La meilleure protection DDoS pour votre serveur : quelle combinaison protège vraiment

En bref : vous obtenez la meilleure protection DDoS possible avec un Professional VDS ou un Professional Dedicated Server dans notre centre de données de Francfort-sur-le-Main, combiné à notre Advanced DDoS Protection. Le trafic d'attaque est alors filtré en temps réel directement dans notre réseau, avec des profils spécialisés et une capacité de mitigation allant jusqu'à 17 Tbps. Cette combinaison est conçue pour qu'une attaque DDoS réussie devienne pratiquement impossible.

Si vous avez impérativement besoin d'un trafic illimité ou d'un emplacement hors d'Allemagne tout en voulant une protection DDoS solide, le meilleur choix est un serveur à trafic illimité ou un serveur Edge associé à notre Remote DDoS Protection. Ce guide explique pourquoi et à quoi vous devez faire attention lors de la mise en place.

Les trois niveaux de protection DDoS en un coup d'œil

Chaque serveur chez KernelHost inclut une protection de base de 3,2 Tbps. Elle repousse les floods courants, par exemple les floods UDP, TCP, SYN et ICMP, ainsi que les attaques par réflexion et par amplification. Elle ne dispose d'aucun profil spécialisé pour des jeux ou des services particuliers. Contre les attaques ciblées qui se font passer pour du vrai trafic de jeu, il faut donc l'un des deux niveaux supérieurs :

Pourquoi les serveurs Professional avec Advanced DDoS Protection protègent le mieux

Une protection DDoS n'est jamais plus solide que son point le plus faible. Avec la combinaison d'un serveur Professional et de l'Advanced DDoS Protection, quatre éléments s'imbriquent.

Un filtrage directement dans notre réseau

Votre serveur se trouve dans notre propre réseau à Francfort-sur-le-Main et reçoit sa propre adresse IP protégée. Le trafic est filtré directement dans notre réseau et remis à votre serveur. Vos joueurs et vos utilisateurs ne subissent ainsi aucun délai supplémentaire.

Des profils spécialisés plutôt que des règles génériques

L'Advanced DDoS Protection dispose de profils de protection optimisés pour plus de 40 jeux et services, dont Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ et TeamSpeak. Un profil sait à quoi ressemble le vrai trafic d'un jeu et rejette les paquets qui ne font que l'imiter. Vous choisissez vous-même le profil, le port et le protocole dans l'espace client, pour un nombre illimité de ports. Vous protégez les jeux maison et modifiés sur n'importe quel port TCP ou UDP, tout comme les sites web, SSH, RDP et les services VPN comme OpenVPN et WireGuard.

Jusqu'à 17 Tbps de capacité de mitigation, toujours active

La protection fonctionne en permanence, et pas seulement après la détection d'une attaque. Les grandes attaques sont interceptées par le réseau de scrubbing mondial au plus près de leur source, avec une capacité de mitigation allant jusqu'à 17 Tbps sur les couches 3, 4 et 7. Votre adresse IP ne subit aucun null-routing : seuls les paquets malveillants sont rejetés, et vos utilisateurs continuent de passer. Notre article sur le null-routing montre pourquoi c'est si important.

Du matériel avec des réserves

Le Professional VDS fonctionne avec des cœurs AMD EPYC, de la mémoire DDR4 ECC, des SSD NVMe en RAID et un raccordement de 2x 1 Gbit/s, à partir de 59,99 € par mois. Le Professional Dedicated Server est un serveur bare metal qui vous est réservé, situé à Francfort et équipé d'un processeur AMD Ryzen ou Intel, à partir de 169,99 € par mois. Votre projet reste ainsi stable même sous charge, et l'emplacement de Francfort assure une faible latence dans toute l'Europe.

Dans son ensemble, cette combinaison est conçue pour qu'une attaque DDoS réussie devienne pratiquement impossible. C'est notre recommandation pour tout projet visé par des attaques ciblées ou pour lequel chaque panne coûte des joueurs, des clients et du chiffre d'affaires.

Trafic illimité ou autre emplacement : Remote DDoS Protection

L'Advanced DDoS Protection agit pour les serveurs situés dans notre réseau à Francfort. Si vous avez impérativement besoin d'un trafic illimité ou d'un serveur situé à un autre emplacement, combinez l'un des serveurs suivants avec la Remote DDoS Protection :

• VPS à trafic illimité à partir de 14,99 € par mois, avec un trafic sans limite de volume et des emplacements en Europe, en Amérique du Nord, en Asie et en Australie.
• Serveurs Edge avec trafic illimité, un raccordement allant jusqu'à 1 Gbit/s et jusqu'à 25 emplacements dans le monde.

