የVPS ከDDoS ጥቃቶች እንዴት እንደሚጠበቅ

የተከፋፈለ የአገልግሎት መከልከል (DDoS) ጥቃት እውነተኛ ጎብኚዎች ማለፍ እስኪያቅታቸው ድረስ አገልጋይን ወይም የአውታረ መረብ ግንኙነቱን በትራፊክ ያጥለቀልቃል። አንዳንድ ጥቃቶች ለአገልጋዩ ራሱ ለመቋቋም በጣም ትላልቅ ናቸው፣ ስለዚህ ጥበቃው በንብርብሮች ሲደረግ ምርጡን ይሰራል፦ በመጀመሪያ በአውታረ መረብ ጠርዝ ላይ ማጣራት፣ ከዚያም በVPS ላይ የፋየርዎል እና የአፕሊኬሽን ቅንብሮች። ONIE በሆቺሚን ከተማ የሚገኙ በDDoS Shield የተጠበቁ የክላውድ ሰርቨሮችን በኔትወርክ ጠርዝ ላይ ያለ ተጨማሪ ክፍያ ይጠብቃል፤ እንዲሁም በDDoS ጥበቃ የታጀበ VPS በጥቂት ደቂቃዎች ውስጥ ማስነሳት ይችላሉ።

የጥቃት ዓይነቶች

• ቮልዩሜትሪክ (ንብርብር 3 እና 4)፦ የኔትወርክ ማገናኛውን የሚሞሉ የፓኬት ጎርፎች፣ ለምሳሌ UDP ጎርፍ።
• የፕሮቶኮል ጥቃቶች፦ የግንኙነት አያያዝን አላግባብ መጠቀም፣ ለምሳሌ የግንኙነት ሰንጠረዡን የሚሞሉ SYN ጎርፎች።
• የአፕሊኬሽን ንብርብር (ንብርብር 7)፦ የዌብ ሰርቨሩን ወይም ዳታቤዙን የሚያዳክሙ ትክክለኛ መስለው የሚታዩ ብዙ የHTTP ጥያቄዎች።

እያንዳንዱ ዓይነት የተለያየ መከላከያ ይፈልጋል። ቮልዩሜትሪክ ትራፊክ ወደ አገልጋይዎ ከመድረሱ በፊት መቆም አለበት፤ የአፕሊኬሽን ጎርፎች ግን በአገልጋዩ ላይ ሊቀነሱ ይችላሉ።

1. በአውታረ መረብ ጠርዝ ማጣራት

የጠርዝ ማጣራት መጥፎ ትራፊክን ወደ VPSዎ ከመድረሱ በፊት ይጥለዋል፤ ስለዚህ ማገናኛው አይጨናነቅም። በDDoS Shield ማጣራቱ በXDP/eBPF በመጠቀም በአውታረ መረብ ጠርዝ ላይ ይሰራል፣ ኮንሶሉም ለእያንዳንዱ IP ትራፊክንና የጥቃት ክስተቶችን ያሳያል። የሚገመግሙት ማንኛውም አቅራቢ ምን እንደሚካተት፣ ማጣራቱ የት እንደሚከናወን እና ተጨማሪ ክፍያ እንደሚጠይቅ ይጠይቁ።

2. የማይጠቀሙትን ዝጋ

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

ዳታቤዞችን ወይም የአስተዳዳሪ ፓነሎችን ለኢንተርኔት አታጋልጡ። ወደ 127.0.0.1 ወይም ወደ የግል አውታረ መረብ ብቻ እንዲያገኙ አስሯቸው።

3. ለSYN ጎርፎች ከርነሉን አስተካክል

የSYN ኩኪዎች በአብዛኛዎቹ ስርጭቶች በነባሪነት ነቅተዋል። ያረጋግጡ፦

sysctl net.ipv4.tcp_syncookies

ሌሎች የከርነል ለውጦችን አነስተኛ ያድርጉ እና ይሞክሯቸው፤ የተሳሳቱ እሴቶች መደበኛ ትራፊክን ሊጎዱ ይችላሉ።

4. በNginx የጥያቄዎችን ፍጥነት ገድብ

በhttp ብሎክ ውስጥ፦

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

በserver ወይም location ብሎክ ውስጥ፦

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

በsudo nginx -t && sudo systemctl reload nginx ዳግም ጫን። የማይለወጡ ፋይሎችን ከካሽ አቅርብ፤ በWordPress ላይ ለእያንዳንዱ ጥያቄ ወጪን ለመቀነስ የካሽ ፕለጊን ተጠቀም። WordPressን በNginx መጫን ተመልከት።

5. ትራፊክን ተከታተል

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

ድንገተኛ የግንኙነቶች ወይም የባንድዊድዝ ጭማሪ፣ ወይም ዝቅተኛ የCPU አጠቃቀም ቢሆንም ቀርፋፋ የሚሆን አገልጋይ፣ ጥቃት ሊሆን ይችላል። ቶሎ እንዲያውቁ ማንቂያዎችን ያዘጋጁ።

6. የአደጋ ማረጋገጫ ዝርዝር

1. ትራፊኩ ጥቃት ወይስ እውነተኛ ጭማሪ መሆኑን በኮንሶሉ ላይ አረጋግጡ።
2. የጥቃት ክስተቶቹንና የተጠቃውን IP ይፈትሹ።
3. መለየት የምትችሉዋቸውን ጎጂ ምንጭ አድራሻዎች ወይም ክልሎች አግዱ።
4. ጥብቅ የፍጥነት ገደቦችን ወይም የጥገና ገጽን አብሩ።
5. የአቅራቢውን ድጋፍ ከጊዜውና ከIP ጋር ያነጋግሩ።
6. ከዚያ በኋላ ምዝግቦቹን ይገምግሙ እና ይህን እቅድ ያዘምኑ። ምትኬዎችንና ስናፕሾቶችን ወቅታዊ ያድርጉ።