Kripto Para Borsası Donanım ve Yazılımlarına Dair Kapsamlı Kılavuz

Bir kripto para borsası başlatmak için hangi teknik ve operasyonel gereksinimlerin karşılanması gerekir?

Bu, güvenli bir borsa kurmak isteyen herhangi bir teknik ekibin temel sorusudur. Düşük gecikme süresi Ve Stabil Bu kılavuzda, sisteminizi oluşturmak için mimari, donanım, yazılım, ağ iletişimi, güvenlik, izleme ve yedekleme konularında adım adım size rehberlik edeceğiz. Hata toleransı sahip olmak, Her zaman ulaşılabilir Burada kalın ve saldırılardan korunun.

Genel mimari ve tasarım prensipleri

Mimariyi katmanlar halinde tasarlayın ve hataları sınırlamak ve ölçeklenebilirliği kolaylaştırmak için her katmanı diğerinden izole tutun.

• Katmanlı ayrım: Ağ Geçidi/API → Uygulama (durumsuz) → Eşleştirme Motoru (düşük gecikmeli) → Sipariş Defteri (bellekte + kalıcı) → Veritabanı (kalıcı) → Cüzdan ve İmzalama (HSM/soğuk) → İzleme/Günlük Kaydı.
• Erişilebilirlik ilkesi: Her katman en az iki coğrafi bölgede (aktif-aktif veya aktif-pasif) konuşlandırılmalıdır.
• Uygulamalarda devletsizlik ilkesi: Oturumlar Redis veya JWT'de saklanır, böylece sunucular eklenebilir ve değiştirilebilir.
• Ağ izolasyonu: Yönetim, API, blok zinciri düğümleri ve cüzdan sunucuları ayrı VLAN'larda veya VPC'lerde tutulmalıdır.

Rolüne göre önerilen donanım

Her donanım rolü için minimum özelliklere ve yüksek kullanılabilirlik (HA) ipuçlarına uyun.

Eşleştirme Motoru (gecikmeye karşı çok hassas)

• İŞLEMCİ: 16–64 çekirdek Yüksek frekanslı (Intel Xeon / AMD EPYC).
• VERİ DEPOSU: 128–512 GB Sipariş defterinin büyüklüğüne bağlı olarak.
• Depolama: Yüksek IOPS'li NVMe Enterprise; WAL için RAID1/10.
• Ağ: 10–40 Gbps Düşük gecikmeli ağ kartlarıyla (SR-IOV).
• Öneri: Lisanslı sağlayıcılara ve hedef pazarlara yakın bir konumda özel/çıplak metal sunucu.

Veritabanı (PostgreSQL / zaman serileri)

• İşlemci: 16–64 çekirdek.
• VERİ DEPOSU: 256–1024 GB.
• Depolama: NVMe Enterprise + RAID10; WAL ve veriler farklı disklerde ayrı olarak depolanıyor.
• Ağ hızı: 10 Gbps.
• HA: Akışlı çoğaltma + Patroni + etcd/consul.

Sipariş Defteri / Önbellek (Redis / Aerospike)

• AOF+RDB kalıcılığına sahip Redis kümesi; yüksek RAM'li düğümler ve depolama için NVMe düğümleri.

Cüzdan / İmza Sunucuları

• Sıcak cüzdan: seyrek, izole edilmiş, HSM veya HSM Hizmeti ile.
• Soğuk cüzdan: İnternet bağlantısı olmayan veya çevrimdışı olarak tutulan donanım cüzdanları.
• HSM: FIPS 140-2 Seviye 3 Tavsiye edilen.

Ağ Geçidi / API / Ön Uç

• İşlemci: 4–16 çekirdek.
• RAM: 16–64 GB.
• Bulut/VM veya konteyner üzerinde otomatik ölçeklendirme.
• Yük dengeleyici: HAProxy / Nginx / Envoy.

İzleme / Kayıt Tutma / SIEM

• Kümelenmiş Prometheus + Alertmanager, Grafana, EFK/ELK (Elasticsearch/Filebeat/Kibana).

Yazılım ve veritabanı seçimi

Yazılımı performans, belirlenebilirlik ve kurtarılabilirlik özelliklerine göre seçin.

• Eşleştirme motoruYüksek performanslı diller (C++ / Rust / Go) ve kilitlenmesiz tasarım. Gecikme yüzdeliklerini (p99/p999) mutlaka test edin.
• İşlem veritabanıReplikasyon ve PITR ile PostgreSQL; defter için PostgreSQL ve sipariş defteri için Redis'in hibrit bir kombinasyonu.
• Blok zinciri düğümleri: Her para birimi için ayrı ağlarda çalışan ve RPC kısıtlamalarına tabi olan bir tam düğüm.
• Cüzdan hizmetleriAnahtarlar HSM'de saklanmalı ve imzalama işlemleri HSM'de gerçekleştirilmelidir.

