Jak chránit VPS před DDoS útoky

Distribuovaný útok typu odmítnutí služby (DDoS) zahltí server nebo jeho síťové připojení tolika provozem, že se skutečné návštěvy nemohou dostat dovnitř. Některé útoky jsou příliš velké na to, aby je samotný server zvládl, proto je ochrana nejúčinnější ve vrstvách: nejprve filtrování na okraji sítě, poté nastavení firewallu a aplikace na VPS. ONIE chrání cloud servery v Ho Či Minově Městě pomocí DDoS Shield na okraji sítě bez příplatku a VPS s ochranou proti DDoS můžete nasadit během několika minut.

Typy útoků

• Objemové (vrstva 3 a 4): záplavy paketů, které zaplní síťovou linku, například záplavy UDP.
• Protokolové útoky: zneužití zpracování spojení, například záplavy SYN, které zaplní tabulku spojení.
• Útoky na aplikační vrstvě (vrstva 7): větší množství na první pohled korektních HTTP požadavků, které vyčerpají webový server nebo databázi.

Každý typ vyžaduje jinou obranu. Objemový provoz je nutné zastavit dříve, než dorazí na server; záplavy na aplikační vrstvě lze omezit přímo na serveru.

1. Filtrujte na okraji sítě

Filtrování na okraji sítě zahodí špatný provoz dříve, než dorazí na VPS, takže linka není přetížená. U DDoS Shield probíhá filtrování na okraji sítě pomocí XDP/eBPF a v konzoli vidíte provoz a útočné události pro každou IP adresu. Zeptejte se každého poskytovatele, který zvažujete, co je součástí služby, kde filtrování probíhá a zda se za něj platí navíc.

2. Zavřete to, co nepoužíváte

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Databáze ani administrační rozhraní nevystavujte do internetu. Svažte je s 127.0.0.1 nebo s privátní sítí.

3. Doladěte jádro kvůli záplavám SYN

SYN cookies jsou ve většině distribucí ve výchozím nastavení zapnuté. Ověřte to:

sysctl net.ipv4.tcp_syncookies

Ostatní změny jádra držte v malém rozsahu a vždy je otestujte, protože nesprávné hodnoty mohou poškodit běžný provoz.

4. Omezte počet požadavků v Nginx

V bloku http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

V bloku server nebo location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Konfiguraci znovu načtěte příkazem sudo nginx -t && sudo systemctl reload nginx. Statické soubory servírujte z cache a na WordPressu použijte plugin pro cachování, který snižuje náročnost každého požadavku. Viz instalace WordPressu s Nginx.

5. Sledujte provoz

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Náhlý nárůst počtu spojení nebo šířky pásma, nebo server, který zpomalí při nízkém vytížení CPU, může znamenat útok. Nastavte upozornění, abyste si ho všimli včas.

6. Kontrolní seznam pro incident

1. V konzoli ověřte, zda jde o útok, nebo o skutečný nápor návštěvníků.
2. Zkontrolujte útočné události a napadenou IP adresu.
3. Zablokujte zdrojové adresy nebo rozsahy, které dokážete identifikovat jako útočné.
4. Zapněte přísnější omezení požadavků nebo stránku údržby.
5. Kontaktujte podporu poskytovatele a uveďte čas a IP adresu.
6. Poté prohlédněte logy a aktualizujte tento plán. Průběžně udržujte zálohy a snapshoty.