서버를 위한 최고의 DDoS 방어: 어떤 조합이 정말로 지켜 주는가

핵심: 최고의 DDoS 방어는 프랑크푸르트암마인에 있는 저희 데이터센터의 Professional VDS 또는 Professional Dedicated Server에 저희 Advanced DDoS Protection을 결합하면 얻을 수 있습니다. 이때 공격 트래픽은 저희 네트워크 안에서 곧바로 특화된 방어 프로필로 실시간 필터링되며, 방어 용량은 최대 17 Tbps입니다. 이 조합은 DDoS 공격의 성공을 사실상 불가능하게 만들도록 설계되어 있습니다.

트래픽 무제한이나 독일 밖의 위치가 꼭 필요하면서도 강력한 DDoS 방어를 원한다면, 트래픽 무제한 서버 또는 Edge 서버에 저희 Remote DDoS Protection을 함께 쓰는 것이 최선의 선택입니다. 이 가이드에서는 그 이유와 설정할 때 주의해야 할 점을 설명합니다.

한눈에 보는 DDoS 방어의 세 단계

KernelHost의 모든 서버에는 3.2 Tbps 기본 방어가 포함되어 있습니다. 기본 방어는 UDP 플러드, TCP 플러드, SYN 플러드, ICMP 플러드 같은 흔한 플러드 공격과 반사 공격, 증폭 공격을 막아 냅니다. 다만 개별 게임이나 서비스에 특화된 프로필은 없습니다. 그래서 실제 게임 트래픽으로 위장한 표적 공격에 맞서려면 두 상위 단계 중 하나가 필요합니다.

Professional 서버와 Advanced DDoS Protection이 가장 강력하게 보호하는 이유

DDoS 방어는 가장 약한 지점만큼만 강합니다. Professional 서버와 Advanced DDoS Protection의 조합에서는 네 가지 요소가 맞물려 작동합니다.

저희 네트워크 안에서 곧바로 필터링

서버는 프랑크푸르트암마인에 있는 저희 자체 네트워크 안에 놓이고 전용 방어 IP 주소를 받습니다. 트래픽은 저희 네트워크 안에서 곧바로 필터링되어 서버로 전달됩니다. 그래서 플레이어와 사용자에게 추가 지연이 생기지 않습니다.

일률적인 규칙 대신 특화된 프로필

Advanced DDoS Protection에는 Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ, TeamSpeak를 비롯해 40개가 넘는 게임과 서비스에 최적화된 방어 프로필이 있습니다. 프로필은 게임의 실제 트래픽이 어떤 모습인지 알고 있어서, 그런 척만 하는 패킷을 폐기합니다. 프로필, 포트, 프로토콜은 고객 포털에서 직접 선택하며, 포트 수에는 제한이 없습니다. 커스텀 게임과 모드를 적용한 게임은 모든 TCP 또는 UDP 포트에서 보호할 수 있고, 웹사이트, SSH, RDP, 그리고 OpenVPN과 WireGuard 같은 VPN 서비스도 마찬가지로 보호할 수 있습니다.

최대 17 Tbps 방어 용량, 상시 동작

방어는 공격을 탐지한 뒤에야 시작되는 것이 아니라 항상 동작합니다. 대규모 공격은 글로벌 스크러빙 네트워크가 발생지 가까이에서 막아 내며, 방어 용량은 레이어 3, 4, 7에서 최대 17 Tbps입니다. 이때 IP 주소에는 null-routing이 적용되지 않습니다. 폐기되는 것은 악성 패킷뿐이고, 사용자는 계속 접속할 수 있습니다. 이것이 왜 그렇게 중요한지는 null-routing에 관한 글에서 설명합니다.

여유 있는 하드웨어

Professional VDS는 AMD EPYC 코어, DDR4 ECC 메모리, RAID로 구성한 NVMe SSD, 2x 1 Gbit/s 회선으로 동작하며 월 59.99 EUR부터입니다. Professional Dedicated Server는 프랑크푸르트암마인에 있는 전용 베어메탈 서버로, AMD Ryzen 또는 Intel 프로세서를 갖추고 있으며 월 169.99 €부터입니다. 그래서 부하가 걸려도 프로젝트가 안정적으로 유지되고, 프랑크푸르트암마인이라는 위치 덕분에 유럽 전역에서 지연 시간이 낮습니다.

이 모든 요소가 모여, 이 조합은 DDoS 공격의 성공을 사실상 불가능하게 만들도록 설계되어 있습니다. 표적이 되어 공격받는 프로젝트, 또는 장애가 날 때마다 플레이어와 고객과 매출을 잃는 프로젝트라면 저희는 언제나 이 조합을 추천합니다.

트래픽 무제한 또는 다른 위치: Remote DDoS Protection

Advanced DDoS Protection은 프랑크푸르트암마인의 저희 네트워크에 있는 서버에 적용됩니다. 트래픽 무제한이나 다른 위치의 서버가 꼭 필요하다면 다음 서버 중 하나를 Remote DDoS Protection과 결합하세요.

