Kā aizsargāt VPS no DDoS uzbrukumiem

Sadalītas pakalpojumu atteikšanas (DDoS) uzbrukums pārslogo serveri vai tā tīkla savienojumu ar tik lielu trafika apjomu, ka īsti apmeklētāji vairs nevar tikt līdz vietnei. Daži uzbrukumi ir pārāk lieli, lai pats serveris tos spētu apstrādāt, tāpēc aizsardzība vislabāk darbojas slāņos: vispirms filtrēšana tīkla malā, pēc tam ugunsmūra un lietojumprogrammu iestatījumi VPS. ONIE aizsargā Cloud Servers serverus Hošiminhas pilsētā ar DDoS Shield tīkla malā bez papildu maksas, un VPS ar DDoS aizsardzību var izvietot dažās minūtēs.

Uzbrukumu veidi

• Tilpuma uzbrukumi (3. un 4. slānis): pakešu plūdi, kas aizpilda tīkla savienojumu, piemēram, UDP plūdi.
• Protokolu uzbrukumi: savienojumu apstrādes ļaunprātīga izmantošana, piemēram, SYN plūdi, kas aizpilda savienojumu tabulu.
• Lietojumprogrammu slānis (7. slānis): daudzi šķietami derīgi HTTP pieprasījumi, kas izsmeļ tīmekļa serveri vai datubāzi.

Katram veidam nepieciešama cita aizsardzība. Tilpuma trafiks jāaptur, pirms tas sasniedz serveri; lietojumprogrammu plūdus var mazināt pašā serverī.

1. Filtrēšana tīkla malā

Filtrēšana tīkla malā atmet ļaunprātīgu trafiku, pirms tas sasniedz VPS, tāpēc savienojums netiek pārslogots. Ar DDoS Shield filtrēšana notiek tīkla malā, izmantojot XDP/eBPF, un vadības konsole rāda trafiku un uzbrukumu notikumus katrai IP adresei. Jautā jebkuram pakalpojumu sniedzējam, ko izvērtē, kas ir iekļauts, kur notiek filtrēšana un vai par to tiek prasīta papildu maksa.

2. Aizver to, ko neizmanto

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Neatver datubāzes vai administrācijas paneļus internetam. Piesien tos pie 127.0.0.1 vai privātā tīkla.

3. Pielāgo kodolu SYN plūdiem

SYN cookies vairumā distribūciju ir ieslēgti pēc noklusējuma. Pārbaudi:

sysctl net.ipv4.tcp_syncookies

Citas kodola izmaiņas veic nelielas un pārbaudi, jo nepareizas vērtības var traucēt parastam trafikam.

4. Ierobežo pieprasījumu biežumu Nginx

Blokā http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Blokā server vai location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Pārlādē ar sudo nginx -t && sudo systemctl reload nginx. Pasniedz statiskos failus no kešatmiņas, un WordPress izmanto kešatmiņas spraudni, lai samazinātu katra pieprasījuma izmaksas. Skat. WordPress instalēšanu ar Nginx.

5. Uzrauga trafiku

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Pēkšņs savienojumu vai joslas platuma pieaugums, vai serveris, kas kļūst lēns, kaut arī CPU noslodze ir zema, var liecināt par uzbrukumu. Iestatī brīdinājumus, lai pamanītu agri.

6. Incidenta kontrolsaraksts

1. Konsolē pārbaudi, vai trafiks ir uzbrukums vai īsts noslogojuma pieaugums.
2. Pārbaudi uzbrukumu notikumus un uzbrukto IP adresi.
3. Blokē ļaunprātīgās izcelsmes adreses vai diapazonus, ko vari identificēt.
4. Ieslēdz stingrākus pieprasījumu ierobežojumus vai uzturēšanas lapu.
5. Sazinies ar pakalpojumu sniedzēja atbalstu, norādot laiku un IP adresi.
6. Pēc tam pārskati žurnālus un atjauno šo plānu. Uztur aktuālas dublējumkopijas un snapshot.