A legjobb DDoS-védelem a szerveréhez: melyik kombináció véd valóban

Röviden: A lehető legjobb DDoS-védelmet egy Professional VDS vagy egy Professional Dedicated Server segítségével érheti el a Frankfurt am Main-i adatközpontunkban, az Advanced DDoS Protection szolgáltatásunkkal kombinálva. A támadási forgalmat ilyenkor közvetlenül a hálózatunkban szűrjük valós időben, specializált profilokkal és akár 17 Tbps mitigációs kapacitással. Ezt a kombinációt arra tervezték, hogy egy sikeres DDoS-támadás gyakorlatilag lehetetlenné váljon.

Ha feltétlenül korlátlan forgalomra vagy Németországon kívüli helyszínre van szüksége, és mégis erős DDoS-védelmet szeretne, akkor egy korlátlan forgalmú szerver vagy egy Edge-szerver a Remote DDoS Protection szolgáltatásunkkal együtt a legjobb választás. Ez az útmutató elmagyarázza, miért van ez így, és mire kell figyelnie a beállításnál.

A DDoS-védelem három szintje egy pillantásra

A KernelHostnál minden szerver árában benne van egy 3,2 Tbps kapacitású alapvédelem. Ez elhárítja az elterjedt flood-támadásokat, például az UDP-, TCP-, SYN- és ICMP-floodokat, valamint a reflexiós és erősítéses támadásokat. Egyes játékokra vagy szolgáltatásokra specializált profilokkal viszont nem rendelkezik. A valódi játékforgalomnak álcázott célzott támadások ellen ezért a két bővítési szint egyikére van szükség:

Miért védenek a legerősebben a Professional-szerverek az Advanced DDoS Protection szolgáltatással

Egy DDoS-védelem csak annyira erős, amennyire a leggyengébb pontja. A Professional-szerver és az Advanced DDoS Protection kombinációjában négy dolog működik szorosan együtt.

Szűrés közvetlenül a hálózatunkban

Szervere a saját, Frankfurt am Main-i hálózatunkban áll, és saját védett IP-címet kap. A forgalmat közvetlenül a hálózatunkban szűrjük, majd eljuttatjuk a szerveréhez. Játékosai és felhasználói számára így nem keletkezik további késleltetés.

Specializált profilok általános szabályok helyett

Az Advanced DDoS Protection optimalizált védelmi profilokat kínál több mint 40 játékhoz és szolgáltatáshoz, köztük a következőkhöz: Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ és TeamSpeak. Egy profil tudja, hogyan néz ki egy játék valódi forgalma, és eldobja azokat a csomagokat, amelyek csak utánozzák ezt a forgalmat. A profilt, a portot és a protokollt Ön választja ki az ügyfélportálon, korlátlan számú porthoz. Saját és módosított játékait bármely TCP- vagy UDP-porton védheti, ugyanígy weboldalakat, SSH-t, RDP-t és olyan VPN-szolgáltatásokat, mint az OpenVPN és a WireGuard.

Akár 17 Tbps mitigációs kapacitás, folyamatosan aktív

A védelem mindig fut, nem csak egy támadás észlelése után indul el. A nagy támadásokat a globális scrubbing-hálózat a forrásuk közelében fogja fel, akár 17 Tbps mitigációs kapacitással a 3., a 4. és a 7. rétegen. Az IP-címére ilyenkor nem alkalmazunk null-routingot: csak a káros csomagokat dobjuk el, a felhasználói továbbra is átjutnak. Hogy ez miért ilyen fontos, azt a null-routingról szóló cikkünk mutatja meg.

Hardver tartalékokkal

A Professional VDS AMD EPYC magokon fut, DDR4 ECC memóriával, RAID-be szervezett NVMe SSD-kkel és 2x 1 Gbit/s-os csatlakozással, havi 59,99 EUR díjtól. A Professional Dedicated Server saját bare-metal szerver Frankfurtban, AMD Ryzen vagy Intel processzorral, havi 169,99 € díjtól. Így projektje terhelés alatt is stabil marad, a frankfurti helyszín pedig alacsony késleltetést biztosít egész Európában.

Együttesen ezt a kombinációt arra tervezték, hogy egy sikeres DDoS-támadás gyakorlatilag lehetetlenné váljon. Ezt ajánljuk minden olyan projekthez, amelyet célzottan támadnak, vagy amelynél minden kiesés játékosokba, ügyfelekbe és bevételbe kerül.

Korlátlan forgalom vagy más helyszín: Remote DDoS Protection

Az Advanced DDoS Protection a frankfurti hálózatunkban futó szervereket védi. Ha feltétlenül korlátlan forgalomra vagy más helyszínen futó szerverre van szüksége, kombinálja az alábbi szerverek egyikét a Remote DDoS Protection szolgáltatással:

• Korlátlan forgalmú VPS havi 14,99 € díjtól, adatmennyiség-korlát nélküli forgalommal és helyszínekkel Európában, Észak-Amerikában, Ázsiában és Ausztráliában.
• Edge-szerver korlátlan forgalommal, akár 1 Gbit/s-os csatlakozással és világszerte akár 25 helyszínnel.

A Remote DDoS Protection a szervere elé kapcsolt szűrőként működik. Saját védett IP-címet kap az anycast-szűrőhálózatunkból. Az Ön által védett portokra érkező forgalom a legközelebbi szűrési helyszínre fut be, ott megtisztítjuk, majd továbbítjuk a szerveréhez. A támadásokat a szűrő kevesebb mint egy másodperc alatt hárítja el. Szervere valódi IP-címe rejtve marad. A PROXY-protokollal (v1 vagy v2) szervere ennek ellenére is látja játékosai valódi IP-címét. A számlázás védett portonként történik, a támadási forgalmat soha nem számlázzuk ki.

