ວິທີປ້ອງກັນ VPS ຈາກການໂຈມຕີ DDoS

ການໂຈມຕີປະຕິເສດການບໍລິການແບບກະຈາຍ (DDoS) ຈະສົ່ງທຣາບຟິກຈຳນວນມະຫາສານເຂົ້າຫາເຊີບເວີ ຫຼືການເຊື່ອມຕໍ່ເຄືອຂ່າຍຂອງມັນ ຈົນຜູ້ເຂົ້າຊົມຕົວຈິງບໍ່ສາມາດເຂົ້າໄດ້. ການໂຈມຕີບາງຄັ້ງໃຫຍ່ເກີນກວ່າທີ່ຕົວເຊີບເວີເອງຈະຮັບມືໄດ້, ດັ່ງນັ້ນການປ້ອງກັນທີ່ດີທີ່ສຸດຈະເປັນແບບຫຼາຍຊັ້ນ: ກັ່ນຕອງຢູ່ຂອບເຄືອຂ່າຍກ່ອນ ແລ້ວຈຶ່ງຕັ້ງຄ່າ firewall ແລະແອັບພລິເຄຊັນຢູ່ເທິງ VPS. ONIE ປ້ອງກັນ ເຊີບເວີ Cloud ໃນນະຄອນຫຼວງໂຮຈິມິນ ດ້ວຍ DDoS Shield ຢູ່ຂອບເຄືອຂ່າຍໂດຍບໍ່ມີຄ່າໃຊ້ຈ່າຍເພີ່ມເຕີມ, ແລະທ່ານສາມາດ ປະຕິບັດການ VPS ທີ່ມີການປ້ອງກັນ DDoS ໄດ້ພາຍໃນບໍ່ເທົ່າໃດນາທີ.

ປະເພດຂອງການໂຈມຕີ

• Volumetric (ຊັ້ນ 3 ແລະ 4): ການຖ້ວມແພັກເກັດຈຳນວນມາກທີ່ເຕັມລິ້ງເຄືອຂ່າຍ, ຕົວຢ່າງເຊັ່ນ UDP flood.
• ການໂຈມຕີລະດັບໂປຣໂຕຄອນ: ການໃຊ້ປະໂຫຍດຈາກການຈັດການການເຊື່ອມຕໍ່ ເຊັ່ນ SYN flood ທີ່ເຮັດໃຫ້ຕາຕະລາງການເຊື່ອມຕໍ່ເຕັມ.
• ລະດັບແອັບພລິເຄຊັນ (ຊັ້ນ 7): ຄຳຂໍ HTTP ຈຳນວນຫຼາຍທີ່ເບິ່ງຄືຖືກຕ້ອງ ເຊິ່ງເຮັດໃຫ້ເວັບເຊີບເວີ ຫຼືຖານຂໍ້ມູນໝົດແຮງ.

ແຕ່ລະປະເພດຕ້ອງໃຊ້ວິທີປ້ອງກັນທີ່ແຕກຕ່າງກັນ. ທຣາບຟິກແບບ volumetric ຕ້ອງຖືກຢຸດກ່ອນທີ່ຈະເຖິງເຊີບເວີຂອງທ່ານ; ການຖ້ວມແບບແອັບພລິເຄຊັນສາມາດຫຼຸດລົງໄດ້ທີ່ເຊີບເວີ.

1. ກັ່ນຕອງຢູ່ຂອບເຄືອຂ່າຍ

ການກັ່ນຕອງຢູ່ຂອບເຄືອຂ່າຍຈະຖິ້ມທຣາບຟິກທີ່ບໍ່ດີກ່ອນທີ່ມັນຈະເຖິງ VPS ຂອງທ່ານ, ເຊິ່ງເຮັດໃຫ້ລິ້ງບໍ່ເຕັມ. ດ້ວຍ DDoS Shield, ການກັ່ນຕອງເຮັດວຽກຢູ່ຂອບເຄືອຂ່າຍໂດຍໃຊ້ XDP/eBPF, ແລະ console ຈະສະແດງທຣາບຟິກ ແລະເຫດການໂຈມຕີສຳລັບແຕ່ລະ IP. ໃຫ້ສອບຖາມທຸກຜູ້ໃຫ້ບໍລິການທີ່ທ່ານພິຈາລະນາວ່າມີຫຍັງຮວມຢູ່ແດ່, ການກັ່ນຕອງເກີດຂຶ້ນຢູ່ໃສ ແລະມີຄ່າໃຊ້ຈ່າຍເພີ່ມຫຼືບໍ່.

