Nejlepší ochrana proti DDoS pro váš server: která kombinace opravdu chrání

Stručně řečeno: Nejlepší možnou ochranu proti DDoS získáte s Professional VDS nebo Professional Dedicated Server v našem datovém centru ve Frankfurtu nad Mohanem v kombinaci s naší Advanced DDoS Protection. Útočný provoz se přitom filtruje v reálném čase přímo v naší síti pomocí specializovaných profilů, s mitigační kapacitou až 17 Tbps. Tato kombinace je navržena tak, aby byl úspěšný DDoS útok prakticky nemožný.

Pokud nezbytně potřebujete neomezený přenos dat nebo lokalitu mimo Německo a přesto chcete silnou ochranu proti DDoS, je nejlepší volbou server s neomezeným přenosem dat nebo Edge server spolu s naší Remote DDoS Protection. Tento průvodce vysvětluje, proč tomu tak je a na co si musíte dát pozor při nastavení.

Přehled tří úrovní ochrany proti DDoS

Každý server u KernelHost má v ceně základní ochranu s kapacitou 3,2 Tbps. Odráží běžné flood útoky, například UDP, TCP, SYN a ICMP floody, a také reflexní a zesilovací útoky. Specializované profily pro jednotlivé hry nebo služby nemá. Proti cíleným útokům, které se maskují jako skutečný herní provoz, je proto potřeba jedna ze dvou rozšířených úrovní:

Proč servery Professional s Advanced DDoS Protection chrání nejlépe

Ochrana proti DDoS je jen tak silná, jak silné je její nejslabší místo. V kombinaci serveru Professional a Advanced DDoS Protection do sebe zapadají čtyři věci.

Filtrace přímo v naší síti

Váš server stojí v naší vlastní síti ve Frankfurtu nad Mohanem a dostane dedikovanou chráněnou IP adresu. Provoz se filtruje přímo v naší síti a doručuje se na váš server. Pro vaše hráče a uživatele tak nevzniká žádné dodatečné zpoždění.

Specializované profily místo paušálních pravidel

Advanced DDoS Protection zná optimalizované ochranné profily pro více než 40 her a služeb, mezi nimi Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ a TeamSpeak. Profil ví, jak vypadá skutečný provoz dané hry, a zahazuje pakety, které se za něj jen vydávají. Profil, port a protokol si volíte sami v zákaznické sekci, a to pro neomezený počet portů. Vlastní a upravené hry chráníte na libovolném TCP nebo UDP portu, stejně jako webové stránky, SSH, RDP a VPN služby jako OpenVPN a WireGuard.

Až 17 Tbps mitigační kapacity a nepřetržitá ochrana

Ochrana běží vždy, ne až po rozpoznání útoku. Velké útoky zachytí globální scrubbingová síť blízko jejich zdroje, s mitigační kapacitou až 17 Tbps na Layer 3, 4 a 7. Na vaši IP adresu se přitom nepoužívá nullrouting: zahazují se jen škodlivé pakety a vaši uživatelé se k serveru dál dostanou. Proč je to tak důležité, ukazuje náš článek o nullroutingu.

Hardware s rezervami

Professional VDS běží na jádrech AMD EPYC s pamětí DDR4 ECC, NVMe SSD v RAIDu a připojením 2x 1 Gbit/s, od 59,99 € měsíčně. Professional Dedicated Server je váš vlastní bare metal server ve Frankfurtu s procesorem AMD Ryzen nebo Intel, od 169,99 € měsíčně. Váš projekt tak zůstává stabilní i pod zátěží a lokalita Frankfurt zajišťuje nízkou latenci v celé Evropě.

Dohromady je tato kombinace navržena tak, aby byl úspěšný DDoS útok prakticky nemožný. Doporučujeme ji pro každý projekt, který je cíleně napadán nebo u kterého každý výpadek znamená ztrátu hráčů, zákazníků a tržeb.

Neomezený přenos dat nebo jiná lokalita: Remote DDoS Protection

Advanced DDoS Protection funguje pro servery v naší síti ve Frankfurtu. Pokud nezbytně potřebujete neomezený přenos dat nebo server v jiné lokalitě, zkombinujte jeden z těchto serverů s Remote DDoS Protection:

• VPS s neomezeným přenosem dat od 14,99 € měsíčně, s provozem bez limitu objemu a lokalitami v Evropě, Severní Americe, Asii a Austrálii.
• Edge servery s neomezeným přenosem dat, připojením až 1 Gbit/s a výběrem až z 25 lokalit po celém světě.

