So schützen Sie einen VPS vor DDoS-Angriffen

Ein Distributed-Denial-of-Service-Angriff (DDoS) überflutet einen Server oder dessen Netzwerkanbindung mit so viel Datenverkehr, dass echte Besucher nicht mehr durchkommen. Manche Angriffe sind zu groß, als dass der Server selbst sie bewältigen könnte. Deshalb funktioniert der Schutz am besten mehrschichtig: zuerst die Filterung am Netzwerkrand, danach Firewall- und Anwendungseinstellungen auf dem VPS. ONIE schützt Cloud Server in Ho Chi Minh City mit DDoS Shield am Netzwerkrand ohne Aufpreis, und Sie können einen VPS mit DDoS-Schutz in wenigen Minuten bereitstellen.

Arten von Angriffen

• Volumetrisch (Layer 3 und 4): Paketfluten, die die Netzwerkverbindung füllen, z. B. UDP-Floods.
• Protokollangriffe: Missbrauch der Verbindungsverwaltung, etwa SYN-Floods, die die Verbindungstabelle füllen.
• Anwendungsschicht (Layer 7): Viele scheinbar gültige HTTP-Anfragen, die Webserver oder Datenbank erschöpfen.

Jede Art erfordert eine andere Abwehr. Volumetrischer Datenverkehr muss gestoppt werden, bevor er Ihren Server erreicht; Anwendungsfluten lassen sich auf dem Server abmildern.

1. Am Netzwerkrand filtern

Die Filterung am Netzwerkrand verwirft schädlichen Datenverkehr, bevor er Ihren VPS erreicht, sodass die Leitung nicht gesättigt wird. Bei DDoS Shield läuft die Filterung am Netzwerkrand mit XDP/eBPF, und die Konsole zeigt Datenverkehr und Angriffsereignisse für jede IP an. Fragen Sie jeden Anbieter, den Sie prüfen, was enthalten ist, wo die Filterung stattfindet und ob sie extra kostet.

2. Nicht benötigte Dienste schließen

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Stellen Sie Datenbanken oder Admin-Oberflächen nicht ins Internet. Binden Sie sie an 127.0.0.1 oder an ein privates Netzwerk.

3. Kernel für SYN-Floods abstimmen

SYN-Cookies sind in den meisten Distributionen standardmäßig aktiv. Prüfen Sie das:

sysctl net.ipv4.tcp_syncookies

Halten Sie andere Kernel-Änderungen klein und testen Sie sie, denn falsche Werte können normalen Datenverkehr beeinträchtigen.

4. Anfragen in Nginx ratenbegrenzen

Im http-Block:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Im server- oder location-Block:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Laden Sie die Konfiguration mit sudo nginx -t && sudo systemctl reload nginx neu. Liefern Sie statische Dateien aus dem Cache aus und verwenden Sie unter WordPress ein Caching-Plugin, um den Aufwand pro Anfrage zu senken. Siehe WordPress mit Nginx installieren.

5. Datenverkehr überwachen

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Ein plötzlicher Anstieg bei Verbindungen oder Bandbreite oder ein langsamer Server mit geringer CPU-Last kann auf einen Angriff hindeuten. Richten Sie Warnmeldungen ein, damit Sie frühzeitig reagieren können.

6. Checkliste für Vorfälle

1. Prüfen Sie in der Konsole, ob es sich um einen Angriff oder einen echten Lastanstieg handelt.
2. Prüfen Sie die Angriffsereignisse und die angegriffene IP.
3. Blockieren Sie missbräuchliche Quelladressen oder Bereiche, die Sie identifizieren können.
4. Aktivieren Sie strengere Ratenbegrenzungen oder eine Wartungsseite.
5. Kontaktieren Sie den Support Ihres Anbieters mit Uhrzeit und IP.
6. Prüfen Sie danach die Logs und aktualisieren Sie diesen Plan. Halten Sie Backups und Snapshots aktuell.