Com protegir un VPS contra atacs DDoS

Un atac de denegació de servei distribuït (DDoS) inunda un servidor o la seva connexió de xarxa amb trànsit fins que els visitants reals no hi poden accedir. Alguns atacs són massa grans perquè el mateix servidor els pugui gestionar, de manera que la protecció funciona millor per capes: primer el filtratge a la vora de la xarxa i després els paràmetres del tallafoc i de l'aplicació al VPS. ONIE protegeix servidors cloud a la ciutat de Ho Chi Minh amb DDoS Shield a la vora de la xarxa sense cost addicional, i pots desplegar un VPS amb protecció DDoS en uns pocs minuts.

Tipus d'atacs

• Volumètric (capa 3 i 4): inundacions de paquets que saturen l'enllaç de xarxa, per exemple inundacions UDP.
• Atacs de protocol: abús de la gestió de connexions, com les inundacions SYN que omplen la taula de connexions.
• Capa d'aplicació (capa 7): moltes peticions HTTP aparentment vàlides que esgoten el servidor web o la base de dades.

Cada tipus necessita una defensa diferent. El trànsit volumètric s'ha d'aturar abans d'arribar al servidor; les inundacions de capa d'aplicació es poden reduir al mateix servidor.

1. Filtra a la vora de la xarxa

El filtratge a la vora elimina el trànsit dolent abans que arribi al VPS, de manera que l'enllaç no es satura. Amb DDoS Shield, el filtratge s'executa a la vora de la xarxa amb XDP/eBPF, i la consola mostra el trànsit i els esdeveniments d'atac per a cada IP. Pregunta a qualsevol proveïdor que avaluïs què està inclòs, on es fa el filtratge i si té cost addicional.

2. Tanca el que no fas servir

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

No exposis bases de dades ni panells d'administració a internet. Vincula'ls a 127.0.0.1 o a una xarxa privada.

3. Ajusta el nucli per a les inundacions SYN

Les cookies SYN estan activades per defecte a la majoria de distribucions. Comprova-ho:

sysctl net.ipv4.tcp_syncookies

Mantén els altres canvis al nucli petits i prova'ls, ja que els valors incorrectes poden perjudicar el trànsit normal.

4. Limita les peticions a Nginx

Al bloc http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Al bloc server o location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Recarrega amb sudo nginx -t && sudo systemctl reload nginx. Serveix els fitxers estàtics des de la memòria cau i fes servir un plugin de cache a WordPress per reduir el cost de cada petició. Consulta com instal·lar WordPress amb Nginx.

5. Monitora el trànsit

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Un salt sobtat de connexions o d'ample de banda, o un servidor que es torna lent amb poc ús de CPU, pot indicar un atac. Configura alertes per detectar-ho aviat.

6. Llista de comprovació per a incidents

1. Confirma a la consola si el trànsit és un atac o un pic real.
2. Revisa els esdeveniments d'atac i la IP atacada.
3. Bloqueja les adreces o els rangs d'origen abusius que puguis identificar.
4. Activa límits de peticions més estrictes o una pàgina de manteniment.
5. Contacta amb el suport del proveïdor indicant l'hora i la IP.
6. Després, revisa els registres i actualitza aquest pla. Mantén al dia les còpies de seguretat i els snapshots.