2. ປິດສິ່ງທີ່ທ່ານບໍ່ໄດ້ໃຊ້

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

ຢ່າເປີດເຜີຍຖານຂໍ້ມູນ ຫຼືໜ້າຈັດການ admin ໃຫ້ອິນເຕີເນັດເຫັນ. ໃຫ້ຜູກກັບ 127.0.0.1 ຫຼືເຄືອຂ່າຍສ່ວນຕົວ.

3. ປັບແຕ່ງ kernel ສຳລັບ SYN flood

SYN cookies ເປີດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນໃນ distribution ສ່ວນໃຫຍ່. ໃຫ້ກວດສອບ:

sysctl net.ipv4.tcp_syncookies

ໃຫ້ປ່ຽນແປງ kernel ອື່ນໆໃຫ້ໜ້ອຍທີ່ສຸດ ແລະທົດສອບກ່ອນ, ເພາະຄ່າທີ່ຜິດອາດສົ່ງຜົນກະທົບຕໍ່ທຣາບຟິກປົກກະຕິ.

4. ຈຳກັດອັດຕາຄຳຂໍໃນ Nginx

ໃນ block http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

ໃນ block server ຫຼື location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

ໂຫຼດຄ່າໃໝ່ດ້ວຍ sudo nginx -t && sudo systemctl reload nginx. ໃຫ້ບໍລິການໄຟລ໌ static ຈາກ cache ແລະໃຊ້ plugin cache ໃນ WordPress ເພື່ອຫຼຸດຄ່າໃຊ້ຈ່າຍຂອງແຕ່ລະຄຳຂໍ. ເບິ່ງ ການຕິດຕັ້ງ WordPress ດ້ວຍ Nginx.

5. ຕິດຕາມທຣາບຟິກ

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

ການເພີ່ມຂຶ້ນຢ່າງກະທັນຫັນຂອງການເຊື່ອມຕໍ່ ຫຼືແບນວິດ, ຫຼືເຊີບເວີທີ່ຊ້າລົງໃນຂະນະທີ່ການໃຊ້ CPU ຕ່ຳ, ອາດໝາຍເຖິງການໂຈມຕີ. ໃຫ້ຕັ້ງການແຈ້ງເຕືອນເພື່ອຈະໄດ້ສັງເກດເຫັນແຕ່ເນີ່ນໆ.

6. ລາຍການກວດສອບເມື່ອເກີດເຫດການ

1. ຢືນຢັນໃນ console ວ່າທຣາບຟິກເປັນການໂຈມຕີ ຫຼືການເພີ່ມຂຶ້ນຕາມປົກກະຕິ.
2. ກວດເຫດການໂຈມຕີ ແລະ IP ທີ່ຖືກໂຈມຕີ.
3. ບລັອກ source address ທີ່ເປັນອັນຕະລາຍ ຫຼື range ທີ່ທ່ານສາມາດລະບຸໄດ້.
4. ເປີດການຈຳກັດອັດຕາທີ່ເຂັ້ມງວດຂຶ້ນ ຫຼືໜ້າ maintenance.
5. ຕິດຕໍ່ຝ່າຍສະໜັບສະໜູນຂອງຜູ້ໃຫ້ບໍລິການ ພ້ອມເວລາ ແລະ IP.
6. ຫຼັງຈາກນັ້ນ, ທົບທວນ log ແລະປັບປຸງແຜນນີ້. ຮັກສາ ການສຳຮອງຂໍ້ມູນ ແລະ snapshot ໃຫ້ເປັນປັດຈຸບັນ.