サーバーにおすすめの DDoS 対策：本当に守れるのはどの組み合わせか

結論：最高の DDoS 対策は、フランクフルトにある当社データセンターの Professional VDS または Professional Dedicated Server に、当社の Advanced DDoS Protection を組み合わせることで実現できます。攻撃トラフィックは当社のネットワーク内で直接、特化した保護プロファイルによってリアルタイムにフィルタリングされ、緩和能力は最大 17 Tbps に達します。この組み合わせは、DDoS 攻撃の成功を事実上不可能にするよう設計されています。

転送量無制限やドイツ国外の拠点がどうしても必要で、それでも強力な DDoS 対策を求める場合は、転送量無制限サーバーまたは Edge サーバーに、当社の Remote DDoS Protection を組み合わせるのが最善の選択です。このガイドでは、その理由と、設定の際に注意すべき点を解説します。

ひと目でわかる DDoS 対策の 3 つのレベル

KernelHost のすべてのサーバーには、3.2 Tbps の基本保護が標準で含まれています。基本保護は、UDP フラッド、TCP フラッド、SYN フラッド、ICMP フラッドといった一般的なフラッド攻撃のほか、リフレクション攻撃や増幅攻撃も防ぎます。ただし、個々のゲームやサービスに特化したプロファイルはありません。そのため、本物のゲームトラフィックを装い、狙いを定めて仕掛けられる攻撃には、2 つの上位レベルのどちらかが必要です。

Professional サーバーと Advanced DDoS Protection が最も強く守れる理由

DDoS 対策の強さは、その最も弱い部分で決まります。Professional サーバーと Advanced DDoS Protection の組み合わせでは、4 つの要素がかみ合って働きます。

当社のネットワーク内で直接フィルタリング

お使いのサーバーは、フランクフルトにある当社の自社ネットワーク内に置かれ、専用の保護 IP アドレスを受け取ります。トラフィックは当社のネットワーク内で直接フィルタリングされ、お使いのサーバーへ届けられます。そのため、プレイヤーや利用者にとって遅延が増えることはありません。

一律のルールではなく特化したプロファイル

Advanced DDoS Protection には、Minecraft、FiveM、Rust、Counter-Strike 2、ARK、DayZ、TeamSpeak をはじめ、40 を超えるゲームとサービス向けに最適化された保護プロファイルがあります。プロファイルはゲームの本物のトラフィックがどのようなものかを知っており、それを装っているだけのパケットを破棄します。プロファイル、ポート、プロトコルはカスタマーエリアでご自身で選べ、ポートの数に制限はありません。独自のゲームや Mod を導入したゲームも任意の TCP または UDP ポートで保護でき、ウェブサイト、SSH、RDP、そして OpenVPN や WireGuard などの VPN サービスも同じように保護できます。

最大 17 Tbps の緩和能力、常時稼働

保護は常に動いており、攻撃を検知してから動き出すのではありません。大規模な攻撃は、グローバルなスクラビングネットワークが発生源の近くで受け止めます。緩和能力はレイヤー 3、4、7 で最大 17 Tbps です。このとき、お使いの IP アドレスがヌルルーティングされることはありません。破棄されるのは有害なパケットだけで、利用者はそのまま接続できます。これがなぜそれほど重要なのかは、ヌルルーティングについての記事で解説しています。

余裕のあるハードウェア

Professional VDS は、AMD EPYC のコア、DDR4 ECC メモリー、RAID 構成の NVMe SSD、2x 1 Gbit/s の回線で動作し、月額 59.99 EUR からです。Professional Dedicated Server は、フランクフルトにあるご自身専用のベアメタルサーバーで、AMD Ryzen または Intel のプロセッサーを搭載し、月額 169.99 € からです。これにより負荷がかかってもプロジェクトは安定して動き、フランクフルトという拠点がヨーロッパ全域での低いレイテンシーを支えます。

全体として、この組み合わせは DDoS 攻撃の成功を事実上不可能にするよう設計されています。狙いを定めた攻撃を受けるプロジェクトや、障害が起きるたびにプレイヤー、顧客、売上を失うプロジェクトであれば、当社がおすすめするのはこの組み合わせです。

転送量無制限やほかの拠点なら：Remote DDoS Protection

Advanced DDoS Protection が効くのは、フランクフルトにある当社ネットワーク内のサーバーです。転送量無制限やほかの拠点のサーバーがどうしても必要な場合は、次のいずれかのサーバーに Remote DDoS Protection を組み合わせてください。

• 転送量無制限 VPS は月額 14.99 € からで、データ量に上限のないトラフィックと、ヨーロッパ、北米、アジア、オーストラリアの拠点を備えています。
• Edge サーバーは、転送量無制限、最大 1 Gbit/s の回線、世界各地の最大 25 拠点を備えています。

