Spectrum for Minecraft

Spectrum for Minecraft nedir?

Pazarlama iddiaları, birebir:

“Cloudflare Spectrum secures and accelerates Minecraft servers to ensure they stay online… Configure Spectrum in minutes, no plug-ins required.”

“Serve gamers worldwide by establishing sessions between players and their closest Cloudflare data center, reducing latency and lag.”

“Proxy traffic to your Minecraft server behind Cloudflare’s 477 Tbps network”

Nasıl çalışır?

Java var, Bedrock yok

Doküman birebir:

“Minecraft Java Edition is supported but Minecraft Bedrock Edition is not supported.”

Plan kapıları

Pro ve Business’ta yalnızca izin verilen protokoller (Minecraft, SSH, Business’ta ayrıca RDP) kullanılabiliyor ve her biri için tek bir uygulama hakkın var.

Oyuncu IP’leri — ürünün en büyük operasyonel sorunu

Enterprise’da Proxy Protocol açılabiliyor, ama bir uyarıyla: sshd ve minecraft-server PROXY başlığını ayrıştıramıyor. Araya bunu anlayan bir katman koyman gerekiyor.

WAF uygulanmıyor

Spectrum TCP trafiğine WAF uygulamıyor. Yani:

• Login-flood saldırılarına karşı uygulama katmanı koruması yok
• Protokol istismarına karşı koruma yok
• Bot filtreleme yok

Elinde olan yalnızca L3/L4 DDoS koruması. Minecraft sunucularına yönelik saldırıların önemli bir kısmı L7 nitelikte olduğu için bu ciddi bir boşluk.

SRV kayıtları — dürüst cevap

Edge IP’leri sabit değil

Spectrum’un edge IP adresleri değişebiliyor. Oyuncularına IP adresi verme, hostname ver. Sunucu tarafında IP tabanlı bir izin listesi kuruyorsan bunu hesaba kat.

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• Java Edition sunucun varsa ve DDoS saldırısı alıyorsan. L3/L4 koruması gerçek ve etkili.
• Origin IP’ni gizlemek istiyorsan. Saldırganın doğrudan sunucuna vurmasını engelliyor.
• Enterprise’daysan. Proxy Protocol ile oyuncu IP’lerini koruyabiliyorsun; ürünün sorunlarının çoğu orada çözülüyor.
• Oyuncuların coğrafi olarak dağınıksa. Anycast, en yakın veri merkezine bağlanmayı sağlıyor.

Kullanılmaz

Bedrock Edition sunucusu çalıştırıyorsan. Desteklenmiyor.

Enterprise değilsen ve oyuncu IP’lerine ihtiyacın varsa. IP ban ve anti-VPN eklentilerin bozuluyor. Bu, çoğu Minecraft sunucusu için ürünü doğrudan eleyen madde — moderasyon araçların IP’ye dayanıyor.

L7 saldırı alıyorsan. Login-flood ve protokol istismarına karşı koruma yok.

Bütçen dar ve trafiğin sürekliyse. ~20 eşzamanlı oyunculu bir sunucu ayda 5 GB’ı rahatlıkla aşıyor. Minecraft trafiği bir web sitesi gibi ara ara değil, sürekli akıyor — fatura GB ücretinin egemenliğine giriyor.

Minecraft’a özel bir özellik bekliyorsan. Yok. Sunucu listesi ping’i, oyuncu sayısı gösterimi, protokol seviyesinde filtreleme — hiçbiri.

Rastgele bir port kullanıyorsan. Pro ve Business’ta rastgele TCP portu yok.

Daha iyi bir alternatif varsa. TCPShield, Minecraft’a özel bir ters proxy ve alt katmanlarda bile oyuncu IP’sini iletiyor — Spectrum’un Pro/Business’ta yapamadığı tam olarak bu. Başka seçenekler: DDoS korumalı oyun hosting sağlayıcıları, ya da Velocity/BungeeCord ile kendi topolojini ve IP yönlendirmeni kurmak.

Somut örnekler

Spectrum uygulaması oluşturmak

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/spectrum/apps" \
  --request POST --header "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "protocol": "minecraft",
    "dns": { "type": "CNAME", "name": "oyun.ornek.com.tr" },
    "origin_direct": ["tcp://203.0.113.30:25565"],
    "ip_firewall": false,
    "proxy_protocol": "off"
  }'

Pro ve Business’ta ip_firewall, proxy_protocol, origin_port, tls, origin_dns ve argo_smart_routing alanlarının hepsi kullanılamıyor.

