Hoe je een VPS beschermt tegen DDoS-aanvallen

Een distributed denial-of-service (DDoS)-aanval overspoelt een server of zijn netwerkverbinding met verkeer totdat echte bezoekers er niet meer doorheen komen. Sommige aanvallen zijn te groot voor de server zelf, dus bescherming werkt het best in lagen: eerst filteren aan de netwerkrand, daarna firewall- en applicatie-instellingen op de VPS. ONIE beschermt Cloud Servers in Ho Chi Minh-stad met DDoS Shield aan de netwerkrand zonder extra kosten, en je kunt een VPS met DDoS-bescherming implementeren in enkele minuten.

Soorten aanvallen

• Volumetrisch (laag 3 en 4): floods van pakketten die de netwerkverbinding vullen, bijvoorbeeld UDP-floods.
• Protocolaanvallen: misbruik van verbindingsafhandeling, zoals SYN-floods die de verbindingstabel vullen.
• Applicatielaag (laag 7): veel geldig ogende HTTP-verzoeken die de webserver of database uitputten.

Elk type vraagt om een andere verdediging. Volumetrisch verkeer moet worden gestopt voordat het je server bereikt; applicatiefloods kun je op de server beperken.

1. Filter aan de netwerkrand

Filteren aan de netwerkrand laat slecht verkeer vallen voordat het je VPS bereikt, zodat de verbinding niet verzadigd raakt. Met DDoS Shield gebeurt de filtering aan de netwerkrand met XDP/eBPF, en de console toont verkeer en aanvalsgebeurtenissen per IP. Vraag elke provider die je overweegt wat er inbegrepen is, waar de filtering plaatsvindt en of het extra kost.

2. Sluit af wat je niet gebruikt

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Stel databases of beheerpanelen niet bloot aan internet. Bind ze aan 127.0.0.1 of aan een privénetwerk.

3. Pas de kernel aan voor SYN-floods

SYN cookies staan in de meeste distributies standaard aan. Controleer dit met:

sysctl net.ipv4.tcp_syncookies

Houd andere kernelwijzigingen klein en test ze, want verkeerde waarden kunnen normaal verkeer schaden.

4. Beperk het aantal verzoeken in Nginx

In het http-blok:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

In het server- of location-blok:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Herlaad met sudo nginx -t && sudo systemctl reload nginx. Serveer statische bestanden vanuit de cache en gebruik op WordPress een caching-plugin om de kosten per verzoek te verlagen. Zie WordPress installeren met Nginx.

5. Monitor het verkeer

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Een plotselinge stijging van verbindingen of bandbreedte, of een server die traag wordt terwijl het CPU-gebruik laag blijft, kan wijzen op een aanval. Stel waarschuwingen in zodat je het vroeg merkt.

6. Checklist bij een incident

1. Controleer in de console of het verkeer een aanval is of een echte piek.
2. Bekijk de aanvalsgebeurtenissen en het aangevallen IP.
3. Blokkeer misbruikende bronadressen of -bereiken die je kunt identificeren.
4. Zet strengere limieten aan of schakel een onderhoudspagina in.
5. Neem contact op met de support van je provider, met het tijdstip en het IP-adres.
6. Bekijk daarna de logs en werk dit plan bij. Houd back-ups en snapshots actueel.