Cum să protejați un VPS împotriva atacurilor DDoS

Un atac de tip denial-of-service distribuit (DDoS) inundă un server sau conexiunea sa de rețea cu trafic, până când vizitatorii reali nu mai pot ajunge la el. Unele atacuri sunt prea mari pentru ca serverul să le gestioneze singur, așa că protecția funcționează cel mai bine pe straturi: mai întâi filtrarea la marginea rețelei, apoi setările de firewall și de aplicație de pe VPS. ONIE protejează servere cloud din Ho Chi Minh City cu DDoS Shield la marginea rețelei, fără cost suplimentar, iar puteți implementa un VPS cu protecție DDoS în câteva minute.

Tipuri de atacuri

• Volumetrice (stratul 3 și 4): inundații de pachete care umplu legătura de rețea, de exemplu inundații UDP.
• Atacuri de protocol: abuz al gestionării conexiunilor, cum ar fi inundațiile SYN, care umplu tabela de conexiuni.
• Stratul aplicației (stratul 7): multe cereri HTTP aparent valide, care epuizează serverul web sau baza de date.

Fiecare tip necesită o apărare diferită. Traficul volumetric trebuie oprit înainte să ajungă la server; inundațiile la nivel de aplicație pot fi reduse direct pe server.

1. Filtrați la marginea rețelei

Filtrarea la margine elimină traficul rău intenționat înainte să ajungă la VPS, astfel încât legătura nu este saturată. Cu DDoS Shield, filtrarea rulează la marginea rețelei folosind XDP/eBPF, iar consola afișează traficul și evenimentele de atac pentru fiecare IP. Întrebați orice furnizor pe care îl evaluați ce este inclus, unde are loc filtrarea și dacă există costuri suplimentare.

2. Închideți ceea ce nu folosiți

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Nu expuneți bazele de date sau panourile de administrare la internet. Legați-le la 127.0.0.1 sau la o rețea privată.

3. Ajustați nucleul pentru inundații SYN

SYN cookies sunt activate implicit în majoritatea distribuțiilor. Verificați:

sysctl net.ipv4.tcp_syncookies

Păstrați celelalte modificări ale nucleului minime și testați-le, deoarece valorile greșite pot afecta traficul normal.

4. Limitați cererile în Nginx

În blocul http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

În blocul server sau location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Reîncărcați cu sudo nginx -t && sudo systemctl reload nginx. Serviți fișierele statice din cache și folosiți un plugin de cache pe WordPress pentru a reduce costul fiecărei cereri. Consultați instalarea WordPress cu Nginx.

5. Monitorizați traficul

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

O creștere bruscă a conexiunilor sau a lățimii de bandă, sau un server care devine lent cu o utilizare redusă a procesorului, pot indica un atac. Configurați alerte, ca să observați din timp.

6. Lista de verificare în caz de incident

1. Confirmați în consolă dacă traficul este un atac sau o creștere reală.
2. Verificați evenimentele de atac și adresa IP atacată.
3. Blocați adresele sursă abuzive sau intervalele pe care le puteți identifica.
4. Activați limite mai stricte de cereri sau o pagină de mentenanță.
5. Contactați suportul furnizorului, indicând ora și IP-ul.
6. Ulterior, analizați jurnalele și actualizați acest plan. Mențineți backup-urile și snapshot-urile la zi.