Kako zaštititi VPS od DDoS napada

Napad uskraćivanjem usluge distribuiranim izvorima (DDoS) preplavljuje poslužitelj ili njegovu mrežnu vezu prometom sve dok pravi posjetitelji ne mogu doći do njega. Neki su napadi preveliki da bi ih sam poslužitelj mogao podnijeti, pa je zaštita najučinkovitija u slojevima: prvo filtriranje na rubu mreže, zatim postavke vatrozida i aplikacije na VPS-u. ONIE štiti cloud poslužitelje u Ho Chi Minh Cityju uz DDoS Shield na rubu mreže bez dodatne naknade, a VPS s DDoS zaštitom možete postaviti za nekoliko minuta.

Vrste napada

• Volumetrijski (sloj 3 i 4): poplave paketa koje zauzimaju mrežnu vezu, na primjer UDP poplave.
• Protokolni napadi: zloupotreba obrade veza, poput SYN poplava koje pune tablicu veza.
• Napadi na aplikacijskom sloju (sloj 7): mnogo naizgled ispravnih HTTP zahtjeva koji iscrpljuju web poslužitelj ili bazu podataka.

Svaka vrsta zahtijeva drugačiju obranu. Volumetrijski promet mora se zaustaviti prije nego što stigne do poslužitelja, dok se aplikacijske poplave mogu ublažiti na samom poslužitelju.

1. Filtrirajte na rubu mreže

Filtriranje na rubu mreže odbacuje loš promet prije nego što stigne do VPS-a, pa veza ostaje neopterećena. Uz DDoS Shield filtriranje se izvodi na rubu mreže pomoću XDP/eBPF-a, a konzola prikazuje promet i događaje napada za svaku IP adresu. Pitajte svakog pružatelja koji razmatrate što je uključeno, gdje se filtriranje odvija i naplaćuje li se dodatno.

2. Zatvorite ono što ne koristite

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Nemojte izlagati baze podataka ili administratorska sučelja internetu. Vežite ih na 127.0.0.1 ili privatnu mrežu.

3. Podesite jezgru za SYN poplave

SYN kolačići su u većini distribucija uključeni prema zadanim postavkama. Provjerite:

sysctl net.ipv4.tcp_syncookies

Ostale promjene jezgre držite malima i testirajte ih, jer pogrešne vrijednosti mogu narušiti normalan promet.

4. Ograničite zahtjeve u Nginxu

U bloku http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

U bloku server ili location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Ponovno učitajte postavke naredbom sudo nginx -t && sudo systemctl reload nginx. Statičke datoteke posluživajte iz predmemorije, a na WordPressu koristite dodatak za predmemoriranje kako biste smanjili trošak svakog zahtjeva. Pogledajte instalaciju WordPressa s Nginxom.

5. Pratite promet

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Naglo povećanje broja veza ili propusnosti, kao i poslužitelj koji postaje spor uz malo korištenje procesora, može značiti napad. Postavite upozorenja da biste ga primijetili na vrijeme.

6. Kontrolni popis za incident

1. U konzoli potvrdite je li riječ o napadu ili o stvarnom skoku prometa.
2. Provjerite događaje napada i napadnutu IP adresu.
3. Blokirajte zlonamjerne izvorne adrese ili raspone koje možete identificirati.
4. Uključite strože ograničenja zahtjeva ili stranicu za održavanje.
5. Obratite se podršci pružatelja usluge navodeći vrijeme i IP adresu.
6. Nakon toga pregledajte zapise i ažurirajte ovaj plan. Redovito održavajte sigurnosne kopije i snimke stanja.