La mejor protección DDoS para tu servidor: qué combinación protege de verdad

En pocas palabras: consigues la mejor protección DDoS posible con un Professional VDS o un Professional Dedicated Server en nuestro centro de datos de Frankfurt am Main, combinado con nuestra Advanced DDoS Protection. El tráfico de ataque se filtra en tiempo real directamente en nuestra red, con perfiles especializados y una capacidad de mitigación de hasta 17 Tbps. Esta combinación está diseñada para que un ataque DDoS con éxito sea prácticamente imposible.

Si te resulta imprescindible el tráfico ilimitado o una ubicación fuera de Alemania y, aun así, quieres una protección DDoS sólida, la mejor opción es un servidor con tráfico ilimitado o un servidor Edge junto con nuestra Remote DDoS Protection. Esta guía explica por qué y en qué debes fijarte durante la configuración.

Los tres niveles de protección DDoS de un vistazo

Todos los servidores de KernelHost incluyen una protección básica de 3,2 Tbps. Esta protección repele los floods habituales, como los floods UDP, TCP, SYN e ICMP, así como los ataques de reflexión y de amplificación. No tiene perfiles especializados para juegos o servicios concretos. Por eso, contra los ataques dirigidos que se camuflan como tráfico de juego real, hace falta uno de los dos niveles superiores:

Por qué los servidores Professional con Advanced DDoS Protection protegen mejor

Una protección DDoS solo es tan fuerte como su punto más débil. En la combinación de servidor Professional y Advanced DDoS Protection encajan cuatro elementos.

Filtrado directamente en nuestra red

Tu servidor está en nuestra propia red de Frankfurt am Main y recibe su propia dirección IP protegida. El tráfico se filtra directamente en nuestra red y se entrega a tu servidor. Así, tus jugadores y usuarios no sufren ningún retardo adicional.

Perfiles especializados en lugar de reglas genéricas

La Advanced DDoS Protection cuenta con perfiles de protección optimizados para más de 40 juegos y servicios, entre ellos Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ y TeamSpeak. Un perfil sabe cómo es el tráfico real de un juego y descarta los paquetes que solo lo imitan. El perfil, el puerto y el protocolo los eliges tú mismo en el área de cliente, para un número ilimitado de puertos. Los juegos propios y modificados los proteges en cualquier puerto TCP o UDP, igual que sitios web, SSH, RDP y servicios VPN como OpenVPN y WireGuard.

Hasta 17 Tbps de capacidad de mitigación, siempre activa

La protección funciona siempre, no solo después de detectar un ataque. Los ataques grandes los intercepta la red global de scrubbing cerca de su origen, con una capacidad de mitigación de hasta 17 Tbps en las capas 3, 4 y 7. A tu dirección IP no se le aplica null-routing: solo se descartan los paquetes dañinos y tus usuarios siguen pasando. Por qué esto es tan importante lo explica nuestro artículo sobre el null-routing.

Hardware con reservas

El Professional VDS funciona con núcleos AMD EPYC, memoria DDR4 ECC, SSD NVMe en RAID y una conexión de 2x 1 Gbit/s, desde 59,99 € al mes. El Professional Dedicated Server es un servidor bare metal propio en Frankfurt con procesador AMD Ryzen o Intel, desde 169,99 € al mes. Así tu proyecto se mantiene estable incluso bajo carga, y la ubicación de Frankfurt proporciona una latencia baja en toda Europa.

En conjunto, esta combinación está diseñada para que un ataque DDoS con éxito sea prácticamente imposible. Es nuestra recomendación para cualquier proyecto que sufra ataques dirigidos o en el que cada caída cueste jugadores, clientes e ingresos.

Tráfico ilimitado u otra ubicación: Remote DDoS Protection

La Advanced DDoS Protection actúa en los servidores de nuestra red de Frankfurt. Si te resulta imprescindible el tráfico ilimitado o un servidor en otra ubicación, combina uno de estos servidores con la Remote DDoS Protection:

• VPS con tráfico ilimitado desde 14,99 € al mes, con tráfico sin límite de volumen y ubicaciones en Europa, Norteamérica, Asia y Australia.
• Servidores Edge con tráfico ilimitado, una conexión de hasta 1 Gbit/s y hasta 25 ubicaciones en todo el mundo.

La Remote DDoS Protection funciona como un filtro situado delante de tu servidor. Recibes tu propia dirección IP protegida de nuestra red de filtrado anycast. El tráfico de los puertos que proteges llega a la ubicación de filtrado más cercana, allí se limpia y se reenvía a tu servidor. El filtro mitiga los ataques en menos de un segundo. La dirección IP real de tu servidor permanece oculta. Con el protocolo PROXY v1 o v2, tu servidor sigue viendo las direcciones IP reales de tus jugadores. Se factura por puerto protegido, y el tráfico de ataque nunca se cobra.

