VPS-ті DDoS шабуылдарынан қорғау жолы

Таратылған қызмет көрсетуден бас тарту (DDoS) шабуылы серверді немесе оның желілік байланысын нақты пайдаланушылар өте алмайтындай етіп трафикпен басып тастайды. Кейбір шабуылдар сервердің өзі өңдей алмайтындай үлкен болады, сондықтан қорғаныс қабаттап құрылғаны ең тиімді: алдымен желі шетінде сүзу, содан кейін VPS-тегі брандмауэр мен қолданба параметрлері. ONIE DDoS Shield көмегімен Хошимин қаласындағы Cloud Servers желі шетінде қосымша ақысыз қорғайды, ал DDoS қорғанысы бар VPS-ті орналастыруға бірнеше минут жетеді.

Шабуыл түрлері

• Көлемдік (3 және 4-деңгей): желі арнасын толтыратын пакеттер ағыны, мысалы, UDP flood.
• Протоколдық шабуылдар: қосылымдарды өңдеуді теріс пайдалану, мысалы, қосылым кестесін толтыратын SYN flood.
• Қолданба деңгейі (7-деңгей): заңды көрінетін көптеген HTTP сұраныстары, олар веб-серверді немесе дерекқорды таусады.

Әр түрге бөлек қорғаныс керек. Көлемдік трафикті серверге жетпей тұрып тоқтату керек; қолданба деңгейіндегі шабуылдарды серверде азайтуға болады.

1. Желі шетінде сүзу

Шетте сүзу зиянды трафикті VPS-ке жетпей тұрып тастайды, сондықтан желі арнасы толмайды. DDoS Shield сүзуді XDP/eBPF көмегімен желі шетінде орындайды, ал консоль әр IP бойынша трафикті және шабуыл оқиғаларын көрсетеді. Таңдайтын кез келген провайдерден не кіретінін, сүзу қай жерде жүретінін және қосымша ақы алатынын сұраңыз.

2. Пайдаланбайтын нәрсені жабыңыз

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Дерекқорлар мен әкімші панельдерін интернетке ашпаңыз. Оларды 127.0.0.1 мекенжайына немесе жеке желіге байлаңыз.

3. SYN шабуылдарына қарсы ядроны баптаңыз

SYN cookies көп дистрибутивтерде әдепкі бойынша қосулы. Тексеріңіз:

sysctl net.ipv4.tcp_syncookies

Басқа ядро өзгертулерін аз және сынақтан өткізіп енгізіңіз, себебі дұрыс емес мәндер қалыпты трафикке зиян тигізуі мүмкін.

4. Nginx-те сұраныстарды шектеңіз

http блогында:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server немесе location блогында:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Қайта жүктеу үшін sudo nginx -t && sudo systemctl reload nginx пәрменін орындаңыз. Статикалық файлдарды кэштен беріңіз, ал WordPress-те әр сұраныстың құнын төмендету үшін кэштеу плагинін қолданыңыз. Қараңыз: Nginx арқылы WordPress орнату.

5. Трафикті бақылаңыз

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Қосылымдар немесе өткізу қабілеті күрт артса, ал сервер CPU аз пайдаланғанда да баяуласа, бұл шабуыл белгісі болуы мүмкін. Ерте білу үшін ескертулер орнатыңыз.

6. Оқиғаға жауап беру тізімі

1. Консольде трафиктің шабуыл немесе нақты өсім екенін растаңыз.
2. Шабуыл оқиғаларын және нысанаға алынған IP-ді тексеріңіз.
3. Анықтай алатын зиянды бастапқы мекенжайларды немесе диапазондарды блоктаңыз.
4. Қатаңырақ сұраныс шектеулерін немесе техникалық жұмыс беті парағын қосыңыз.
5. Уақыт пен IP мекенжайын көрсетіп, провайдердің қолдау қызметіне хабарласыңыз.
6. Кейін логтарды қарап, осы жоспарды жаңартыңыз. Резервтік көшірмелер мен snapshot-тарды өзекті ұстаңыз.