Hoe om 'n VPS teen DDoS-aanvalle te beskerm

'n Verspreide diens-weiering (DDoS)-aanval oorstroom 'n bediener of sy netwerkverbinding met verkeer totdat werklike besoekers nie meer kan deurkom nie. Sommige aanvalle is té groot vir die bediener self om te hanteer, daarom werk beskerming die beste in lae: filtrering aan die netwerkrand eerste, dan vuurmuur- en toepassingsinstellings op die VPS. ONIE beskerm wolkbedieners in Ho Chi Minh-stad met DDoS Shield aan die netwerkrand sonder bykomende koste, en jy kan 'n VPS met DDoS-beskerming ontplooi binne enkele minute.

Tipes aanvalle

• Volumetries (laag 3 en 4): vloede van pakkies wat die netwerkskakel vul, byvoorbeeld UDP-vloede.
• Protokolaanvalle: misbruik van verbindingshantering, soos SYN-vloede wat die verbindingstabel vul.
• Toepassingslaag (laag 7): baie geldig-lykende HTTP-versoeke wat die webbediener of databasis uitput.

Elke tipe benodig 'n ander verdediging. Volumetriese verkeer moet gestop word voordat dit jou bediener bereik; toepassingsvloede kan op die bediener verminder word.

1. Filtreer aan die netwerkrand

Randfiltrering laat slegte verkeer val voordat dit jou VPS bereik, sodat die skakel nie versadig raak nie. Met DDoS Shield vind filtrering aan die netwerkrand plaas deur XDP/eBPF, en die konsole wys verkeer en aanvalgebeurtenisse vir elke IP. Vra enige verskaffer wat jy evalueer wat ingesluit is, waar filtrering plaasvind en of dit bykomend kos.

2. Sluit af wat jy nie gebruik nie

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Moenie databasisse of admin-panele aan die internet blootstel nie. Bind hulle aan 127.0.0.1 of 'n privaat netwerk.

3. Stel die kern vir SYN-vloede in

SYN-koekies is in die meeste distribusies standaard aan. Kontroleer:

sysctl net.ipv4.tcp_syncookies

Hou ander kernwysigings klein en toets hulle, want verkeerde waardes kan normale verkeer benadeel.

4. Beperk versoektempo in Nginx

In die http-blok:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

In die server- of location-blok:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Herlaai met sudo nginx -t && sudo systemctl reload nginx. Bedien statiese lêers uit kasstoring en gebruik 'n kasstoringsinproep op WordPress om die koste van elke versoek te verlaag. Sien WordPress installeer met Nginx.

5. Monitor verkeer

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

'n Skielike sprong in verbindings of bandwydte, of 'n bediener wat stadig word met lae SVE-gebruik, kan 'n aanval aandui. Stel waarskuwings in sodat jy vroeg kennis neem.

6. Incident-kontrolelys

1. Bevestig in die konsole of die verkeer 'n aanval is of 'n werklike piek.
2. Kontroleer die aanvalgebeurtenisse en die aangevalde IP.
3. Blokkeer misbruikende bronadresse of reekse wat jy kan identifiseer.
4. Skakel strenger tempobeperkings of 'n onderhoudsbladsy aan.
5. Kontak jou verskaffer se ondersteuning met die tyd en die IP.
6. Hersien daarna die logboeke en werk hierdie plan op. Hou rugsteun en snapshots op datum.