איך להגן על שרת VPS מהתקפות DDoS

התקפת מניעת שירות מבוזרת (DDoS) מציפה שרת או את חיבור הרשת שלו בתעבורה עד שמבקרים אמיתיים כבר לא יכולים להגיע אליו. יש התקפות גדולות מכדי שהשרת עצמו יוכל להתמודד איתן, ולכן ההגנה יעילה ביותר כשהיא בנויה בשכבות: קודם סינון בקצה הרשת, ואחר כך הגדרות חומת אש ויישום ב-VPS. ONIE מגנה על שרתי ענן בהו צ'י מין סיטי עם DDoS Shield בקצה הרשת ללא עלות נוספת, ואפשר להפעיל VPS עם הגנה מפני DDoS תוך כמה דקות.

סוגי התקפות

• נפחיות (שכבה 3 ו-4): שטפי חבילות שממלאים את קישור הרשת, למשל שטפי UDP.
• התקפות פרוטוקול: ניצול לרעה של טיפול בחיבורים, כמו שטפי SYN שממלאים את טבלת החיבורים.
• שכבת היישום (שכבה 7): בקשות HTTP רבות שנראות תקינות ומרוקנות את שרת הווב או את מסד הנתונים.

לכל סוג נדרשת הגנה אחרת. תעבורה נפחית חייבת להיעצר לפני שהיא מגיעה לשרת; שטפי יישום אפשר לצמצם בשרת עצמו.

1. סינון בקצה הרשת

סינון בקצה מפיל תעבורה פוגענית לפני שהיא מגיעה ל-VPS, כך שהקישור לא מתמלא. עם DDoS Shield הסינון פועל בקצה הרשת באמצעות XDP/eBPF, והקונסולה מציגה תעבורה ואירועי התקפה לכל IP. שאלו כל ספק שאתם בוחנים מה כלול, היכן מתבצע הסינון והאם יש עלות נוספת.

2. סגרו את מה שאינכם משתמשים בו

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

אל תחשפו מסדי נתונים או לוחות ניהול לאינטרנט. קשרו אותם ל-127.0.0.1 או לרשת פרטית.

3. כוונון הליבה להתמודדות עם שטפי SYN

עוגיות SYN פעילות כברירת מחדל ברוב ההפצות. בדקו:

sysctl net.ipv4.tcp_syncookies

שמרו על שינויים קטנים בליבה ובדקו אותם, כי ערכים שגויים עלולים לפגוע בתעבורה התקינה.

4. הגבלת קצב בקשות ב-Nginx

בתוך בלוק http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

בתוך בלוק server או location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

טענו מחדש עם sudo nginx -t && sudo systemctl reload nginx. הגישו קבצים סטטיים מהמטמון והשתמשו בתוסף מטמון ב-WordPress כדי להפחית את העלות של כל בקשה. ראו התקנת WordPress עם Nginx.

5. ניטור תעבורה

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

קפיצה פתאומית במספר החיבורים או ברוחב הפס, או שרת שמאט בעוד השימוש במעבד נמוך, עשויים להצביע על התקפה. הגדירו התראות כדי לזהות את הבעיה מוקדם.

6. רשימת בדיקה לתגובה לאירוע

1. ודאו בקונסולה אם מדובר בהתקפה או בעלייה אמיתית בתעבורה.
2. בדקו את אירועי ההתקפה ואת כתובת ה-IP שהותקפה.
3. חסמו כתובות מקור או טווחים פוגעניים שאתם מזהים.
4. הפעילו הגבלות קצב מחמירות יותר או דף תחזוקה.
5. פנו לתמיכה של הספק עם השעה וכתובת ה-IP.
6. לאחר מכן, בדקו את היומנים ועדכנו את התוכנית. שמרו גיבויים וצילומי מצב עדכניים.