Mivel a forgalom egy szűrési helyszínen keresztül halad, az útvonalhoz egy további szakasz adódik. Ezért olyan szerverhelyszínt válasszon, amely közel van egy szűrési helyszínhez, például Frankfurt, Amszterdam, London, Párizs, Varsó, Helsinki, Isztambul, Dubaj, Johannesburg, Szingapúr, Hongkong, Sydney, Chicago vagy Washington DC. A szűrési helyszínek teljes listája a Remote DDoS Protection oldalán található.

Így állítsa be helyesen a Remote DDoS Protection szolgáltatást

A szerver elé kapcsolt szűrő csak azt a forgalmat védi, amely valóban rajta halad át. Hogy a támadók ne kerülhessék meg, három szabály érvényes:

1. Csak a védett IP-címet tegye közzé. DNS-bejegyzésekben, szerverlistákon, a Discordon és a weboldalán kizárólag a védett IP-címet adja meg. Szervere valódi IP-címének titokban kell maradnia.
2. Szigorítsa a szerver tűzfalát. A védett portokon csak a szűrési helyszíneink címeit engedélyezze. A listát és egy szkriptet, amely automatikusan naprakészen tartja, az ügyfélportálon, a védelmi szolgáltatásánál, a beállítási szakaszban találja.
3. A beállítás után legalább egyszer cserélje le a szerver IP-címét. Szervere eddigi IP-címe többnyire már ismert, például szerverlistákról, DNS-bejegyzésekből vagy korábbi támadásokból. Ezen a címen keresztül egy támadó megkerülheti a szűrőt. Ezért a beállítás után legalább egyszer váltson új szerver-IP-címre, és az új címet adja meg az ügyfélportálon. A legegyszerűbb, ha a védelmet rögtön egy új szerverrel együtt rendeli meg.

VPN-szerverekhez: Advanced DDoS Protection

A Remote DDoS Protection fix portokon futó játékokhoz és alkalmazásokhoz készült. Azokhoz a VPN-szerverekhez, amelyeknek a lehető legjobb DDoS-védelemre van szükségük, az Advanced DDoS Protection szolgáltatást ajánljuk: erre tervezték, és az OpenVPN-t, valamint a WireGuardot is védi. Erről bővebben a VPN-szerver védelme DDoS ellen című útmutatónkban olvashat.

Melyik megoldás illik az Ön projektjéhez?

• Célzottan támadott játékszerver európai játékosokkal: Professional VDS vagy Professional Dedicated Server az Advanced DDoS Protection szolgáltatással.
• Magas követelményű VPN-szerver: Advanced DDoS Protection egy frankfurti szerveren.
• Nagyon nagy forgalmú projektek: korlátlan forgalmú VPS a Remote DDoS Protection szolgáltatással a támadott portokra.
• Játékosok Ázsiában, Észak-Amerikában, Afrikában vagy Ausztráliában: egy szűrési helyszínhez közeli Edge-szerver a Remote DDoS Protection szolgáltatással.
• Más szolgáltatónál futó szerver: A legerősebb védelmet úgy kapja, ha átköltözik a hálózatunkba, és az Advanced DDoS Protection szolgáltatást használja. Ha a költözés nem jöhet szóba, a Remote DDoS Protection ott védi a szervert, ahol éppen van.
• Kis projektek célzott támadások nélkül: Az árban foglalt, 3,2 Tbps kapacitású alapvédelem gyakran elegendő. Bármikor válthat erősebb védelemre.

Mit érdemes még tennie

• Az olyan adminisztrációs hozzáféréseket, mint az SSH, az RDP, az adatbázisok, az RCON és a panelek, ne tegye nyíltan elérhetővé az interneten, hanem korlátozza őket a saját IP-címeire.
• Állítson be a szerveren feladócímenkénti sebességkorlátozást a lekérdező- és a bejelentkezési portokra.
• Tartsa naprakészen az operációs rendszert és a játékszervert, hogy az alkalmazásszintű támadások ne találjanak gyenge pontot.
• Támadás esetén mentse el a mérési értékeket, és küldjön nekünk egy ticketet az időponttal, a cél-IP-címmel és a porttal. Hogy miről ismeri fel a támadást, azt a DDoS-támadás felismerése a szerveren című cikkünk magyarázza el.

Hogy technikailag hogyan zajlik egy DDoS-támadás, és miért nem elég önmagában a szerveren végzett szűrés, azt a Mi az a DDoS-támadás? című alapozó cikkünkben olvashatja el.

Összefoglalás

A legerősebb DDoS-védelmet egy frankfurti Professional VDS vagy Professional Dedicated Server és az Advanced DDoS Protection együttesével érheti el: szűrés közvetlenül a hálózatunkban, specializált profilok, akár 17 Tbps mitigációs kapacitás, további késleltetés nélkül. Ha korlátlan forgalomra vagy más helyszínre van szüksége, kombináljon egy korlátlan forgalmú vagy Edge-szervert a Remote DDoS Protection szolgáltatással, és tartsa be a három szabályt: csak a védett IP-címet tegye közzé, szigorítsa a tűzfalat, és a beállítás után legalább egyszer cserélje le a szerver IP-címét.