La Remote DDoS Protection fonctionne comme un filtre placé en amont. Vous recevez votre propre adresse IP protégée, issue de notre réseau de filtrage anycast. Le trafic des ports que vous protégez arrive au site de filtrage le plus proche, y est nettoyé, puis transmis à votre serveur. Le filtre neutralise les attaques en moins d'une seconde. L'adresse IP réelle de votre serveur reste cachée. Grâce au protocole PROXY v1 ou v2, votre serveur voit malgré tout les adresses IP réelles de vos joueurs. La facturation se fait par port protégé, et le trafic d'attaque n'est jamais facturé.

Comme le trafic passe par un site de filtrage, un tronçon s'ajoute au trajet. Choisissez donc un emplacement de serveur proche d'un site de filtrage, par exemple Francfort, Amsterdam, Londres, Paris, Varsovie, Helsinki, Istanbul, Dubaï, Johannesburg, Singapour, Hong Kong, Sydney, Chicago ou Washington DC. La liste complète des sites de filtrage figure sur la page de la Remote DDoS Protection.

Comment configurer correctement la Remote DDoS Protection

Un filtre placé en amont ne protège que le trafic qui passe réellement par lui. Pour que les attaquants ne puissent pas le contourner, trois règles s'appliquent :

1. Publier uniquement l'adresse IP protégée. Dans les enregistrements DNS, les listes de serveurs, sur Discord et sur votre site web, indiquez exclusivement l'IP protégée. L'adresse IP réelle de votre serveur doit rester secrète.
2. Verrouiller le pare-feu du serveur. Sur les ports protégés, n'autorisez que les adresses de nos sites de filtrage. Vous trouverez la liste et un script qui la tient automatiquement à jour dans l'espace client, sur la page de votre service de protection, dans la section Guide de configuration.
3. Changer l'IP du serveur au moins une fois après la mise en place. L'adresse IP utilisée jusqu'ici par votre serveur est généralement déjà connue, par exemple via les listes de serveurs, les enregistrements DNS ou des attaques antérieures. Un attaquant peut s'en servir pour contourner le filtre. Après la mise en place, passez donc au moins une fois à une nouvelle IP de serveur et saisissez-la dans l'espace client. Le plus simple est de commander la protection directement avec un nouveau serveur.

Pour les serveurs VPN : Advanced DDoS Protection

La Remote DDoS Protection est destinée aux jeux et aux applications sur des ports fixes. Pour les serveurs VPN qui ont besoin de la meilleure protection DDoS possible, nous recommandons l'Advanced DDoS Protection : elle est conçue pour cela et protège aussi OpenVPN et WireGuard. Pour en savoir plus, lisez notre guide Protéger un serveur VPN contre les attaques DDoS.

Quelle solution convient à votre projet ?

• Serveurs de jeu visés par des attaques ciblées, avec des joueurs en Europe : Professional VDS ou Professional Dedicated Server avec Advanced DDoS Protection.
• Serveurs VPN aux exigences élevées : Advanced DDoS Protection sur un serveur à Francfort.
• Projets à très fort trafic : VPS à trafic illimité avec Remote DDoS Protection pour les ports qui sont attaqués.
• Joueurs en Asie, en Amérique du Nord, en Afrique ou en Australie : serveur Edge proche d'un site de filtrage, avec Remote DDoS Protection.
• Serveur chez un autre hébergeur : la protection la plus forte passe par une migration vers notre réseau avec l'Advanced DDoS Protection. Si une migration n'est pas envisageable, la Remote DDoS Protection protège le serveur là où il se trouve.
• Petits projets sans attaques ciblées : la protection de base incluse de 3,2 Tbps suffit souvent. Vous pouvez passer à un niveau supérieur à tout moment.

Ce que vous devriez faire en plus

• Ne pas exposer ouvertement sur Internet les accès d'administration comme SSH, RDP, les bases de données, RCON et les panels, mais les restreindre à vos propres adresses IP.
• Mettre en place sur le serveur une limitation de débit par adresse source pour les ports de requête et de connexion.
• Maintenir à jour le système d'exploitation et le serveur de jeu, afin que les attaques au niveau applicatif ne trouvent aucune faille.
• En cas d'attaque, sauvegarder les mesures et nous envoyer un ticket indiquant l'horaire, l'IP cible et le port. Notre article Détecter une attaque DDoS sur le serveur explique à quoi l'on reconnaît une attaque.

Comment une attaque DDoS se déroule techniquement et pourquoi le filtrage sur le serveur ne suffit pas à lui seul, vous le découvrirez dans notre article de fond Qu'est-ce qu'une attaque DDoS ?

En résumé

Vous obtenez la protection DDoS la plus forte avec un Professional VDS ou un Professional Dedicated Server à Francfort et l'Advanced DDoS Protection : filtrage directement dans notre réseau, profils spécialisés, jusqu'à 17 Tbps de capacité de mitigation et aucune latence supplémentaire. Si vous avez besoin d'un trafic illimité ou d'un autre emplacement, combinez un serveur à trafic illimité ou un serveur Edge avec la Remote DDoS Protection et respectez les trois règles : publier uniquement l'IP protégée, verrouiller le pare-feu et changer l'IP du serveur au moins une fois après la mise en place.