Πώς να προστατεύσετε ένα VPS από επιθέσεις DDoS

Μια επίθεση κατανεμημένης άρνησης υπηρεσίας (DDoS) πλημμυρίζει έναν διακομιστή ή τη σύνδεσή του με κίνηση μέχρι να μην μπορούν να φτάσουν οι πραγματικοί επισκέπτες. Ορισμένες επιθέσεις είναι υπερβολικά μεγάλες για να τις αντιμετωπίσει μόνος του ο διακομιστής, οπότε η προστασία λειτουργεί καλύτερα σε επίπεδα: πρώτα φιλτράρισμα στο άκρο του δικτύου, έπειτα ρυθμίσεις firewall και εφαρμογής στο VPS. Η ONIE προστατεύει cloud servers στο Ho Chi Minh City με DDoS Shield στο άκρο του δικτύου χωρίς επιπλέον χρέωση, ενώ μπορείτε να εγκαταστήσετε ένα VPS με προστασία DDoS σε λίγα λεπτά.

Είδη επιθέσεων

• Volumetric (layer 3 και 4): πλημμύρες πακέτων που γεμίζουν τη σύνδεση δικτύου, για παράδειγμα πλημμύρες UDP.
• Επιθέσεις πρωτοκόλλου: κατάχρηση του χειρισμού συνδέσεων, όπως πλημμύρες SYN που γεμίζουν τον πίνακα συνδέσεων.
• Επίπεδο εφαρμογής (layer 7): πολλά αιτήματα HTTP που μοιάζουν έγκυρα και εξαντλούν τον web server ή τη βάση δεδομένων.

Κάθε είδος χρειάζεται διαφορετική άμυνα. Η κίνηση τύπου volumetric πρέπει να σταματά πριν φτάσει στον διακομιστή σας· οι πλημμύρες εφαρμογής μπορούν να μειωθούν στον ίδιο τον διακομιστή.

1. Φιλτράρετε στο άκρο του δικτύου

Το φιλτράρισμα στο άκρο απορρίπτει την κακόβουλη κίνηση πριν φτάσει στο VPS, ώστε η σύνδεση να μην κορεστεί. Με το DDoS Shield, το φιλτράρισμα εκτελείται στο άκρο του δικτύου με XDP/eBPF, και η κονσόλα εμφανίζει την κίνηση και τα συμβάντα επίθεσης για κάθε IP. Ρωτήστε κάθε πάροχο που αξιολογείτε τι περιλαμβάνεται, πού γίνεται το φιλτράρισμα και αν κοστίζει επιπλέον.

2. Κλείστε ό,τι δεν χρησιμοποιείτε

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Μην εκθέτετε βάσεις δεδομένων ή πίνακες διαχείρισης στο διαδίκτυο. Δεσμεύστε τα στο 127.0.0.1 ή σε ιδιωτικό δίκτυο.

3. Ρυθμίστε τον πυρήνα για πλημμύρες SYN

Τα SYN cookies είναι ενεργά by default στις περισσότερες διανομές. Ελέγξτε:

sysctl net.ipv4.tcp_syncookies

Κρατήστε τις υπόλοιπες αλλαγές στον πυρήνα μικρές και δοκιμάστε τες, γιατί λανθασμένες τιμές μπορούν να βλάψουν την κανονική κίνηση.

4. Περιορίστε τον ρυθμό αιτημάτων στο Nginx

Στο μπλοκ http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Στο μπλοκ server ή location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Επαναφορτώστε με sudo nginx -t && sudo systemctl reload nginx. Σερβίρετε τα στατικά αρχεία από cache και χρησιμοποιήστε plugin caching στο WordPress για να μειώσετε το κόστος κάθε αιτήματος. Δείτε εγκατάσταση WordPress με Nginx.

5. Παρακολουθήστε την κίνηση

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Μια απότομη αύξηση συνδέσεων ή εύρους ζώνης, ή ένας διακομιστής που καθυστερεί με χαμηλή χρήση CPU, μπορεί να σημαίνει επίθεση. Ορίστε ειδοποιήσεις ώστε να το αντιληφθείτε νωρίς.

6. Λίστα ελέγχου περιστατικού

1. Ελέγξτε στην κονσόλα αν η κίνηση είναι επίθεση ή πραγματική αιχμή.
2. Ελέγξτε τα συμβάντα επίθεσης και την IP που δέχεται την επίθεση.
3. Μπλοκάρετε τις κακόβουλες διευθύνσεις προέλευσης ή εύρη που μπορείτε να εντοπίσετε.
4. Ενεργοποιήστε αυστηρότερα όρια ρυθμού ή σελίδα συντήρησης.
5. Επικοινωνήστε με την υποστήριξη του παρόχου σας δίνοντας ώρα και IP.
6. Στη συνέχεια, ελέγξτε τα logs και ενημερώστε αυτό το σχέδιο. Κρατήστε τα αντίγραφα ασφαλείας και snapshots ενημερωμένα.