VPS sunucusunu DDoS saldırılarına karşı nasıl korursunuz

Dağıtılmış hizmet reddi (DDoS) saldırısı, gerçek ziyaretçilerin erişemeyeceği düzeye gelene kadar bir sunucuyu veya ağ bağlantısını trafikle doldurur. Bazı saldırılar sunucunun kendisinin kaldırabileceğinden büyüktür; bu nedenle koruma katmanlı yapıldığında en iyi sonucu verir: önce ağ kenarında filtreleme, ardından VPS üzerinde güvenlik duvarı ve uygulama ayarları. ONIE, Ho Chi Minh City'deki bulut sunucularını DDoS Shield ile ağ kenarında ek ücret olmadan korur ve DDoS korumalı bir VPS'i birkaç dakika içinde devreye alabilirsiniz.

Saldırı türleri

• Hacimsel (katman 3 ve 4): ağ bağlantısını dolduran paket selleri; örneğin UDP seli.
• Protokol saldırıları: bağlantı yönetimini kötüye kullanan saldırılar; örneğin bağlantı tablosunu dolduran SYN seli.
• Uygulama katmanı (katman 7): geçerli görünen çok sayıda HTTP isteği; web sunucusunu veya veritabanını tüketir.

Her tür farklı bir savunma gerektirir. Hacimsel trafik sunucuya ulaşmadan durdurulmalıdır; uygulama seller ise sunucu üzerinde azaltılabilir.

1. Ağ kenarında filtreleme yapın

Kenar filtreleme, kötü trafiği VPS'inize ulaşmadan bırakır; böylece bağlantı doymaz. DDoS Shield ile filtreleme XDP/eBPF kullanılarak ağ kenarında çalışır ve konsol her IP için trafik ve saldırı olaylarını gösterir. Değerlendirdiğiniz her sağlayıcıya neyin dahil olduğunu, filtrelemenin nerede yapıldığını ve ek ücret olup olmadığını sorun.

2. Kullanmadıklarınızı kapatın

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Veritabanlarını veya yönetim panellerini internete açmayın. Bunları 127.0.0.1 adresine veya özel bir ağa bağlayın.

3. SYN selleri için çekirdeği ayarlayın

SYN cookies çoğu dağıtımda varsayılan olarak açıktır. Kontrol edin:

sysctl net.ipv4.tcp_syncookies

Diğer çekirdek değişikliklerini küçük tutun ve test edin; yanlış değerler normal trafiği olumsuz etkileyebilir.

4. Nginx'te istekleri hız sınırlayın

http bloğunda:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server veya location bloğunda:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

Yapılandırmayı sudo nginx -t && sudo systemctl reload nginx komutuyla yeniden yükleyin. Statik dosyaları önbellekten sunun ve WordPress'te her isteğin maliyetini düşürmek için bir önbellekleme eklentisi kullanın. Bkz. Nginx ile WordPress kurulumu.

5. Trafiği izleyin

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Bağlantı sayısında veya bant genişliğinde ani bir artış ya da CPU kullanımı düşükken yavaşlayan bir sunucu, saldırı anlamına gelebilir. Erken fark edebilmek için uyarılar kurun.

6. Olay kontrol listesi

1. Trafiğin saldırı mı yoksa gerçek bir yoğunluk mu olduğunu konsoldan doğrulayın.
2. Saldırı olaylarını ve hedef alınan IP'yi kontrol edin.
3. Tanımlayabildiğiniz kötü niyetli kaynak adresleri veya aralıkları engelleyin.
4. Daha sıkı hız sınırlarını ya da bakım sayfasını etkinleştirin.
5. Sağlayıcınızın destek ekibiyle zamanı ve IP'yi paylaşarak iletişime geçin.
6. Sonrasında günlükleri inceleyin ve bu planı güncelleyin. Yedekleri ve anlık görüntüleri güncel tutun.