Remote DDoS Protection は、サーバーの前段に置くフィルターとして働きます。当社の Anycast フィルタリングネットワークから、専用の保護 IP アドレスが割り当てられます。保護するポートへのトラフィックは最寄りのフィルタリング拠点に届き、そこで浄化されてから、お使いのサーバーへ転送されます。フィルターは 1 秒未満で攻撃を防ぎます。サーバーの実際の IP アドレスは隠されたままです。それでも PROXY プロトコル v1 または v2 を使えば、サーバーではプレイヤーの実際の IP アドレスを確認できます。料金は保護ポートごとにかかり、攻撃トラフィックが課金されることは決してありません。

トラフィックがフィルタリング拠点を経由するため、経路が 1 区間増えます。ですから、サーバーの拠点はフィルタリング拠点の近くを選んでください。たとえばフランクフルト、アムステルダム、ロンドン、パリ、ワルシャワ、ヘルシンキ、イスタンブール、ドバイ、ヨハネスブルグ、シンガポール、香港、シドニー、シカゴ、ワシントン D.C. です。フィルタリング拠点の完全な一覧は、Remote DDoS Protection のページにあります。

Remote DDoS Protection の正しい設定方法

前段のフィルターが守れるのは、実際にそこを通るトラフィックだけです。攻撃者にフィルターを迂回されないために、次の 3 つのルールがあります。

1. 保護 IP アドレスだけを公開する。DNS レコード、サーバーリスト、Discord、ご自身のウェブサイトには、保護 IP だけを記載してください。サーバーの実際の IP アドレスは秘密にしておく必要があります。
2. サーバーのファイアウォールを閉じる。保護ポートでは、当社のフィルタリング拠点のアドレスだけを許可してください。その一覧と、一覧を自動で最新の状態に保つスクリプトは、カスタマーエリアにあるお使いの保護サービスのセットアップの項目にあります。
3. 設定後に、サーバーの IP を少なくとも 1 回変更する。サーバーのこれまでの IP アドレスは、サーバーリスト、DNS レコード、過去の攻撃などから、たいていすでに知られています。攻撃者はその IP アドレスを使ってフィルターを迂回できます。そのため、設定後に少なくとも 1 回、新しいサーバー IP に切り替え、その IP をカスタマーエリアに登録してください。いちばん簡単なのは、保護を新しいサーバーと一緒に注文することです。

VPN サーバーには Advanced DDoS Protection

Remote DDoS Protection は、固定のポートで動くゲームやアプリケーション向けです。最高の DDoS 対策が必要な VPN サーバーには、Advanced DDoS Protection をおすすめします。VPN サーバー向けに設計されており、OpenVPN や WireGuard も保護します。詳しくは、当社のガイド VPN サーバーを DDoS 攻撃から守るをご覧ください。

プロジェクトに合うのはどの対策か

• 狙いを定めた攻撃を受け、プレイヤーがヨーロッパにいるゲームサーバー：Professional VDS または Professional Dedicated Server に Advanced DDoS Protection。
• 要求の高い VPN サーバー：フランクフルトのサーバーに Advanced DDoS Protection。
• トラフィックが非常に多いプロジェクト：転送量無制限 VPS に、攻撃されるポート向けの Remote DDoS Protection。
• アジア、北米、アフリカ、オーストラリアのプレイヤー：フィルタリング拠点に近い Edge サーバーに Remote DDoS Protection。
• 他社のサーバー：最も強く守れるのは、当社のネットワークへ移行して Advanced DDoS Protection を使う方法です。移行できない場合は、Remote DDoS Protection がサーバーを今の場所のまま守ります。
• 狙いを定めた攻撃を受けていない小規模なプロジェクト：標準で含まれる 3.2 Tbps の基本保護で足りることがよくあります。アップグレードはいつでもできます。

あわせて行うべきこと

• SSH、RDP、データベース、RCON、パネルなどの管理用のアクセスは、インターネットに開いたままにせず、ご自身の IP アドレスだけに制限してください。
• サーバーで、クエリポートとログインポートに送信元アドレスごとのレート制限をかけてください。
• アプリケーション層を狙う攻撃に弱点を見つけられないよう、オペレーティングシステムとゲームサーバーを最新の状態に保ってください。
• 攻撃を受けたら測定値を保存し、時刻、宛先 IP、ポートを書き添えてチケットを当社に送ってください。攻撃の見分け方は、記事サーバーで DDoS 攻撃を検知するで解説しています。

DDoS 攻撃が技術的にどう進むのか、そしてなぜサーバー上のフィルタリングだけでは足りないのかは、基礎解説の記事 DDoS 攻撃とは何かをご覧ください。

まとめ

最も強い DDoS 対策は、フランクフルトの Professional VDS または Professional Dedicated Server に Advanced DDoS Protection を組み合わせることで得られます。当社のネットワーク内での直接のフィルタリング、特化したプロファイル、最大 17 Tbps の緩和能力、そして追加のレイテンシーがないことが特長です。転送量無制限やほかの拠点が必要な場合は、転送量無制限サーバーまたは Edge サーバーに Remote DDoS Protection を組み合わせ、3 つのルールを守ってください。保護 IP だけを公開すること、ファイアウォールを閉じること、そして設定後にサーバーの IP を少なくとも 1 回変更することです。