Kaip apsaugoti VPS nuo DDoS atakų

Paskirstytos paslaugos atsisakymo (DDoS) ataka užtvindo serverį ar jo tinklo ryšį srautu, kol tikri lankytojai nebegali pasiekti svetainės. Kai kurios atakos būna per didelės, kad pats serveris su jomis susidorotų, todėl apsauga geriausiai veikia sluoksniais: pirmiausia filtravimas tinklo pakraštyje, o po to ugniasienės ir programų nustatymai VPS. ONIE suteikia Ho Chi Minh City debesijos serverius su DDoS Shield apsauga tinklo pakraštyje be papildomo mokesčio, o VPS su DDoS apsauga galite įdiegti per kelias minutes.

Atakų tipai

• Tūriniai (3 ir 4 sluoksnis): paketų srautai, užpildantys tinklo ryšį, pavyzdžiui, UDP potvyniai.
• Protokolų atakos: ryšių valdymo piktnaudžiavimas, pavyzdžiui, SYN potvyniai, užpildantys ryšių lentelę.
• Programų sluoksnis (7 sluoksnis): daug atrodančių teisėtų HTTP užklausų, kurios išsekina žiniatinklio serverį ar duomenų bazę.

Kiekvienam tipui reikia skirtingos gynybos. Tūrinį srautą reikia sustabdyti dar prieš jam pasiekiant serverį, o programų potvyniai gali būti sumažinti serveryje.

1. Filtruokite tinklo pakraštyje

Filtravimas tinklo pakraštyje atmeta blogą srautą dar prieš jam pasiekiant VPS, todėl ryšys nėra perkrautas. Naudojant DDoS Shield, filtravimas vykdomas tinklo pakraštyje naudojant XDP/eBPF, o valdymo konsolėje rodomas kiekvieno IP srautas ir atakų įvykiai. Vertindami bet kurį teikėją, paklauskite, kas įskaičiuota, kur vyksta filtravimas ir ar tai kainuoja papildomai.

2. Uždarykite tai, ko nenaudojate

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Neatverkite duomenų bazių ar administravimo skydelių interneto tinklui. Susiekite juos su 127.0.0.1 arba privačiu tinklu.

3. Sureguliuokite branduolį SYN potvyniams

SYN slapukai daugumoje platinimo paketų įjungti pagal numatytuosius nustatymus. Patikrinkite:

sysctl net.ipv4.tcp_syncookies

Kitus branduolio pakeitimus darykite nedidelius ir juos išbandykite, nes klaidingos reikšmės gali pakenkti įprastam srautui.

4. Riboti užklausas Nginx

http bloke:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server arba location bloke:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Konfigūraciją įkelkite iš naujo komanda sudo nginx -t && sudo systemctl reload nginx. Statinius failus pateikite iš talpyklos ir WordPress svetainėje naudokite talpyklos įskiepį, kad sumažintumėte kiekvienos užklausos apkrovą. Žr. WordPress įdiegimas su Nginx.

5. Stebėkite srautą

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Staigus ryšių ar pralaidumo šuolis arba serveris, kuris sulėtėja, nors procesoriaus apkrova maža, gali rodyti ataką. Nustatykite įspėjimus, kad pastebėtumėte anksti.

6. Incidento kontrolinis sąrašas

1. Valdymo konsolėje patikrinkite, ar srautas yra ataka, ar tikras srauto padidėjimas.
2. Patikrinkite atakų įvykius ir atakuojamą IP.
3. Blokuokite piktnaudžiaujančius šaltinių adresus ar diapazonus, kuriuos galite nustatyti.
4. Įjunkite griežtesnes užklausų ribas arba techninės priežiūros puslapį.
5. Kreipkitės į teikėjo palaikymo tarnybą, nurodydami laiką ir IP.
6. Vėliau peržiūrėkite žurnalus ir atnaujinkite šį planą. Nuolat atnaujinkite atsargines kopijas ir momentines nuotraukas.