Ինչպես պաշտպանել VPS-ը DDoS հարձակումներից

Բաշխված ծառայության մերժման (DDoS) հարձակումը սերվերը կամ դրա ցանցային կապը հեղեղում է թրաֆիկով այնքան, մինչև իսկական այցելուները չկարողանան մուտք գործել: Որոշ հարձակումներ չափազանց մեծ են, որ սերվերն ինքը կարողանա դիմակայել, ուստի պաշտպանությունն ամենաարդյունավետն է շերտերով՝ նախ ցանցի եզրում ֆիլտրումը, ապա VPS-ի firewall-ի և հավելվածի կարգավորումները: ONIE-ն Հո Չի Մին Սիթիում գտնվող Cloud Servers-ները պաշտպանում է DDoS Shield-ով ցանցի եզրում՝ առանց լրացուցիչ վճարի, իսկ դուք կարող եք տեղակայել DDoS պաշտպանությամբ VPS մի քանի րոպեում:

Հարձակումների տեսակները

• Ծավալային (3-րդ և 4-րդ շերտ): փաթեթների հեղեղներ, որոնք լցնում են ցանցային կապը, օրինակ՝ UDP հեղեղները:
• Արձանագրության հարձակումներ: կապերի կառավարման չարաշահում, օրինակ՝ SYN հեղեղներ, որոնք լցնում են կապերի աղյուսակը:
• Կիրառական շերտ (7-րդ շերտ): բազմաթիվ, արտաքուստ վավեր HTTP հարցումներ, որոնք սպառում են վեբ սերվերը կամ տվյալների բազան:

Յուրաքանչյուր տեսակ պահանջում է տարբեր պաշտպանություն: Ծավալային թրաֆիկը պետք է կանգնեցվի մինչև սերվեր հասնելը. կիրառական հեղեղները կարելի է մեղմել հենց սերվերի վրա:

1. Ֆիլտրեք ցանցի եզրում

Ցանցի եզրի ֆիլտրումը վատ թրաֆիկը դադարեցնում է մինչև VPS-ին հասնելը, այնպես որ կապը չի հագեցվում: DDoS Shield-ով ֆիլտրումն աշխատում է ցանցի եզրում՝ XDP/eBPF-ի միջոցով, իսկ կառավարման վահանակը ցույց է տալիս թրաֆիկը և հարձակումների իրադարձությունները յուրաքանչյուր IP-ի համար: Գնահատած յուրաքանչյուր մատակարարից հարցրեք, թե ինչ է ներառված, որտեղ է կատարվում ֆիլտրումը և արդյոք դա լրացուցիչ արժե:

2. Փակեք այն, ինչ չեք օգտագործում

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Մի բացահայտեք տվյալների բազաները կամ ադմինիստրատորական վահանակները ինտերնետին: Կապեք դրանք 127.0.0.1-ին կամ մասնավոր ցանցին:

3. Կարգավորեք kernel-ը SYN հեղեղների համար

SYN cookies-ը միացված է շատ բաշխումներում լռելյայն: Ստուգեք՝

sysctl net.ipv4.tcp_syncookies

Մնացած kernel փոփոխությունները պահեք փոքր և փորձարկեք դրանք, քանի որ սխալ արժեքները կարող են վնասել սովորական թրաֆիկը:

4. Սահմանափակեք հարցումների հաճախությունը Nginx-ում

http բլոկում՝

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server կամ location բլոկում՝

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Վերաբեռնեք հետևյալով՝ sudo nginx -t && sudo systemctl reload nginx: Ստատիկ ֆայլերը մատուցեք քեշից և WordPress-ում օգտագործեք քեշավորման plugin՝ յուրաքանչյուր հարցման արժեքը նվազեցնելու համար: Տես WordPress-ի տեղադրումը Nginx-ով:

5. Վերահսկեք թրաֆիկը

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Կապերի կամ թողունակության հանկարծակի աճը, կամ ցածր CPU օգտագործման դեպքում դանդաղող սերվերը կարող են նշանակել հարձակում: Կարգավորեք ծանուցումներ, որպեսզի նկատեք վաղ փուլում:

6. Միջադեպի ստուգացանկ

1. Կառավարման վահանակում հաստատեք, թե թրաֆիկը հարձակում է, թե իսկական աճ:
2. Ստուգեք հարձակման իրադարձությունները և թիրախային IP-ն:
3. Արգելափակեք այն չար աղբյուրի հասցեները կամ միջակայքերը, որոնք կարող եք նույնականացնել:
4. Միացրեք ավելի խիստ հարցումների սահմանափակումներ կամ սպասարկման էջ:
5. Դիմեք մատակարարի աջակցությանը՝ նշելով ժամանակը և IP-ն:
6. Հետո վերանայեք լոգերը և թարմացրեք այս պլանը: Պահեք կրկնօրինակները և snapshot-ները արդիական: