Cara melindungi VPS dari serangan DDoS

Serangan distributed denial-of-service (DDoS) membanjiri server atau koneksi jaringannya dengan lalu lintas hingga pengunjung sungguhan tidak bisa masuk. Sebagian serangan terlalu besar untuk ditangani server itu sendiri, sehingga perlindungan paling efektif dilakukan secara berlapis: pemfilteran di tepi jaringan terlebih dahulu, lalu pengaturan firewall dan aplikasi di VPS. ONIE melindungi cloud server di Kota Ho Chi Minh dengan DDoS Shield di tepi jaringan tanpa biaya tambahan, dan Anda dapat men-deploy VPS dengan perlindungan DDoS hanya dalam beberapa menit.

Jenis serangan

• Volumetrik (layer 3 dan 4): banjir paket yang memenuhi tautan jaringan, misalnya UDP flood.
• Serangan protokol: penyalahgunaan penanganan koneksi, seperti SYN flood yang memenuhi tabel koneksi.
• Lapisan aplikasi (layer 7): banyak permintaan HTTP yang tampak valid untuk menguras web server atau database.

Setiap jenis membutuhkan pertahanan yang berbeda. Lalu lintas volumetrik harus dihentikan sebelum mencapai server; banjir pada lapisan aplikasi dapat dikurangi di sisi server.

1. Filter di tepi jaringan

Pemfilteran di tepi jaringan membuang lalu lintas buruk sebelum mencapai VPS Anda, sehingga tautan tidak kewalahan. Dengan DDoS Shield, pemfilteran berjalan di tepi jaringan menggunakan XDP/eBPF, dan konsol menampilkan lalu lintas serta kejadian serangan untuk setiap IP. Tanyakan kepada setiap penyedia yang Anda evaluasi apa saja yang termasuk, di mana pemfilteran dilakukan, dan apakah ada biaya tambahan.

2. Tutup layanan yang tidak Anda gunakan

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Jangan biarkan database atau panel admin terbuka ke internet. Ikat ke 127.0.0.1 atau jaringan privat.

3. Atur kernel untuk SYN flood

SYN cookies aktif secara default di sebagian besar distribusi. Periksa dengan:

sysctl net.ipv4.tcp_syncookies

Jaga agar perubahan kernel lainnya tetap kecil dan uji terlebih dahulu, karena nilai yang salah dapat mengganggu lalu lintas normal.

4. Batasi laju permintaan di Nginx

Di blok http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Di blok server atau location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Muat ulang dengan sudo nginx -t && sudo systemctl reload nginx. Sajikan file statis dari cache dan gunakan plugin caching di WordPress untuk menekan biaya setiap permintaan. Lihat instalasi WordPress dengan Nginx.

5. Pantau lalu lintas

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Lonjakan koneksi atau bandwidth yang tiba-tiba, atau server yang melambat meski penggunaan CPU rendah, dapat menandakan serangan. Atur peringatan agar Anda mengetahuinya lebih awal.

6. Daftar periksa insiden

1. Pastikan di konsol apakah lalu lintas tersebut serangan atau lonjakan yang sah.
2. Periksa kejadian serangan dan IP yang diserang.
3. Blokir alamat sumber yang mencurigakan atau rentang yang dapat Anda identifikasi.
4. Aktifkan pembatasan laju yang lebih ketat atau halaman pemeliharaan.
5. Hubungi dukungan penyedia Anda dengan waktu dan IP terkait.
6. Setelahnya, tinjau log dan perbarui rencana ini. Jaga cadangan dan snapshot tetap mutakhir.