Ako chrániť VPS pred DDoS útokmi

Útok typu distribuovaného odmietnutia služby (DDoS) zahltí server alebo jeho sieťové pripojenie takou záplavou prevádzky, že skutoční návštevníci sa nemôžu dostať k službe. Niektoré útoky sú príliš veľké na to, aby ich samotný server zvládol, preto ochrana najlepšie funguje vo vrstvách: najprv filtrovanie na okraji siete a potom nastavenia firewallu a aplikácie na VPS. ONIE chráni cloud servery v Ho Či Minovom Meste pomocou DDoS Shield na okraji siete bez príplatku a VPS s ochranou pred DDoS môžete nasadiť za pár minút.

Typy útokov

• Objemové (vrstva 3 a 4): záplavy paketov, ktoré zaplnia sieťové pripojenie, napríklad UDP flood.
• Protokolové útoky: zneužitie spracovania spojení, napríklad SYN flood, ktorý zaplní tabuľku spojení.
• Aplikačná vrstva (vrstva 7): veľa zdanlivo legitímnych HTTP požiadaviek, ktoré vyčerpajú webový server alebo databázu.

Každý typ vyžaduje inú obranu. Objemová prevádzka musí byť zastavená skôr, než dosiahne server; aplikačné záplavy možno zmierniť na serveri.

1. Filtrujte na okraji siete

Filtrovanie na okraji siete zahodí zlú prevádzku skôr, než dosiahne váš VPS, takže pripojenie nie je preťažené. Pri DDoS Shield prebieha filtrovanie na okraji siete pomocou XDP/eBPF a konzola zobrazuje prevádzku a udalosti útokov pre každú IP adresu. Pri každom poskytovateľovi, ktorého zvažujete, sa opýtajte, čo je zahrnuté, kde filtrovanie prebieha a či sa za ňu platí navyše.

2. Zatvorte to, čo nepoužívate

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Databázy ani administračné panely nesprístupňujte z internetu. Viažte ich na 127.0.0.1 alebo na privátnu sieť.

3. Doladte jadro pre SYN flood

SYN cookies sú vo väčšine distribúcií predvolene zapnuté. Skontrolujte to:

sysctl net.ipv4.tcp_syncookies

Ostatné zmeny jadra držte v malom rozsahu a testujte ich, pretože nesprávne hodnoty môžu ublížiť bežnej prevádzke.

4. Obmedzte počet požiadaviek v Nginx

V bloku http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

V bloku server alebo location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Konfiguráciu znovu načítajte príkazom sudo nginx -t && sudo systemctl reload nginx. Statické súbory podávajte z cache a na WordPress použite plugin na cachovanie, aby ste znížili náklady každej požiadavky. Pozrite si inštaláciu WordPressu s Nginx.

5. Monitorujte prevádzku

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Náhly nárast spojení alebo šírky pásma či server, ktorý spomalí pri nízkom zaťažení CPU, môže znamenať útok. Nastavte upozornenia, aby ste ho zachytili včas.

6. Kontrolný zoznam pri incidente

1. V konzole overte, či ide o útok, alebo o skutočný nárast návštevnosti.
2. Skontrolujte udalosti útokov a napadnutú IP adresu.
3. Zablokujte zneužívajúce zdrojové adresy alebo rozsahy, ktoré dokážete identifikovať.
4. Zapnite prísnejšie limity požiadaviek alebo stránku údržby.
5. Kontaktujte podporu poskytovateľa s uvedením času a IP adresy.
6. Následne preskúmajte logy a aktualizujte tento plán. Udržiavajte aktuálne zálohy a snapshoty.