Ağ, konum ve ping

Ağ konumu ve topolojisi, gecikme süresi, kullanılabilirlik ve saldırılara karşı direnç üzerinde doğrudan etkiye sahiptir.

• Konum: Likidite piyasalarına yakın (New York, Londra, Frankfurt, Amsterdam, Tokyo, Singapur, Chicago).
• BGP ve Anycast: Yük dengeleme ve gecikme azaltma için DNS Anycast ve BGP.
• Gecikme süresi: Veri merkezinde hedef p99 değeri < 5ms; ortak yerleşimlerde ise 1-10ms aralığında.
• CDN: Statik içerik ve katman 7 DDoS koruması için; API/WS trafiği, güvenli bir proxy olmadığı sürece genellikle CDN üzerinden geçmez.
• Güvenli iç ağ: Katmanlar arasında VLAN, ACL ve güvenlik duvarı.

Saldırılara karşı koruma (DDoS, SQLi, XSS, API kötüye kullanımı)

Saldırıları birden fazla katmanda engelleyin: ağ, uygulama ve kimlik hizmetleri.

DDoS

• Ağ katmanı: Katman 3/4 güvenlik duvarları, SYN çerezleri, DDoS saldırılarına karşı koruma donanımı ve Veri Temizleme Merkezleri.
• Uygulama katmanı: WAF (ModSecurity veya yönetilen) + hız sınırlama.
• Şirket ürünü: Saldırıları absorbe etmek ve püskürtmek için tasarlanmış DDoS karşıtı sunucu ve ona bağlı PoP noktaları.

WAF ve Hız Sınırlama

• OWASP Top 10 kurallarının uygulanması.
• Her IP adresi için istek ve soket sayısına getirilen sınırlama (örnek: Nginx/Envoy'da limit req).

API Kimlik Doğrulama ve Güvenliği

• Kısa geçerlilik süresine sahip JWT, uygulama yönetimi için OAuth2, hassas API'ler için HMAC veya karşılıklı TLS.
• Örnek: Dahili uç noktalar için Nginx'te karşılıklı TLS'yi etkinleştirme.

Pratik Linux ve Ağ Yapılandırmaları

Çekirdek, dosya tanımlayıcı ve güvenlik duvarı ayarları, yüksek yük altında çalışmaya dayanmak ve saldırıları önlemek için çok önemlidir.

Basit bir nftables örneği:

nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; }
nft add rule inet filter input ct state established,related accept
nft add rule inet filter input tcp dport {22,443,80} ct state new accept
nft add rule inet filter input counter drop

Çekirdek ayarları (/etc/sysctl.conf dosyasında):

net.core.somaxconn = 65535
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_syncookies = 1
net.ipv4.ip_local_port_range = 10240 65535

Dosya tanımlayıcıları ve systemd:

# /etc/security/limits.conf
appuser soft nofile 65536
appuser hard nofile 200000

# systemd service snippet
[Service]
LimitNOFILE=200000

Nginx (TLS) kod parçası:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'HIGH:!aNULL:!MD5';
ssl_prefer_server_ciphers on;
add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload;';

HAProxy sağlık kontrolü örneği:

backend api-back
  mode http
  balance roundrobin
  option httpchk GET /health
  server app1 10.0.0.1:8080 check

Anahtar şifreleme ve cüzdan yönetimi

Cüzdan anahtarları ve politikaları sistemin en hassas parçaları arasındadır ve çok katmanlı bir koruma ile korunmalıdır.

• HSM veya Vault: İşlemleri imzalamak için HSM (YubiHSM / AWS CloudHSM / Thales gibi) ve kimlik bilgilerini yönetmek için HashiCorp Vault kullanın.
• Sıcak cüzdanlar ve soğuk cüzdanlar: Sıcak erişim çok sınırlı, Soğuk erişim ise çevrimdışı ve çoklu imza ile güvenli fiziksel depolama sağlıyor.
• Politikalar: İmza eşiği, onay süreçleri ve günlük para çekme limitleri.

Yedekleme, Kurtarma ve Felaket Kurtarma

Yedekleme planı ve felaket kurtarma (DR) planı açık ve test edilmiş olmalıdır.

• DB: WAL arşivleme ile anlık kurtarma (PITR); günlük temel yedeklemeler + birkaç dakikada bir WAL arşivleme.
• Dosyalar ve ekran görüntüleri: Sanal makine/birim ve birden fazla konumdaki uzak depolama alanının düzenli anlık görüntüleri.
• RTO/RPO: Tanımlayın (örneğin, eşleşen motor için RTO = 5 dakika, RPO = 1 dakika).
• Afet durumunda: Ansible/Terraform ile otomatikleştirilmiş çalışma kılavuzları ve playbook'lar; en az üç ayda bir felaket kurtarma testleri.

