VPS එකක් DDoS ප්‍රහාරවලින් ආරක්ෂා කරන ආකාරය

Distributed denial-of-service (DDoS) ප්‍රහාරයක් සර්වරයට හෝ එහි network සම්බන්ධතාවයට traffic යවා තදින් පුරවන අතර, සැබෑ පරිශීලකයින්ට ඇතුළු වීමට නොහැකි වේ. සමහර ප්‍රහාර සර්වරය තනිව සැකසීමට තරම් විශාල වන බැවින්, ආරක්ෂාව ස්ථර වශයෙන් ක්‍රියාත්මක කිරීම වඩාත් ඵලදායී වේ: පළමුව network edge හි filtering, පසුව VPS මත firewall සහ application සැකසුම්. ONIE මගින් DDoS Shield සහිත cloud servers තායිලන්තයේ network edge හිදී අමතර ගාස්තුවක් නොමැතිව ආරක්ෂා කරයි, සහ ඔබට DDoS ආරක්ෂාව සහිත VPS එකක් මිනිත්තු කිහිපයකින් deploy කළ හැක.

ප්‍රහාර වර්ග

• Volumetric (layer 3 සහ 4): network link එක පුරවන packet ගංවතුර, උදාහරණයක් ලෙස UDP floods.
• Protocol ප්‍රහාර: connection table එක පුරවන SYN floods වැනි connection handling හි අයුතු භාවිතය.
• Application layer (layer 7): web server හෝ database ක්ෂය කරන, වලංගු පෙනුමැති බොහෝ HTTP requests.

සෑම වර්ගයකටම වෙනස් ආරක්ෂණයක් අවශ්‍ය වේ. Volumetric traffic සර්වරයට ළඟා වීමට පෙර නතර කළ යුතු අතර, application ගංවතුර සර්වරය මත අඩු කළ හැක.

1. Network edge හි filter කරන්න

Edge filtering මගින් link එක සංතෘප්ත නොවන පරිදි, නරක traffic VPS එකට ළඟා වීමට පෙර ඉවත් කරයි. DDoS Shield සමඟ filtering, XDP/eBPF භාවිතයෙන් network edge හිදී ක්‍රියාත්මක වන අතර, console මගින් එක් IP එකකට traffic සහ ප්‍රහාර සිදුවීම් පෙන්වයි. ඔබ ඇගයීමට ලක් කරන ඕනෑම provider කෙනෙකුගෙන් ඇතුළත් වන දේ, filtering සිදුවන ස්ථානය සහ එයට අමතර ගාස්තුවක් අයවේද යන්න අසන්න.

2. භාවිතා නොකරන දේ වසන්න

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Databases හෝ admin panels අන්තර්ජාලයට නිරාවරණය නොකරන්න. ඒවා 127.0.0.1 හෝ private network එකට bind කරන්න.

3. SYN floods සඳහා kernel සකසන්න

SYN cookies බොහෝ distributions වල පෙරනිමියෙන් ක්‍රියාත්මකයි. පරීක්ෂා කරන්න:

sysctl net.ipv4.tcp_syncookies

අනෙකුත් kernel වෙනස්කම් කුඩාව තබා පරීක්ෂා කරන්න, මන්ද වැරදි අගයන් සාමාන්‍ය traffic වලට හානි කළ හැක.

4. Nginx හි requests rate-limit කරන්න

http block එකේ:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server හෝ location block එකේ:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

sudo nginx -t && sudo systemctl reload nginx සමඟ reload කරන්න. Static files cache වලින් serve කර, WordPress මත caching plugin එකක් භාවිතා කර සෑම request එකේ පිරිවැය අඩු කරන්න. Nginx සමඟ WordPress ස්ථාපනය බලන්න.

5. Traffic අධීක්ෂණය කරන්න

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Connections හෝ bandwidth හි හදිසි වැඩිවීමක්, හෝ CPU භාවිතය අඩු වුවද සර්වරය මන්දගාමී වීම, ප්‍රහාරයක් විය හැක. ඔබ ඉක්මනින් දැනගන්නා ලෙස alerts සකසන්න.

6. Incident checklist

1. Traffic එක ප්‍රහාරයක්ද නැතහොත් සැබෑ උච්චතමයක්ද යන්න console හි තහවුරු කරන්න.
2. ප්‍රහාර සිදුවීම් සහ ඉලක්කගත IP එක පරීක්ෂා කරන්න.
3. හඳුනාගත හැකි අපයෝජන source addresses හෝ ranges අවහිර කරන්න.
4. දැඩි rate limits හෝ maintenance page සක්‍රිය කරන්න.
5. වේලාව සහ IP සමඟ provider ගේ support සමඟ සම්බන්ධ වන්න.
6. පසුව logs සමාලෝචනය කර මෙම සැලැස්ම යාවත්කාලීන කරන්න. backups සහ snapshots නවතම ව තබාගන්න.