırlandı; macOS'ta da aynı biçimde çalışır. 192.0.2.10 yerine sağlayıcının verdiği test IP'sini yazın.

# Test IP'sine 20 paket gönder, özet satırına bak
ping -c 20 192.0.2.10

Çıktının son satırı şuna benzer:

rtt min/avg/max/mdev = 4.812/5.390/7.104/0.512 ms

Burada avg ortalama gecikme, mdev ise dalgalanmadır. İstanbul içinden ölçüyorsanız tek haneli milisaniyeler beklenir; başka şehirlerden biraz daha yüksek değerler normaldir. Asıl bakmanız gereken, değerin yurt dışındaki bir sunucuya ölçtüğünüz değere yakın çıkıp çıkmadığı ve paket kaybı olup olmadığıdır.

mtr ile yol analizi

mtr, paketin hangi ağlardan geçtiğini ve gecikmenin nerede arttığını gösterir. Aşağıdaki blok Ubuntu 24.04 ve Debian 12 için hazırlandı; yalnızca mtr-tiny paketini kurar. Geri almak için sudo apt remove mtr-tiny yeterlidir.

# mtr kurulu değilse kur (tekrar çalıştırmak zararsızdır)
command -v mtr >/dev/null 2>&1 || sudo apt-get install -y mtr-tiny

# 50 tur ölç, adres çözümlemesiyle rapor üret
mtr --report --report-cycles 50 192.0.2.10

Raporda her satır bir sıçramadır (hop). Kontrol noktaları:

• Ara satırların adları: Yurt dışı şehir kısaltmaları ya da yabancı taşıyıcı adları görüyorsanız trafik ülke dışına çıkıyor demektir.
• Loss% sütunu: Ara bir satırda kayıp görünüp son satırda yoksa, o yönlendirici ICMP'ye düşük öncelik veriyordur; sorun değildir. Kayıp son satıra kadar sürüyorsa gerçek bir kayıptır.
• Avg sütunundaki sıçrama: Gecikmenin tek bir noktada ani artması, yolun o noktada uzadığını gösterir.

Ölçümü farklı operatörlerden tekrarlayın. Kullanıcılarınızın çoğu hangi operatörü kullanıyorsa, o operatörden alınan sonuç belirleyicidir.

DDoS koruması, IPv4 ve ters DNS: pakette olması gerekenler

DDoS korumasının kapsamını sorun

"DDoS koruması dahil" cümlesi tek başına bir şey söylemez. Sorulacak sorular şunlar:

• Hangi katman? Ağ katmanındaki hacimsel saldırılar (UDP seli, SYN seli) ile uygulama katmanındaki HTTP selleri farklı araçlarla karşılanır. Paket çoğunlukla yalnızca ilkini kapsar. Web uygulamanız için ayrıca bir WAF ya da uygulama katmanı korumasına ihtiyaç duyabilirsiniz.
• Saldırı anında ne olur? Bazı sağlayıcılar büyük bir saldırıda hedef IP'yi geçici olarak kara deliğe alır (null route). Bu, diğer müşterileri korur ama sizin hizmetiniz saldırı bitene kadar erişilemez. Bu politikanın yazılı olup olmadığını sorun.
• Temizleme nerede yapılıyor? Trafiğin temizlenmesi yurt dışındaki bir merkezde yapılıyorsa saldırı süresince gecikme artabilir. Bu bir kusur değil, ama bilmeniz gereken bir ödünleşimdir.
• Ek ücret var mı? Belli bir boyutun üstündeki saldırılar için ayrı ücretlendirme olup olmadığını sözleşmede arayın.

IPv4, Türkiye IP'si ve ters DNS

Pakette en az bir IPv4 adresinin dahil olup olmadığını ve ek IP'nin nasıl ücretlendirildiğini kontrol edin. IPv6 desteği de giderek önem kazanıyor.

IP'nin Türkiye'ye kayıtlı olduğunu doğrulamak için RIPE kayıtlarına bakın. Aşağıdaki komut yalnızca sorgu yapar; Ubuntu 24.04 ve Debian 12 için hazırlandı. whois paketini kaldırmak isterseniz sudo apt remove whois kullanın.

