VPS लाई DDoS आक्रमणबाट कसरी सुरक्षित गर्ने

वितरित सेवा-अवरोध (DDoS) आक्रमणले सर्भर वा त्यसको नेटवर्क जडानलाई यति धेरै ट्राफिकले भरिदिन्छ कि वास्तविक आगन्तुकहरूले पहुँच पाउन सक्दैनन्। केही आक्रमण यति ठूला हुन्छन् कि सर्भर आफैंले सम्हाल्न सक्दैन, त्यसैले सुरक्षा तह-तहमा गर्दा सबैभन्दा राम्रो हुन्छ: पहिले नेटवर्क किनारमा फिल्टरिङ, त्यसपछि VPS मा फायरवाल र एप्लिकेसन सेटिङ। ONIE ले DDoS Shield सहित क्लाउड सर्भर, हो ची मिन्ह सिटी नेटवर्क किनारमा कुनै थप शुल्कविना सुरक्षा दिन्छ, र तपाईं DDoS सुरक्षा सहितको VPS केही मिनेटमै परिनियोजन गर्न सक्नुहुन्छ।

आक्रमणका प्रकारहरू

• Volumetric (layer 3 र 4): प्याकेटको बाढीले नेटवर्क लिंक भर्छ, उदाहरणका लागि UDP फ्लड।
• Protocol आक्रमण: जडान व्यवस्थापनको दुरुपयोग, जस्तै SYN फ्लड जसले जडान तालिकालाई भर्छ।
• Application layer (layer 7): धेरै मान्य देखिने HTTP अनुरोधहरूले वेब सर्भर वा डेटाबेसलाई थकाउँछन्।

प्रत्येक प्रकारलाई फरक सुरक्षा चाहिन्छ। Volumetric ट्राफिक सर्भरमा पुग्नुअघि नै रोक्नुपर्छ; एप्लिकेसन फ्लड सर्भरमै घटाउन सकिन्छ।

1. नेटवर्क किनारमा फिल्टर गर्नुहोस्

एज फिल्टरिङले खराब ट्राफिकलाई VPS मा पुग्नुअघि नै हटाउँछ, ताकि लिंक संतृप्त हुँदैन। DDoS Shield सँग फिल्टरिङ XDP/eBPF प्रयोग गरेर नेटवर्क किनारमा चल्छ, र कन्सोलले प्रत्येक IP का लागि ट्राफिक र आक्रमण घटनाहरू देखाउँछ। तपाईंले मूल्याङ्कन गर्ने कुनै पनि प्रदायकलाई के समावेश छ, फिल्टरिङ कहाँ हुन्छ र त्यसको अतिरिक्त शुल्क लाग्छ कि लाग्दैन भनेर सोध्नुहोस्।

2. प्रयोग नगरेका कुराहरू बन्द गर्नुहोस्

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

डेटाबेस वा एडमिन प्यानललाई इन्टरनेटमा खुला नराख्नुहोस्। तिनलाई 127.0.0.1 वा निजी नेटवर्कमा बाँध्नुहोस्।

3. SYN फ्लडका लागि कर्नेल ट्युन गर्नुहोस्

अधिकांश वितरणमा SYN cookies पूर्वनिर्धारित रूपमा सक्रिय हुन्छन्। जाँच गर्नुहोस्:

sysctl net.ipv4.tcp_syncookies

अन्य कर्नेल परिवर्तनहरू सानो राख्नुहोस् र परीक्षण गर्नुहोस्, किनकि गलत मानहरूले सामान्य ट्राफिकलाई हानि पुर्‍याउन सक्छन्।

4. Nginx मा अनुरोधहरूको रेट सीमित गर्नुहोस्

http ब्लक भित्र:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server वा location ब्लक भित्र:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

sudo nginx -t && sudo systemctl reload nginx सँग रिलोड गर्नुहोस्। स्थिर फाइलहरू क्यासबाट सेवा गर्नुहोस्, र WordPress मा प्रत्येक अनुरोधको लागत घटाउन क्यासिङ प्लगइन प्रयोग गर्नुहोस्। Nginx सँग WordPress स्थापना गर्ने हेर्नुहोस्।

5. ट्राफिक निगरानी गर्नुहोस्

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

जडान वा ब्यान्डविड्थमा अचानक वृद्धि, वा CPU प्रयोग कम हुँदा पनि ढिलो हुने सर्भरले आक्रमणको संकेत गर्न सक्छ। चाँडै थाहा पाउन अलर्ट सेट गर्नुहोस्।

6. घटना जाँचसूची

1. ट्राफिक आक्रमण हो कि वास्तविक उछाल हो भनेर कन्सोलमा पुष्टि गर्नुहोस्।
2. आक्रमण घटनाहरू र आक्रमित IP जाँच गर्नुहोस्।
3. तपाईंले पहिचान गर्न सक्ने दुर्व्यवहारी स्रोत ठेगाना वा दायरा ब्लक गर्नुहोस्।
4. कडा रेट सीमा वा मर्मत पृष्ठ सक्रिय गर्नुहोस्।
5. समय र IP सहित प्रदायकको सहायता टोलीलाई सम्पर्क गर्नुहोस्।
6. पछि, लगहरू समीक्षा गर्नुहोस् र यो योजना अद्यावधिक गर्नुहोस्। ब्याकअप र स्न्यापशट अद्यावधिक राख्नुहोस्।