CI/CD, test etme ve kod güvenliği

Dağıtım ve test altyapısı güvenli ve geri alınabilir olmalıdır.

• IaC: Ortamlar için Terraform, yapılandırma için Ansible.
• SAST, DAST, bağımlılık taraması ve konteyner taraması işlem hatları ile GitLab for CI.
• Canary dağıtımları ve kesintisiz güncellemeler için mavi/yeşil kodlar.
• Düzenli sızma testleri ve hata ödül programı.

İzleme, kayıt tutma ve uyarı verme

İzleme çok boyutlu olmalı ve uyarılar otomatik olarak harekete geçirilebilir olmalıdır.

• Ölçümler: Prometheus (sistem, uygulama, veritabanı dışa aktarıcıları) + Grafana panoları.
• Günlük kaydı: Filebeat → Elasticsearch → Kibana; Olay analizi için SIEM kurulumu.
• Uyarı Sistemi: SMS/E-posta/Slack mesajlaşması ve otomatik yedekleme için playbook içeren Alertmanager.
• Sağlık kontrolleri: canlılık/kaplara alınmaya hazır olma durumu ve dış kalp atışları.

Örnek operasyonel kontrol listesi (kullanıma hazır)

• İki aktif-aktif coğrafi alan.
• Motorun kilit noktalarında metal yüzeyle uyumlu hale getirilmesi için çıplak metal.
• İkinci bölgede Patroni + replika içeren PostgreSQL kümesi.
• AOF kalıcılığı ve replikaları içeren Redis kümesi.
• İşlemleri imzalamak için HSM + Sıcak/Soğuk cüzdan politikası.
• WAF + DDoS Saldırılarına Karşı Koruma + Hız Sınırlama.
• İzleme + Uyarı + SIEM.
• Günlük anlık görüntü alma + WAL arşivleme + Uzak konumda şifrelenmiş yedeklemeler.
• IaC + CI/CD + Canary + duman testleri.

Örnek komutlar ve kısa yapılandırma

Gerçek bir ortamda faydalı olan kurulum ve yapılandırma komutlarına örnekler.

Sysctl'i etkinleştirin:

cat <<EOF | sudo tee /etc/sysctl.d/99-net.conf
net.core.somaxconn=65535
net.ipv4.tcp_tw_reuse=1
net.ipv4.tcp_fin_timeout=30
net.ipv4.tcp_syncookies=1
EOF
sudo sysctl --system

Basit PostgreSQL akışlı replikasyon örneği:

# On primary (postgresql.conf)
wal_level = replica
max_wal_senders = 10
archive_mode = on
archive_command = 'cp %p /var/lib/postgresql/wal_archive/%f'

# On replica (recovery.conf)
primary_conninfo = 'host=10.0.0.1 port=5432 user=replicator password=REPLICATOR_PASS'

Minimum UFW aktivasyonu:

sudo ufw default deny incoming
sudo ufw allow 22/tcp proto tcp from <admin-ip>
sudo ufw allow 443/tcp
sudo ufw allow 80/tcp
sudo ufw enable

Hataları ve kusurları azaltmaya yönelik pratik ipuçları

• Gecikme yüzdeliklerini (p50/p95/p99/p999) izlemek ve SLA'yı ayarlamak.
• Aşırı yüklenmeyi önlemek için devre kesicileri ve geri basıncı yapılandırın.
• Test ortamında düzenli yük testi ve saldırı testi (DDoS simülasyonu) gerçekleştirilmesi.
• Cüzdan işlemlerine veya para çekme işlemlerine yol açan her işlemi kaydedin ve denetleyin.
• Değiştirilemez altyapı ve geri alınabilir devreye alma yöntemlerini kullanın.

Çözüm

Bir kripto para borsası kurmak çok katmanlı bir yaklaşım gerektirir: Düşük gecikmeli donanım Eşleştirme motoru için, kurtarılabilir bir veritabanı, birden fazla lokasyona yayılmış dağıtılmış bir mimari, HSM ile güvenli anahtar yönetimi, saldırılara karşı ağ ve katmanlı koruma ve otomatikleştirilmiş CI/CD, izleme ve felaket kurtarma süreçleri gereklidir.

Şirketimiz ile 85'ten fazla küresel lokasyonYüksek performanslı özel ve bulut sunucuları, özel işlem sunucuları, DDoS saldırılarına karşı koruma çözümleri, CDN ve BGP hizmetleri altyapınızın kurulumu, yapılandırılması ve desteklenmesi için hazırdır. İşlem hacmi, desteklenen para birimleri ve iş ihtiyaçlarına dayalı daha detaylı bir tasarım için teknik ekibimizden ücretsiz bir değerlendirme alabilirsiniz.

Sıkça Sorulan Sorular