Enterprise’da Proxy Protocol

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/spectrum/apps/$APP_ID" \
  --request PUT -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{"proxy_protocol": "v2"}'

Oyuncuya dönük SRV kaydı (topluluk pratiği)

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "type":"SRV",
    "name":"_minecraft._tcp.ornek.com.tr",
    "data":{"priority":0,"weight":5,"port":25565,"target":"oyun.ornek.com.tr"}
  }'

Bu, oyuncuların :25565 yazmadan ornek.com.tr ile bağlanmasını sağlıyor. Cloudflare bunu belgelemiyor — topluluk pratiği. Çalışıyor ama desteklenen bir yapılandırma olarak sunma.

Trafiği ölçmek

curl -sS https://api.cloudflare.com/client/v4/graphql \
  -H "Authorization: Bearer $CF_API_TOKEN" -H 'Content-Type: application/json' \
  --data '{"query":"
    query($z:String!,$b:Time!,$s:Time!){viewer{zones(filter:{zoneTag:$z}){
      spectrumNetworkAnalyticsAdaptiveGroups(
        filter:{datetime_geq:$b,datetime_leq:$s}, limit:100
      ){ count sum{bitsIngress bitsEgress} dimensions{datetimeHour} }
    }}}",
    "variables":{"z":"'"$ZONE_TAG"'",
                 "b":"2026-08-01T00:00:00Z","s":"2026-09-01T00:00:00Z"}}' | jq

Demo 1: Oyuncu IP’lerinin ne olduğunu kanıtlamak

Bu demo, ürünün satın alma kararını belirleyen tek soruyu cevaplıyor.

Adım 1 — Sunucuyu Spectrum olmadan çalıştır

# On-prem Ubuntu'da Java Edition sunucusu
java -Xmx2G -Xms2G -jar server.jar nogui

Bir oyuncu bağlansın, sonra logu oku:

grep 'logged in with entity id' logs/latest.log | tail -5

Sunucu logunda gerçek oyuncu IP adreslerinin göründüğü satırlar

Adım 2 — Spectrum uygulamasını oluştur

Panelde protokol minecraft olarak oluşturulan uygulamanın görünümü

Adım 3 — Origin’i internetten kapat

# Yalnızca Cloudflare IP aralıklarına izin ver
sudo ufw default deny incoming
for ip in $(curl -sS https://www.cloudflare.com/ips-v4); do
  sudo ufw allow from "$ip" to any port 25565 proto tcp
done
sudo ufw enable

# Dışarıdan doğrudan erişilemediğini doğrula
nmap -p 25565 -Pn 203.0.113.30

nmap çıktısında 25565 portunun filtered görünmesi

Adım 4 — Spectrum üzerinden bağlan ve logu tekrar oku

grep 'logged in with entity id' logs/latest.log | tail -5

Sunucu logunda gerçek IP'ler yerine Cloudflare edge IP adreslerinin görünmesi

Adım 5 — Bozulan eklentiyi göster

Birden fazla oyuncuyu bağla ve IP başına bağlantı kısıtı olan bir eklenti kur.

Aynı IP'den geldikleri için ikinci oyuncunun reddedildiği sunucu logu

Adım 6 — IP ban’ın etkisini göster

# Sunucu konsolunda
ban-ip <cloudflare-ip>

Ban sonrası hiçbir oyuncunun bağlanamadığını gösteren log

Adım 7 — Enterprise’daysan Proxy Protocol ile tekrarla

Velocity veya BungeeCord’u araya koy, proxy-protocol = true ayarla, Spectrum’da proxy_protocol: v2 aç ve logu tekrar oku.

Sunucu logunda gerçek oyuncu IP adreslerinin yeniden görünmesi

Bu demoda ölçülenler:

Demo 2: Bedrock’un neden çalışmadığını protokol seviyesinde göstermek

Adım 1 — Bedrock sunucusunu çalıştır

# Bedrock Dedicated Server — UDP 19132
./bedrock_server
ss -ulnp | grep 19132

ss çıktısında 19132/udp portunun dinlendiğini gösteren satır

Adım 2 — Spectrum’da UDP uygulaması oluşturmayı dene

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/spectrum/apps" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "protocol": "udp/19132",
    "dns": { "type": "CNAME", "name": "bedrock.ornek.com.tr" },
    "origin_direct": ["udp://203.0.113.30:19132"]
  }'

Enterprise dışı planda UDP uygulaması oluşturma denemesinin döndürdüğü hata

Adım 3 — minecraft protokolüyle deneyip Bedrock istemcisiyle bağlan

Java protokolüyle bir uygulama oluştur, sonra Bedrock istemcisiyle bağlanmayı dene.

