Jinsi ya kulinda VPS dhidi ya mashambulizi ya DDoS

Shambulio la kukataa huduma lililosambazwa (DDoS) hujaza seva au muunganisho wake wa mtandao kwa trafiki nyingi hadi wageni halisi washindwe kufikia tovuti. Baadhi ya mashambulizi ni makubwa mno kwa seva yenyewe kuyashughulikia, hivyo ulinzi hufanya kazi vizuri zaidi kwa tabaka: kuchuja kwanza kwenye ukingo wa mtandao, kisha mipangilio ya firewall na ya programu kwenye VPS. ONIE inalinda seva za wingu jijini Ho Chi Minh kwa DDoS Shield kwenye ukingo wa mtandao bila gharama ya ziada, na unaweza kusambaza VPS yenye ulinzi wa DDoS ndani ya dakika chache.

Aina za mashambulizi

• Volumetric (tabaka 3 na 4): mafuriko ya pakiti zinazojaza kiungo cha mtandao, kwa mfano mafuriko ya UDP.
• Mashambulizi ya itifaki: matumizi mabaya ya usimamizi wa miunganisho, kama mafuriko ya SYN yanayojaza jedwali la miunganisho.
• Tabaka la programu (tabaka 7): maombi mengi ya HTTP yanayoonekana halali yanayomaliza nguvu ya seva ya wavuti au hifadhidata.

Kila aina inahitaji ulinzi tofauti. Trafiki ya volumetric lazima izuiwe kabla haijafika kwenye seva yako; mafuriko ya programu yanaweza kupunguzwa kwenye seva.

1. Chuja kwenye ukingo wa mtandao

Kuchuja kwenye ukingo hutupa trafiki mbaya kabla haijafika VPS yako, ili kiungo kisijae. Kwa DDoS Shield, uchujaji unafanyika kwenye ukingo wa mtandao kwa kutumia XDP/eBPF, na console inaonyesha trafiki na matukio ya mashambulizi kwa kila IP. Uliza mtoa huduma yeyote unayemtathmini kile kinachojumuishwa, uchujaji unafanyika wapi, na kama kuna gharama ya ziada.

2. Funga usichokitumia

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Usiweke hifadhidata wala paneli za usimamizi wazi kwenye intaneti. Zifunge kwa 127.0.0.1 au kwenye mtandao binafsi.

3. Rekebisha kernel kwa mafuriko ya SYN

SYN cookies zimewashwa kwa chaguo-msingi katika distro nyingi. Angalia:

sysctl net.ipv4.tcp_syncookies

Weka mabadiliko mengine ya kernel madogo na uyajaribu, kwa sababu thamani zisizo sahihi zinaweza kuathiri trafiki ya kawaida.

4. Weka kikomo cha maombi katika Nginx

Katika block ya http:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

Katika block ya server au location:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Pakia upya kwa sudo nginx -t && sudo systemctl reload nginx. Tuma faili tuli kutoka kwenye cache na tumia plugin ya cache kwenye WordPress ili kupunguza gharama ya kila ombi. Tazama kusakinisha WordPress kwa Nginx.

5. Fuatilia trafiki

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Ongezeko la ghafla la miunganisho au kipimo data, au seva inayokuwa polepole huku matumizi ya CPU yakiwa chini, vinaweza kuashiria shambulio. Weka arifa ili uone mapema.

6. Orodha ya hatua za tukio

1. Thibitisha kwenye console kama trafiki ni shambulio au ongezeko halisi la wageni.
2. Kagua matukio ya mashambulizi na IP iliyoshambuliwa.
3. Zuia anwani chanzo za matumizi mabaya au safu ambazo unaweza kuzitambua.
4. Washa vikomo vikali zaidi vya maombi au ukurasa wa matengenezo.
5. Wasiliana na support ya mtoa huduma wako ukitaja muda na IP.
6. Baadaye, kagua logi na usasishe mpango huu. Weka nakala rudufu na snapshot za sasa.