Paano protektahan ang VPS laban sa DDoS attack

Ang distributed denial-of-service (DDoS) attack ay nagpapadala ng napakaraming trapiko sa server o sa network connection nito hanggang hindi na makapasok ang mga totoong bisita. May mga attack na sobrang laki para kayanin ng mismong server, kaya pinakamabisa ang proteksyon na nasa maraming layer: una ang filtering sa network edge, saka ang firewall at application settings sa VPS. Nagbibigay ang ONIE ng proteksyon sa cloud servers sa Ho Chi Minh City gamit ang DDoS Shield sa network edge nang walang dagdag na bayad, at maaari ka ring mag-deploy ng VPS na may DDoS protection sa loob ng ilang minuto.

Mga uri ng attack

• Volumetric (layer 3 at 4): mga baha ng packet na pumupuno sa network link, halimbawa ang UDP flood.
• Protocol attack: pag-abuso sa connection handling, gaya ng SYN flood na pumupuno sa connection table.
• Application layer (layer 7): maraming HTTP request na mukhang lehitimo at nagpapagod sa web server o database.

Bawat uri ay may kanya-kanyang depensa. Kailangang mapigilan ang volumetric traffic bago ito umabot sa server; ang application flood naman ay maaaring pababain sa mismong server.

1. I-filter sa network edge

Inaalis ng edge filtering ang masamang trapiko bago ito umabot sa VPS, kaya hindi napupuno ang link. Sa DDoS Shield, nangyayari ang filtering sa network edge gamit ang XDP/eBPF, at ipinapakita ng console ang trapiko at mga attack event sa bawat IP. Itanong sa anumang provider na ikinukumpara mo kung ano ang kasama, saan nangyayari ang filtering, at kung may dagdag itong bayad.

2. Isara ang hindi mo ginagamit

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Huwag ilantad sa internet ang mga database o admin panel. I-bind ang mga ito sa 127.0.0.1 o sa private network.

3. I-tune ang kernel para sa SYN flood

Naka-on na ang SYN cookies bilang default sa karamihan ng distribution. Tingnan ito:

sysctl net.ipv4.tcp_syncookies

Panatilihing maliit ang iba pang kernel change at subukan muna ang mga ito, dahil ang maling value ay maaaring makasama sa normal na trapiko.

4. Limitahan ang rate ng request sa Nginx

Sa http block:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Sa server o location block:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

I-reload gamit ang sudo nginx -t && sudo systemctl reload nginx. I-serve ang static file mula sa cache at gumamit ng caching plugin sa WordPress para bawasan ang gastos ng bawat request. Tingnan ang pag-install ng WordPress gamit ang Nginx.

5. I-monitor ang trapiko

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Ang biglaang pagtaas ng koneksyon o bandwidth, o server na nagiging mabagal kahit mababa ang paggamit ng CPU, ay maaaring senyales ng attack. Mag-set ng alert para mabilis mo itong mapansin.

6. Checklist sa incident

1. Kumpirmahin sa console kung attack ba ang trapiko o totoong pagdami lang ng bisita.
2. Tingnan ang mga attack event at ang IP na tinamaan.
3. I-block ang mga abusadong source address o range na natukoy mo.
4. I-on ang mas mahigpit na rate limit o maintenance page.
5. Makipag-ugnayan sa support ng provider mo, kasama ang oras at IP.
6. Pagkatapos, suriin ang logs at i-update ang planong ito. Panatilihing updated ang mga backup at snapshot.