Bedrock istemcisinde bağlantı hatası ve sunucu logunda hiçbir bağlantı denemesinin görünmemesi

Adım 4 — tcpdump ile paketlerin nereye gittiğini göster

# Origin'de
sudo tcpdump -ni eth0 'udp port 19132' -c 20
sudo tcpdump -ni eth0 'tcp port 25565' -c 20

tcpdump çıktısında UDP 19132'ye hiç paket gelmediği, TCP 25565'e Java bağlantılarının geldiği

Adım 5 — Java istemcisiyle karşılaştır

Aynı Spectrum uygulamasına Java Edition istemcisiyle bağlan — çalışıyor.

Java Edition oyuncusunun sunucuya girdiği ve sunucu logunda göründüğü

Adım 6 — Belgelerdeki çelişkiyi göster

Pazarlama sayfasında sürüm belirtilmediği, limitations sayfasında Bedrock'un desteklenmediği yazan iki ekran yan yana

Bu demoda ölçülenler:

Fiyatlandırma

Ayrı bir fiyatlandırması yok — Spectrum olarak faturalanıyor: plana göre dahil kota (5 GB veya 10 GB) artı GB başına $1.

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir. Minecraft’a özel bir şart yoktur.

Oyuncu IP adresleri ve KVKK. Minecraft sunucusu işletmek, oyuncuların IP adreslerini işlemek demek — ve bu kişisel veri. İlginç bir sonuç: Spectrum’un Pro/Business planlarında oyuncu IP’lerini göremiyor olman, veri minimizasyonu açısından teknik olarak lehine. Ama moderasyon yapamadığın için pratikte bir kayıp.

Enterprise’da Proxy Protocol açtığında gerçek IP’ler sunucu loglarına dönüyor — o zaman saklama süresi ve erişim yetkisi politikan devreye giriyor.

Türkiye’de oyun sunucusu işletiyorsan. Oyuncularının çoğunluğu Türkiye’deyse, İstanbul veya İzmir PoP’una bağlanacaklar ve gecikme kazancı sınırlı olacak — çünkü sunucun da Türkiye’deyse zaten yakınsınız. Spectrum’un asıl kazancı DDoS koruması ve origin IP gizleme, gecikme değil.

Yaş sınırı ve içerik. Cloudflare’in Hizmet Şartları genel geçerli. Minecraft sunucusu işletmenin kendi düzenleyici yükümlülükleri (küçüklerin korunması, chat moderasyonu, KVKK aydınlatma metni) Cloudflare’in kapsamı dışında.

Sık yapılan hatalar

Ayrı bir ürün olduğunu sanmak. Protokol tablosunda bir satır.

Bedrock için satın almak. Desteklenmiyor — ve pazarlama sayfası bunu söylemiyor.

Oyuncu IP’lerinin görüneceğini varsaymak. Proxy Protocol Enterprise-only.

IP ban kullanmaya devam etmek. Pro/Business’ta bir Cloudflare IP’sini banlamak tüm oyuncuları banlıyor.

Anti-VPN veya coğrafya eklentilerinin çalışacağını sanmak. Kaynak IP’yi kullanıyorlar; bozuluyorlar.

“No plug-ins required” ifadesini “eklentilerin çalışmaya devam eder” diye okumak. İki farklı şey.

WAF’ın koruduğunu sanmak. Spectrum TCP trafiğine WAF uygulamıyor; login-flood’a karşı koruman yok.

Proxy Protocol’ü açıp vanilla sunucuya bağlamak. minecraft-server PROXY başlığını ayrıştıramıyor; Velocity, BungeeCord veya HAProxy gerekiyor.

Oyunculara IP adresi vermek. Edge IP’leri sabit değil; hostname ver.

Rastgele bir port kullanmayı planlamak. Pro ve Business’ta yok.

5 GB kotanın yeteceğini varsaymak. 20 oyunculu bir sunucu bile aşıyor.

SRV kaydını desteklenen bir yapılandırma sanmak. Cloudflare Minecraft için SRV belgelemiyor; topluluk pratiği.

477 Tbps rakamını tarihsiz alıntılamak. Pazarlama sayfası tarihsiz ve rakam hareketli.

TCPShield gibi alternatifleri değerlendirmemek. Alt katmanlarda bile oyuncu IP’sini iletiyor — Spectrum’un yapamadığı şey.