VPS'ni DDoS hujumlaridan qanday himoya qilish

Taqsimlangan xizmat ko'rsatishni rad etish (DDoS) hujumi server yoki uning tarmoq ulanishini haqiqiy foydalanuvchilar o'ta olmaguncha trafik bilan to'ldiradi. Ba'zi hujumlar serverning o'zi uchun juda katta bo'ladi, shuning uchun himoya qatlamli bo'lganda eng samarali ishlaydi: avval tarmoq chetida filtrlash, so'ngra VPSdagi firewall va ilova sozlamalari. ONIE Ho Chi Minh shahridagi DDoS Shield bilan himoyalangan cloud serverlar tarmoq chetida qo'shimcha to'lovsiz himoya qiladi, shuningdek, bir necha daqiqada DDoS himoyasi bilan VPS joylashtirishingiz mumkin.

Hujum turlari

• Hajmli (3 va 4-qatlam): tarmoq kanalini to'ldiradigan paketlar oqimi, masalan, UDP flood.
• Protokol hujumlari: ulanishlarni boshqarishdagi zaiflikdan foydalanish, masalan, ulanishlar jadvalini to'ldiradigan SYN flood.
• Ilova qatlami (7-qatlam): veb-server yoki ma'lumotlar bazasini charchatadigan, haqiqiy ko'rinishdagi ko'plab HTTP so'rovlari.

Har bir tur uchun turli himoya kerak. Hajmli trafik serverga yetib kelishidan oldin to'xtatilishi kerak; ilova darajasidagi oqimlarni esa serverda kamaytirish mumkin.

1. Tarmoq chetida filtrlash

Chetda filtrlash yomon trafikni VPSga yetib borishidan oldin tashlab yuboradi, shunda kanal to'lib ketmaydi. DDoS Shield bilan filtrlash XDP/eBPF yordamida tarmoq chetida amalga oshiriladi, konsolda esa har bir IP uchun trafik va hujum hodisalari ko'rsatiladi. Baholayotgan har qanday provayderdan nima kiritilganini, filtrlash qayerda bajarilishini va qo'shimcha to'lov talab qilinishini-qilinmasligini so'rang.

2. Ishlatmayotgan narsalarni yoping

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

Ma'lumotlar bazalari yoki admin panellarni internetga ochmang. Ularni 127.0.0.1 yoki xususiy tarmoqqa bog'lang.

3. SYN flood uchun yadroni sozlash

SYN cookies ko'pchilik distributivlarda standart holatda yoqilgan. Tekshiring:

sysctl net.ipv4.tcp_syncookies

Boshqa yadro o'zgartirishlarini kichik saqlang va ularni sinab ko'ring, chunki noto'g'ri qiymatlar oddiy trafikka zarar yetkazishi mumkin.

4. Nginxda so'rovlarni cheklash

http blokida:

limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=connperip:10m;

server yoki location blokida:

limit_req zone=perip burst=20 nodelay;
limit_conn connperip 20;

sudo nginx -t && sudo systemctl reload nginx buyrug'i bilan qayta yuklang. Statik fayllarni keshdan uzating va har bir so'rov narxini pasaytirish uchun WordPress'da kesh plaginidan foydalaning. Qarang: WordPress'ni Nginx bilan o'rnatish.

5. Trafikni kuzatish

ss -s
sudo ss -ntu state established | wc -l
sudo apt install -y nload && nload

Ulanishlar yoki kanal o'tkazuvchanligining keskin oshishi, shuningdek, CPU yuklamasi past bo'lganda ham sekinlashib qolgan server hujum belgisi bo'lishi mumkin. Erta sezish uchun ogohlantirishlarni sozlang.

6. Hodisaga javob berish ro'yxati

1. Trafik hujummi yoki haqiqiy yuklanishmi, konsolda tasdiqlang.
2. Hujum hodisalari va nishonga olingan IPni tekshiring.
3. Aniqlay olgan zararli manba manzillari yoki diapazonlarini bloklang.
4. Qattiqroq so'rov cheklovlarini yoki texnik xizmat ko'rsatish sahifasini yoqing.
5. Vaqt va IP ko'rsatilgan holda provayder qo'llab-quvvatlash xizmatiga murojaat qiling.
6. Keyinchalik loglarni ko'rib chiqing va ushbu rejani yangilang. Zaxira nusxalar va snapshotlarni dolzarb saqlang.