Como el tráfico pasa por una ubicación de filtrado, se añade un tramo al recorrido. Por eso, elige una ubicación de servidor cercana a una ubicación de filtrado, por ejemplo Frankfurt, Ámsterdam, Londres, París, Varsovia, Helsinki, Estambul, Dubái, Johannesburgo, Singapur, Hong Kong, Sídney, Chicago o Washington D. C. La lista completa de ubicaciones de filtrado está en la página de la Remote DDoS Protection.

Cómo configurar correctamente la Remote DDoS Protection

Un filtro situado delante del servidor solo protege el tráfico que realmente pasa por él. Para que los atacantes no lo eludan, se aplican tres reglas:

1. Publicar solo la dirección IP protegida. En los registros DNS, en las listas de servidores, en Discord y en tu sitio web, indica exclusivamente la IP protegida. La dirección IP real de tu servidor debe permanecer en secreto.
2. Cerrar el firewall del servidor. En los puertos protegidos, permite solo las direcciones de nuestras ubicaciones de filtrado. La lista y un script que la mantiene actualizada automáticamente los encontrarás en el área de cliente, en tu servicio de protección, dentro de la sección Guía de configuración.
3. Cambiar la IP del servidor al menos una vez tras la configuración. La dirección IP que ha usado tu servidor hasta ahora suele ser ya conocida, por ejemplo por las listas de servidores, los registros DNS o ataques anteriores. A través de ella, un atacante puede eludir el filtro. Por eso, tras la configuración, pasa al menos una vez a una nueva IP de servidor y regístrala en el área de cliente. Lo más sencillo es pedir la protección directamente junto con un servidor nuevo.

Para servidores VPN: Advanced DDoS Protection

La Remote DDoS Protection está pensada para juegos y aplicaciones en puertos fijos. Para servidores VPN que necesitan la mejor protección DDoS posible, recomendamos la Advanced DDoS Protection: está diseñada para ello y también protege OpenVPN y WireGuard. Encontrarás más información en nuestra guía Proteger un servidor VPN contra ataques DDoS.

¿Qué solución encaja con tu proyecto?

• Servidores de juego con ataques dirigidos y jugadores en Europa: Professional VDS o Professional Dedicated Server con Advanced DDoS Protection.
• Servidores VPN con requisitos elevados: Advanced DDoS Protection en un servidor en Frankfurt.
• Proyectos con muchísimo tráfico: VPS con tráfico ilimitado y Remote DDoS Protection para los puertos que reciben ataques.
• Jugadores en Asia, Norteamérica, África o Australia: servidor Edge cerca de una ubicación de filtrado con Remote DDoS Protection.
• Servidor en otro proveedor: la protección más fuerte la consigues trasladándolo a nuestra red con la Advanced DDoS Protection. Si el traslado no es una opción, la Remote DDoS Protection protege el servidor allí donde está.
• Proyectos pequeños sin ataques dirigidos: la protección básica incluida de 3,2 Tbps suele bastar. Puedes ampliarla en cualquier momento.

Qué más deberías hacer

• No dejar expuestos a Internet los accesos de administración como SSH, RDP, bases de datos, RCON y paneles, sino limitarlos a tus propias direcciones IP.
• Configurar en el servidor un límite de tasa por dirección de origen para los puertos de consulta y de inicio de sesión.
• Mantener actualizados el sistema operativo y el servidor de juego, para que los ataques en la capa de aplicación no encuentren vulnerabilidades.
• Durante un ataque, guardar las mediciones y enviarnos un ticket con el momento, la IP de destino y el puerto. Cómo reconocer un ataque lo explica nuestro artículo Detectar un ataque DDoS en el servidor.

Cómo funciona técnicamente un ataque DDoS y por qué el filtrado en el servidor no basta por sí solo lo puedes leer en nuestro artículo de fundamentos ¿Qué es un ataque DDoS?

En resumen

La protección DDoS más fuerte la consigues con un Professional VDS o un Professional Dedicated Server en Frankfurt y la Advanced DDoS Protection: filtrado directamente en nuestra red, perfiles especializados, hasta 17 Tbps de capacidad de mitigación y ninguna latencia adicional. Si necesitas tráfico ilimitado u otra ubicación, combina un servidor con tráfico ilimitado o un servidor Edge con la Remote DDoS Protection y cumple las tres reglas: publicar solo la IP protegida, cerrar el firewall y cambiar la IP del servidor al menos una vez tras la configuración.