# whois kurulu değilse kur
command -v whois >/dev/null 2>&1 || sudo apt-get install -y whois

# IP bloğunun kayıtlı olduğu ülke ve ağ adı
whois 192.0.2.10 | grep -iE '^(country|netname|descr):'

# Ters DNS (PTR) kaydı: e-posta gönderecekseniz boş olmamalı
dig -x 192.0.2.10 +short

country: TR satırı RIPE kaydını gösterir. Yine de bazı coğrafi konum veritabanları yeni tahsis edilmiş blokları gecikmeli günceller; bir hizmet IP'nizi yanlış ülkede görüyorsa sağlayıcıdan düzeltme talebi açmasını isteyin.

Ters DNS kaydını (PTR) sağlayıcının panelden sizin değiştirmenize izin verip vermediğini sorun. Sunucudan e-posta gönderecekseniz PTR kaydının alan adınızla eşleşmesi teslim edilebilirlik için gereklidir.

VPS mi VDS mi: paylaşımlı CPU ile ayrılmış çekirdek farkı

Türkiye pazarında "VPS" çoğunlukla işlemci çekirdeklerinin başka sanal makinelerle paylaşıldığı, "VDS" ise belirli çekirdeklerin size ayrıldığı paketleri anlatır. Bu adlandırma bir standart değildir; her sağlayıcı farklı kullanabilir. Bu yüzden ada değil, tanıma bakın: "vCPU paylaşımlı mı, ayrılmış mı, aşırı satış (overcommit) oranı nedir?"

Paylaşımın size etkisini ölçmenin yolu CPU steal değeridir. Sunucuyu teslim aldıktan sonra yoğun saatte şu komutu çalıştırın. Komut sistemde değişiklik yapmaz ve Ubuntu 24.04 ile Debian 12 için hazırlandı.

# 5 saniye arayla 12 ölçüm (1 dakika), son sütun "st" CPU steal yüzdesidir
vmstat 5 12

st sütunu sürekli sıfırın belirgin üstündeyse, hipervizör sizin işlemci zamanınızı başka sanal makinelere veriyor demektir. Arada bir görülen küçük değerler normaldir; kalıcı yüksek değerler destek talebi açmak için yeterli gerekçedir. Bir haftalık ölçüm için VPS'te bellek ve CPU steal ölçen betik rehberine bakabilirsiniz.

KVKK ve TL fatura: yurt dışı firmanın İstanbul VPS'i ile yerli sağlayıcı farkı

Yurt dışı merkezli bazı bulut firmaları da İstanbul'da bölge açıyor. Sunucunuz fiziksel olarak İstanbul'da olsa bile şu sorular yanıtsız kalabilir:

• Erişim: Destek ve işletim ekibi yurt dışındaysa ve sistemlerinize uzaktan erişebiliyorsa, bu durum KVKK açısından yurt dışına aktarım olarak değerlendirilebilir. Kesin değerlendirme için hukuk danışmanınıza danışın; resmi metinler KVKK'nın sitesinde yer alıyor.
• Yedek ve kopya: Snapshot ve yedekler aynı bölgede mi tutuluyor, yoksa varsayılan olarak başka bir ülkeye mi kopyalanıyor?
• Sözleşme: Sözleşme hangi ülkenin hukukuna tabi, uyuşmazlıkta hangi mahkeme yetkili?
• Fatura: Fatura döviz cinsinden mi, TL mi? Kur farkı, yurt dışı hizmet alımında KDV yükümlülüğü ve banka masrafı toplam maliyeti etkiler.

Yerli sağlayıcıda bu soruların yanıtı genellikle daha sadedir: TL fatura, Türk hukuku, Türkiye'deki ekip. Ama "yerli" olmak da tek başına KVKK uyumu demek değildir. Veri işleme sözleşmesi, erişim kayıtları ve yedeklerin nerede tutulduğu her durumda yazılı olarak teyit edilmelidir. Kişisel veriyi bugün yurt dışındaki bir VPS'te tutuyorsanız atmanız gereken adımlar KVKK uyumlu sunucu rehberinde anlatılıyor.

