Miten suojata VPS DDoS-hyökkäyksiltä

Hajautettu palvelunestohyökkäys (DDoS) tulvittaa palvelimen tai sen verkkoyhteyden liikenteellä, kunnes oikeat kävijät eivät enää pääse perille. Osa hyökkäyksistä on liian suuria palvelimelle itselleen, joten suojaus toimii parhaiten kerroksittain: ensin suodatus verkon reunalla, sitten palomuuri- ja sovellusasetukset VPS:llä. ONIE suojaa Ho Chi Minh Cityn pilvipalvelimet DDoS Shieldillä verkon reunalla ilman lisämaksua, ja voit ottaa käyttöön VPS:n, jossa on DDoS-suojaus muutamassa minuutissa.

Hyökkäystyypit

• Volumetrinen (kerrokset 3 ja 4): paketteja tulvittava hyökkäys, joka täyttää verkkoyhteyden, esimerkiksi UDP-tulvat.
• Protokollahyökkäykset: yhteydenhallinnan hyväksikäyttö, kuten SYN-tulvat, jotka täyttävät yhteystaulun.
• Sovelluskerros (kerros 7): paljon näennäisesti oikeanlaisia HTTP-pyyntöjä, jotka kuluttavat verkkopalvelimen tai tietokannan resurssit loppuun.

Jokainen tyyppi vaatii oman puolustuksen. Volumetrinen liikenne on pysäytettävä ennen kuin se saavuttaa palvelimen; sovellustulvia voidaan vähentää palvelimella.

1. Suodata verkon reunalla

Reunasuodatus pudottaa haitallisen liikenteen ennen kuin se saavuttaa VPS:n, jolloin linkki ei ruuhkaudu. DDoS Shieldin suodatus tehdään verkon reunalla XDP/eBPF-tekniikalla, ja konsoli näyttää liikenteen ja hyökkäystapahtumat kullekin IP-osoitteelle. Kysy jokaiselta arvioimaltasi palveluntarjoajalta, mitä suojaus sisältää, missä suodatus tapahtuu ja maksaako se lisää.

2. Sulje se, mitä et käytä

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Älä avaa tietokantoja tai ylläpitopaneeleja internetiin. Sido ne osoitteeseen 127.0.0.1 tai yksityiseen verkkoon.

3. Säädä ytimen asetuksia SYN-tulvia varten

SYN-evästeet ovat päällä oletuksena useimmissa jakeluissa. Tarkista:

sysctl net.ipv4.tcp_syncookies

Pidä muut ytimen muutokset pieninä ja testaa ne, sillä väärät arvot voivat heikentää normaalia liikennettä.

4. Rajoita pyyntöjä Nginxissä

http-lohkossa:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server- tai location-lohkossa:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Lataa asetukset uudelleen komennolla sudo nginx -t && sudo systemctl reload nginx. Tarjoa staattiset tiedostot välimuistista ja käytä WordPressissä välimuistipluginia, jotta jokaisen pyynnön kustannus pienenee. Katso WordPressin asennus Nginxin kanssa.

5. Valvo liikennettä

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Äkillinen yhteyksien tai kaistanleveyden kasvu sekä palvelin, joka hidastuu vähäisellä suorittimen käytöllä, voivat viitata hyökkäykseen. Aseta hälytykset, jotta huomaat ongelmat ajoissa.

6. Häiriötilanteen tarkistuslista

1. Varmista konsolista, onko liikenne hyökkäys vai aito kysynnän piikki.
2. Tarkista hyökkäystapahtumat ja hyökkäyksen kohteena oleva IP-osoite.
3. Estä häiritsevät lähdeosoitteet tai -alueet, jotka pystyt tunnistamaan.
4. Ota käyttöön tiukemmat nopeusrajoitukset tai huoltosivu.
5. Ota yhteyttä palveluntarjoajan tukeen ilmoittaen ajankohta ja IP-osoite.
6. Jälkikäteen tarkista lokit ja päivitä tämä suunnitelma. Pidä varmuuskopiot ja snapshotit ajan tasalla.