Comment protéger un VPS contre les attaques DDoS

Une attaque par déni de service distribué (DDoS) inonde un serveur ou sa connexion réseau de trafic jusqu'à ce que les visiteurs réels ne puissent plus y accéder. Certaines attaques sont trop volumineuses pour que le serveur lui-même puisse les absorber. La protection est donc plus efficace en couches : d'abord le filtrage en périphérie du réseau, puis les réglages du pare-feu et de l'application sur le VPS. ONIE protège les serveurs cloud à Hô-Chi-Minh-Ville avec DDoS Shield au niveau de la périphérie du réseau, sans frais supplémentaires, et vous pouvez déployer un VPS avec protection DDoS en quelques minutes.

Types d'attaques

• Volumétriques (couches 3 et 4) : déferlements de paquets qui saturent la liaison réseau, par exemple les floods UDP.
• Attaques de protocole : détournement de la gestion des connexions, comme les floods SYN qui remplissent la table des connexions.
• Couche applicative (couche 7) : nombreuses requêtes HTTP d'apparence légitime qui épuisent le serveur web ou la base de données.

Chaque type appelle une défense différente. Le trafic volumétrique doit être arrêté avant d'atteindre votre serveur, tandis que les floods applicatifs peuvent être atténués sur le serveur.

1. Filtrer en périphérie du réseau

Le filtrage en périphérie élimine le mauvais trafic avant qu'il n'atteigne votre VPS, de sorte que la liaison ne soit pas saturée. Avec DDoS Shield, le filtrage s'exécute en périphérie du réseau grâce à XDP/eBPF, et la console affiche le trafic et les événements d'attaque pour chaque IP. Demandez à chaque fournisseur que vous évaluez ce qui est inclus, où le filtrage s'effectue et s'il est facturé en supplément.

2. Fermer ce que vous n'utilisez pas

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

N'exposez pas les bases de données ni les panneaux d'administration sur Internet. Liez-les à 127.0.0.1 ou à un réseau privé.

3. Ajuster le noyau face aux floods SYN

Les SYN cookies sont activés par défaut sur la plupart des distributions. Vérifiez-le :

sysctl net.ipv4.tcp_syncookies

Limitez les autres modifications du noyau et testez-les, car des valeurs incorrectes peuvent dégrader le trafic normal.

4. Limiter le débit des requêtes dans Nginx

Dans le bloc http :

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Dans le bloc server ou location :

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Rechargez la configuration avec sudo nginx -t && sudo systemctl reload nginx. Servez les fichiers statiques depuis le cache et utilisez une extension de cache sur WordPress pour réduire le coût de chaque requête. Voir installer WordPress avec Nginx.

5. Surveiller le trafic

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Une hausse soudaine des connexions ou de la bande passante, ou un serveur qui ralentit alors que l'usage du processeur reste faible, peut signaler une attaque. Configurez des alertes pour être prévenu rapidement.

6. Liste de contrôle en cas d'incident

1. Vérifiez dans la console s'il s'agit d'une attaque ou d'un pic de trafic légitime.
2. Consultez les événements d'attaque et l'adresse IP visée.
3. Bloquez les adresses ou plages sources abusives que vous pouvez identifier.
4. Activez des limites de débit plus strictes ou une page de maintenance.
5. Contactez le support de votre fournisseur en indiquant l'heure et l'IP.
6. Ensuite, analysez les journaux et mettez à jour ce plan. Gardez à jour vos sauvegardes et snapshots.