VPS-i DDoS hücumlarından necə qorumaq olar

Paylanmış xidmət dayandırma (DDoS) hücumu serveri və ya onun şəbəkə bağlantısını real istifadəçilərin keçə bilmədiyi həddə qədər trafiklə doldurur. Bəzi hücumlar həcminə görə serverin özü üçün çox böyükdür, ona görə qorunma təbəqəli şəkildə ən yaxşı işləyir: əvvəlcə şəbəkə kənarında filtrləmə, sonra isə VPS üzərində firewall və tətbiq parametrləri. ONIE DDoS Shield ilə Ho Chi Minh şəhərindəki cloud serverləri şəbəkə kənarında əlavə ödənişsiz qoruyur və DDoS qorumalı VPS-i bir neçə dəqiqəyə yerləşdirə bilərsiniz.

Hücum növləri

• Volumetrik (3 və 4-cü təbəqə): şəbəkə bağlantısını dolduran paket selləri, məsələn UDP selləri.
• Protokol hücumları: bağlantı idarəetməsinin sui-istifadəsi, məsələn bağlantı cədvəlini dolduran SYN selləri.
• Tətbiq təbəqəsi (7-ci təbəqə): veb serveri və ya verilənlər bazasını tükədən, görünüşcə etibarlı çoxlu HTTP sorğuları.

Hər növ fərqli müdafiə tələb edir. Volumetrik trafik serverə çatmamışdan dayandırılmalıdır; tətbiq təbəqəsindəki selləri isə serverdə azaltmaq olar.

1. Şəbəkə kənarında filtrləyin

Kənarda filtrləmə zərərli trafiki VPS-ə çatmamışdan atır, beləliklə bağlantı doymur. DDoS Shield ilə filtrləmə XDP/eBPF vasitəsilə şəbəkə kənarında işləyir, konsol isə hər IP üzrə trafiki və hücum hadisələrini göstərir. Qiymətləndirdiyiniz hər provayderdən nələrin daxil olduğunu, filtrləmənin harada aparıldığını və əlavə ödənişin olub-olmadığını soruşun.

2. İstifadə etmədiklərinizi bağlayın

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Verilənlər bazalarını və admin panellərini internetə açmayın. Onları 127.0.0.1 və ya şəxsi şəbəkəyə bağlayın.

3. SYN selləri üçün kernel-i tənzimləyin

SYN cookies əksər paylanmalarda defolt olaraq aktivdir. Yoxlayın:

sysctl net.ipv4.tcp_syncookies

Digər kernel dəyişikliklərini kiçik saxlayın və test edin, çünki yanlış dəyərlər normal trafiki pozа bilər.

4. Nginx-də sorğuları məhdudlaşdırın

http blokunda:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server və ya location blokunda:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

sudo nginx -t && sudo systemctl reload nginx ilə yenidən yükləyin. Statik faylları keşdən verin və WordPress-də hər sorğunun dəyərini azaltmaq üçün keşləmə plagini istifadə edin. Bax: WordPress-i Nginx ilə quraşdırmaq.

5. Trafiki izləyin

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Bağlantılarda və ya bant genişliyində qəfil artım, CPU istifadəsi aşağı olduğu halda yavaşlayan server hücumun əlaməti ola bilər. Erkən xəbərdar olmaq üçün xəbərdarlıqlar qurun.

6. Hadisə üzrə yoxlama siyahısı

1. Trafikin hücum, yoxsa real artım olduğunu konsolda yoxlayın.
2. Hücum hadisələrini və hədəf alınan IP-ni yoxlayın.
3. Müəyyən edə bildiyiniz sui-istifadəçi mənbə ünvanlarını və ya diapazonlarını bloklayın.
4. Daha sərt sorğu limitlərini və ya texniki iş səhifəsini aktivləşdirin.
5. Vaxtı və IP-ni göstərərək provayderin dəstək xidmətinə müraciət edin.
6. Sonradan logları nəzərdən keçirin və bu planı yeniləyin. Ehtiyat nüsxələri və snapshot-ları aktual saxlayın.