VPS-ийг DDoS халдлагаас хэрхэн хамгаалах вэ

Тараасан үйлчилгээний няцаалт (DDoS) халдлага нь сервер эсвэл түүний сүлжээний холболтыг жинхэнэ зочид нэвтэрч чадахгүй болтол хэт их траффикаар дүүргэдэг. Зарим халдлага серверийн өөрийнх нь боловсруулах чадвараас хэт том байдаг тул хамгаалалтыг давхарласнаар хамгийн үр дүнтэй байдаг: эхлээд сүлжээний ирмэг дээр шүүж, дараа нь VPS дээрх галт хана болон аппликэйшний тохиргоог хийнэ. ONIE нь Хо Чи Минь хотын cloud server-үүдийг DDoS Shield-ээр сүлжээний ирмэг дээр нэмэлт төлбөргүйгээр хамгаалдаг бөгөөд DDoS хамгаалалттай VPS-ээ хэдхэн минутын дотор байрлуулах боломжтой.

Халдлагын төрлүүд

• Хэмжээний (layer 3 ба 4): сүлжээний холбоосыг дүүргэх пакетийн үерлэлт, жишээ нь UDP flood.
• Протоколын халдлага: холболт боловсруулах механизмыг урвуулан ашиглах, жишээ нь холболтын хүснэгтийг дүүргэх SYN flood.
• Аппликэйшний түвшин (layer 7): хүчинтэй мэт харагдах олон HTTP хүсэлтээр веб сервер эсвэл өгөгдлийн санг ачаалалд оруулах.

Төрөл бүр өөр хамгаалалт шаарддаг. Хэмжээний траффикийг серверт хүрэхээс нь өмнө зогсоох ёстой; аппликэйшний түвшний үерлэлтийг серверийн талд бууруулж болно.

1. Сүлжээний ирмэг дээр шүүх

Ирмэг дээрх шүүлт нь муу траффикийг VPS-д хүрэхээс нь өмнө хаяснаар холбоос дүүрэхгүй байлгана. DDoS Shield-ээр шүүлт нь XDP/eBPF ашиглан сүлжээний ирмэг дээр явагдаж, консоль нь IP тус бүрийн траффик болон халдлагын үйл явдлыг харуулдаг. Үнэлж буй аливаа үйлчилгээ үзүүлэгчээс юу багтсан, шүүлт хаана явагддаг, нэмэлт төлбөртэй эсэхийг асуугаарай.

2. Ашиглахгүй зүйлсээ хаа

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Өгөгдлийн сан эсвэл админ панелийг интернэтэд ил гаргахгүй. Тэдгээрийг 127.0.0.1 эсвэл хувийн сүлжээнд холбоорой.

3. SYN flood-д зориулж kernel-ийг тохируулах

Ихэнх дистрибутивт SYN cookies анхнаасаа идэвхтэй байдаг. Шалгах:

sysctl net.ipv4.tcp_syncookies

Бусад kernel-ийн өөрчлөлтийг бага байлгаж, туршиж үзээрэй, учир нь буруу утга нь ердийн траффикт хохирол учруулж болзошгүй.

4. Nginx дээр хүсэлтийн хурдыг хязгаарлах

http блок дотор:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server эсвэл location блок дотор:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Дахин ачаалах: sudo nginx -t && sudo systemctl reload nginx. Статик файлуудыг кэшээс үйлчилж, WordPress дээр хүсэлт бүрийн зардлыг бууруулахын тулд кэшийн плагин ашигла. Үзэх: Nginx-тэй WordPress суулгах.

5. Траффикийг хянах

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Холболт эсвэл зурвасны өргөн гэнэт огцом өсөх, эсвэл CPU ачаалал бага байхад сервер удаашрах нь халдлагын шинж тэмдэг байж болно. Эрт мэдэхийн тулд сэрэмжлүүлэг тохируул.

6. Осол хариу арга хэмжээний хяналтын хуудас

1. Траффик халдлага мөн үү, эсвэл жинхэнэ огцом өсөлт үү гэдгийг консолоос батлах.
2. Халдлагын үйл явдлууд болон халдлагад өртсөн IP-г шалгах.
3. Тодорхойлж чадах довтлогч эх хаягууд эсвэл мужуудыг блоклох.
4. Илүү хатуу хүсэлтийн хязгаарлалт эсвэл засвар үйлчилгээний хуудсыг идэвхжүүлэх.
5. Цаг хугацаа болон IP-г дурдаж, үйлчилгээ үзүүлэгчийн дэмжлэгт хандах.
6. Дараа нь логуудыг шалгаж, энэ төлөвлөгөөгөө шинэчлэх. Нөөц хуулбар ба snapshot-аа үргэлж шинэ байлгах.