Sık yapılan hatalar

• Yalnızca fiyat tablosuna bakmak: Aynı vCPU sayısı, paylaşımlı ile ayrılmış çekirdekte çok farklı performans demektir.
• Test IP'si istemeden karar vermek: Gecikme iddiasını ölçmeden kabul etmek, taşıdıktan sonra sürpriz yaşamanın en kısa yoludur.
• Tier beyanını belge sanmak: "Standartlarına uygun" ifadesi bağımsız denetim anlamına gelmez.
• DDoS korumasının null route politikasını sormamak: Saldırı anında hizmetin tamamen kapanabileceğini sonradan öğrenmek pahalıya patlar.
• Ters DNS'i unutmak: E-posta gönderen sunucuda PTR kaydı yoksa iletiler spam klasörüne düşebilir.
• Yedeğin nerede durduğunu sormamak: Sunucu İstanbul'da, yedek başka ülkede olabilir; KVKK değerlendirmesi buna göre değişir.
• Yenileme fiyatını kontrol etmemek: İlk dönem fiyatı ile yenileme fiyatı farklı olabilir; döviz endeksli tekliflerde bu fark büyür.

Sık sorulan sorular

İstanbul lokasyonlu VPS her zaman daha hızlı mıdır?

Hayır. Kullanıcılarınız Türkiye'deyse ve ağ yolu yurt içinde kalıyorsa genellikle gecikme düşer. Ama trafik bir operatörde yurt dışından dolaşıyorsa fark azalabilir. Karar vermeden önce test IP'sine kendi bağlantılarınızdan ping ve mtr ile ölçüm yapın.

Türkiye IP'si olduğunu nasıl doğrularım?

whois çıktısındaki country: TR satırı, IP bloğunun RIPE kaydında Türkiye'ye ait olduğunu gösterir. Coğrafi konum veritabanları bazen gecikmeli güncellenir; bir hizmet farklı ülke gösteriyorsa sağlayıcınızdan düzeltme talebi açmasını isteyin.

VPS ile VDS arasında hangisini seçmeliyim?

Web sitesi, test ortamı ya da ara sıra yük alan servisler için paylaşımlı vCPU çoğunlukla yeterlidir. Veritabanı, ERP, çok kullanıcılı uzak masaüstü gibi sürekli yük altındaki işlerde ayrılmış çekirdek daha öngörülebilir sonuç verir. Kararı vmstat ile ölçtüğünüz CPU steal değerine göre de gözden geçirebilirsiniz.

Sunucunun İstanbul'da olması KVKK uyumu için yeterli mi?

Yeterli değildir. Verinin Türkiye'de tutulması önemli bir adımdır, ama yedeklerin nerede saklandığı, kimlerin hangi ülkeden erişebildiği ve sağlayıcıyla yapılan veri işleme sözleşmesi de değerlendirmeye girer. Bu konuları yazılı olarak teyit edin ve gerekiyorsa hukuk danışmanınıza danışın.

Bu işi hazır yapmak isterseniz

Ölçümleri ve kontrolleri kendiniz yapmak yerine hazır bir başlangıç noktası arıyorsanız, İstanbul ve Strasbourg lokasyonlu bulut sunucu seçeneklerini inceleyebilir, karar vermeden önce bu yazıdaki soruları (veri merkezi, DDoS politikası, ters DNS, yedeklerin konumu) doğrudan sorup yazılı yanıt isteyebilirsiniz.

Sonuç

İyi bir VPS İstanbul seçimi ilandaki şehir adıyla değil, doğrulanabilir yanıtlarla yapılır. Veri merkezinin adını ve Tier belgesini, kendi bağlantılarınızdan ölçtüğünüz gecikmeyi, DDoS korumasının kapsamını ve null route politikasını, IP kaydını ve ters DNS yetkisini, CPU paylaşım modelini ve verinin ve yedeklerin nerede durduğunu teklif sahiplerine sorun. Yanıtları aynı tabloya yazdığınızda tekliflerin gerçekten ne sunduğu netleşir.