Remote DDoS Protection funguje jako předřazený filtr. Dostanete vlastní chráněnou IP adresu z naší anycast filtrační sítě. Provoz na portech, které chráníte, dorazí do nejbližší filtrační lokality, tam se vyčistí a předá na váš server. Útoky filtr odrazí za méně než jednu sekundu. Skutečná IP adresa vašeho serveru zůstává skrytá. Díky protokolu PROXY v1 nebo v2 váš server přesto vidí skutečné IP adresy vašich hráčů. Účtuje se za každý chráněný port, útočný provoz se nikdy neúčtuje.

Protože provoz vede přes filtrační lokalitu, přibude k trase další úsek. Zvolte proto lokalitu serveru blízko filtrační lokality, například: Frankfurt, Amsterdam, Londýn, Paříž, Varšava, Helsinky, Istanbul, Dubaj, Johannesburg, Singapur, Hongkong, Sydney, Chicago nebo Washington DC. Úplný seznam filtračních lokalit najdete na stránce Remote DDoS Protection.

Jak Remote DDoS Protection správně nastavit

Předřazený filtr chrání jen ten provoz, který přes něj skutečně prochází. Aby ho útočníci nemohli obejít, platí tři pravidla:

1. Zveřejňujte jen chráněnou IP adresu. V DNS záznamech, v seznamech serverů, na Discordu a na svém webu uvádějte výhradně chráněnou IP. Skutečná IP adresa vašeho serveru musí zůstat tajná.
2. Zpřísněte firewall serveru. Na chráněných portech povolte jen adresy našich filtračních lokalit. Seznam a skript, který ho automaticky udržuje aktuální, najdete v zákaznické sekci u své služby ochrany v části „Návod k nastavení“.
3. Po nastavení alespoň jednou změňte IP serveru. Dosavadní IP adresa vašeho serveru je většinou už známá, například ze seznamů serverů, DNS záznamů nebo dřívějších útoků. Útočník přes ni může filtr obejít. Po nastavení proto alespoň jednou přejděte na novou IP serveru a zadejte ji v zákaznické sekci. Nejjednodušší je objednat ochranu rovnou spolu s novým serverem.

Pro VPN servery: Advanced DDoS Protection

Remote DDoS Protection je určená pro hry a aplikace na pevných portech. Pro VPN servery, které potřebují nejlepší možnou ochranu proti DDoS, doporučujeme Advanced DDoS Protection: je na to navržená a chrání i OpenVPN a WireGuard. Více se dočtete v našem průvodci Jak chránit VPN server před DDoS útoky.

Které řešení se hodí pro váš projekt?

• Herní servery s cílenými útoky a hráči v Evropě: Professional VDS nebo Professional Dedicated Server s Advanced DDoS Protection.
• VPN servery s vysokými nároky: Advanced DDoS Protection na serveru ve Frankfurtu.
• Projekty s velmi velkým provozem: VPS s neomezeným přenosem dat a Remote DDoS Protection pro porty, na které se útočí.
• Hráči v Asii, Severní Americe, Africe nebo Austrálii: Edge server blízko filtrační lokality s Remote DDoS Protection.
• Server u jiného poskytovatele: Nejsilněji ho ochráníte přesunem do naší sítě a využitím Advanced DDoS Protection. Pokud přesun nepřipadá v úvahu, ochrání Remote DDoS Protection server tam, kde stojí.
• Malé projekty bez cílených útoků: Základní ochrana 3,2 Tbps v ceně často stačí. Rozšířit ji můžete kdykoli.

Co byste měli udělat navíc

• Správcovské přístupy jako SSH, RDP, databáze, RCON a panely nevystavujte otevřeně do internetu, ale omezte je na své vlastní IP adresy.
• Na serveru nastavte omezení rychlosti podle zdrojové adresy pro dotazovací a přihlašovací porty.
• Udržujte operační systém a herní server aktuální, aby útoky na aplikační vrstvě nenašly žádná slabá místa.
• Při útoku si uložte naměřené hodnoty a pošlete nám ticket s uvedením času, cílové IP a portu. Jak útok poznáte, vysvětluje náš článek Jak poznat DDoS útok na serveru.

Jak DDoS útok technicky probíhá a proč samotná filtrace na serveru nestačí, se dočtete v našem základním článku Co je DDoS útok?

Shrnutí

Nejsilnější ochranu proti DDoS získáte s Professional VDS nebo Professional Dedicated Server ve Frankfurtu a Advanced DDoS Protection: filtrace přímo v naší síti, specializované profily, až 17 Tbps mitigační kapacity a žádná dodatečná latence. Pokud potřebujete neomezený přenos dat nebo jinou lokalitu, zkombinujte server s neomezeným přenosem dat nebo Edge server s Remote DDoS Protection a dodržujte tři pravidla: zveřejňovat jen chráněnou IP, zpřísnit firewall a po nastavení alespoň jednou změnit IP serveru.