DDoS હુમલાથી VPS ને કેવી રીતે સુરક્ષિત કરવું

ડિસ્ટ્રિબ્યુટેડ ડિનાયલ-ઓફ-સર્વિસ (DDoS) હુમલો સર્વર અથવા તેના નેટવર્ક કનેક્શનને એટલો બધો ટ્રાફિક મોકલે છે કે વાસ્તવિક મુલાકાતીઓ તેમાં પ્રવેશી શકતા નથી. કેટલાક હુમલા એટલા મોટા હોય છે કે સર્વર પોતે તેને સંભાળી શકતું નથી, તેથી સુરક્ષા સ્તરોમાં સૌથી અસરકારક રહે છે: પહેલા નેટવર્ક એજ પર ફિલ્ટરિંગ, પછી VPS પર ફાયરવૉલ અને એપ્લિકેશન સેટિંગ્સ. ONIE હો ચી મિન્હ સિટીમાં DDoS Shield સાથે ક્લાઉડ સર્વરોને નેટવર્ક એજ પર સુરક્ષિત કરે છે અને કોઈ વધારાના ચાર્જ વિના. તમે DDoS સુરક્ષા સાથે VPS ડિપ્લોય કરી શકો છો, જેમાં થોડી જ મિનિટો લાગે છે.

હુમલાના પ્રકારો

• વૉલ્યુમેટ્રિક (લેયર 3 અને 4): પેકેટોનો પૂર જે નેટવર્ક લિંક ભરી દે છે, જેમ કે UDP ફ્લડ.
• પ્રોટોકોલ હુમલા: કનેક્શન હેન્ડલિંગનો દુરુપયોગ, જેમ કે SYN ફ્લડ જે કનેક્શન ટેબલ ભરી દે છે.
• એપ્લિકેશન લેયર (લેયર 7): ઘણી માન્ય દેખાતી HTTP વિનંતીઓ જે વેબ સર્વર અથવા ડેટાબેઝને થકવી દે છે.

દરેક પ્રકાર માટે અલગ બચાવની જરૂર પડે છે. વૉલ્યુમેટ્રિક ટ્રાફિક તમારા સર્વર સુધી પહોંચે તે પહેલાં રોકવો પડે છે; એપ્લિકેશન ફ્લડને સર્વર પર ઘટાડી શકાય છે.

1. નેટવર્ક એજ પર ફિલ્ટર કરો

એજ ફિલ્ટરિંગ ખરાબ ટ્રાફિકને તમારા VPS સુધી પહોંચતા પહેલાં જ દૂર કરે છે, જેથી લિંક ભરાતી નથી. DDoS Shield સાથે ફિલ્ટરિંગ XDP/eBPF નો ઉપયોગ કરીને નેટવર્ક એજ પર ચાલે છે, અને કન્સોલ દરેક IP માટે ટ્રાફિક અને હુમલાની ઘટનાઓ બતાવે છે. તમે મૂલ્યાંકન કરતા કોઈપણ પ્રદાતાને પૂછો કે તેમાં શું સમાવિષ્ટ છે, ફિલ્ટરિંગ ક્યાં થાય છે અને તેના માટે વધારાનો ખર્ચ લાગે છે કે નહીં.

2. તમે ઉપયોગ ન કરતા હો તે બંધ કરો

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

ડેટાબેઝ કે એડમિન પેનલને ઇન્ટરનેટ પર ખુલ્લા ન મૂકો. તેમને 127.0.0.1 અથવા પ્રાઇવેટ નેટવર્ક સાથે બાઇન્ડ કરો.

3. SYN ફ્લડ માટે કર્નલ ટ્યુન કરો

મોટાભાગના ડિસ્ટ્રિબ્યુશનમાં SYN cookies ડિફોલ્ટ રૂપે ચાલુ હોય છે. તપાસો:

sysctl net.ipv4.tcp_syncookies

અન્ય કર્નલ ફેરફારો નાના રાખો અને તેનું પરીક્ષણ કરો, કારણ કે ખોટી કિંમતો સામાન્ય ટ્રાફિકને નુકસાન પહોંચાડી શકે છે.

4. Nginx માં વિનંતીઓની રેટ-લિમિટ કરો

http બ્લોકમાં:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server અથવા location બ્લોકમાં:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

sudo nginx -t && sudo systemctl reload nginx વડે રીલોડ કરો. સ્ટેટિક ફાઇલો કેશમાંથી સર્વ કરો અને WordPress પર દરેક વિનંતીનો ખર્ચ ઘટાડવા માટે કેશિંગ પ્લગઇન વાપરો. જુઓ Nginx સાથે WordPress ઇન્સ્ટોલ કરવું.

5. ટ્રાફિકનું મોનિટરિંગ કરો

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

કનેક્શન કે બેન્ડવિડ્થમાં અચાનક વધારો, અથવા ઓછા CPU વપરાશ છતાં ધીમું થતું સર્વર, હુમલાની નિશાની હોઈ શકે છે. વહેલા ખબર પડે તે માટે ચેતવણીઓ (alerts) સેટ કરો.

6. ઘટના ચેકલિસ્ટ

1. કન્સોલમાં પુષ્ટિ કરો કે ટ્રાફિક હુમલો છે કે વાસ્તવિક વધારો.
2. હુમલાની ઘટનાઓ અને લક્ષ્ય બનેલા IP તપાસો.
3. તમે ઓળખી શકો તેવા દુરુપયોગી સ્રોત એડ્રેસ અથવા રેન્જ બ્લોક કરો.
4. વધુ કડક રેટ લિમિટ અથવા મેન્ટેનન્સ પેજ ચાલુ કરો.
5. સમય અને IP સાથે તમારા પ્રદાતાના સપોર્ટનો સંપર્ક કરો.
6. પછીથી, લોગ તપાસો અને આ યોજના અપડેટ કરો. બેકઅપ્સ અને સ્નેપશોટ અદ્યતન રાખો.