• 트래픽 무제한 VPS는 월 14.99 €부터이며, 전송량 제한이 없는 트래픽과 유럽, 북미, 아시아, 호주의 위치를 제공합니다.
• Edge 서버는 트래픽 무제한, 최대 1 Gbit/s 회선, 전 세계 최대 25개 위치를 제공합니다.

Remote DDoS Protection은 서버 앞단에 놓이는 필터로 동작합니다. 저희 Anycast 필터링 네트워크에서 전용 방어 IP 주소를 받습니다. 보호하는 포트로 오는 트래픽은 가장 가까운 필터링 거점에 도착해 그곳에서 정화된 뒤 서버로 전달됩니다. 필터는 1초 미만에 공격을 막아 냅니다. 서버의 실제 IP 주소는 드러나지 않습니다. 그래도 PROXY 프로토콜 v1 또는 v2를 사용하면 서버에서 플레이어의 실제 IP 주소를 볼 수 있습니다. 요금은 보호 포트별로 부과되며, 공격 트래픽에는 어떤 경우에도 요금이 부과되지 않습니다.

트래픽이 필터링 거점을 거치므로 경로가 한 구간 늘어납니다. 그러니 필터링 거점과 가까운 서버 위치를 고르세요. 예를 들어 프랑크푸르트, 암스테르담, 런던, 파리, 바르샤바, 헬싱키, 이스탄불, 두바이, 요하네스버그, 싱가포르, 홍콩, 시드니, 시카고, 워싱턴 D.C. 같은 위치입니다. 필터링 거점의 전체 목록은 Remote DDoS Protection 페이지에서 확인할 수 있습니다.

Remote DDoS Protection을 올바르게 설정하는 방법

앞단 필터는 실제로 그 필터를 거치는 트래픽만 보호합니다. 공격자가 필터를 우회하지 못하도록 다음 세 가지 규칙을 지키세요.

1. 방어 IP 주소만 공개합니다. DNS 레코드, 서버 목록, Discord, 웹사이트에는 방어 IP만 적으세요. 서버의 실제 IP 주소는 비밀로 지켜야 합니다.
2. 서버 방화벽을 닫습니다. 보호하는 포트에서는 저희 필터링 거점의 주소만 허용하세요. 그 목록과, 목록을 자동으로 최신 상태로 유지하는 스크립트는 고객 포털의 방어 서비스 설정 항목에 있습니다.
3. 설정 후 서버 IP를 한 번 이상 바꿉니다. 서버의 기존 IP 주소는 서버 목록, DNS 레코드, 이전 공격 등을 통해 대개 이미 알려져 있습니다. 공격자는 그 주소로 필터를 우회할 수 있습니다. 그러니 설정을 마친 뒤 새 서버 IP로 한 번 이상 바꾸고, 그 IP를 고객 포털에 입력하세요. 가장 간단한 방법은 방어를 새 서버와 함께 주문하는 것입니다.

VPN 서버에는 Advanced DDoS Protection

Remote DDoS Protection은 고정 포트에서 동작하는 게임과 애플리케이션을 위한 것입니다. 최고의 DDoS 방어가 필요한 VPN 서버에는 Advanced DDoS Protection을 추천합니다. VPN 서버에 맞게 설계되어 OpenVPN과 WireGuard도 보호합니다. 자세한 내용은 가이드 VPN 서버를 DDoS 공격으로부터 보호하기에서 읽어 보세요.

프로젝트에 맞는 해결책은 무엇일까요?

• 표적 공격을 받고 플레이어가 유럽에 있는 게임 서버: Professional VDS 또는 Professional Dedicated Server에 Advanced DDoS Protection.
• 요구 수준이 높은 VPN 서버: 프랑크푸르트암마인의 서버에 Advanced DDoS Protection.
• 트래픽이 매우 많은 프로젝트: 트래픽 무제한 VPS에, 공격받는 포트를 위한 Remote DDoS Protection.
• 아시아, 북미, 아프리카, 호주의 플레이어: 필터링 거점과 가까운 Edge 서버에 Remote DDoS Protection.
• 다른 업체에 있는 서버: 가장 강력하게 보호하는 방법은 저희 네트워크로 옮겨 Advanced DDoS Protection을 쓰는 것입니다. 이전할 수 없다면 Remote DDoS Protection이 서버를 지금 있는 곳에서 그대로 보호합니다.
• 표적 공격이 없는 작은 프로젝트: 포함된 3.2 Tbps 기본 방어로 충분한 경우가 많습니다. 업그레이드는 언제든지 할 수 있습니다.

추가로 해 두어야 할 일

• SSH, RDP, 데이터베이스, RCON, 패널 같은 관리용 접속은 인터넷에 그대로 열어 두지 말고 여러분 자신의 IP 주소로만 제한하세요.
• 서버에서 쿼리 포트와 로그인 포트에 출발지 주소별 속도 제한을 설정하세요.
• 애플리케이션 계층을 노리는 공격이 취약점을 찾지 못하도록 운영체제와 게임 서버를 최신 상태로 유지하세요.
• 공격을 받으면 측정값을 확보하고 시각, 목표 IP, 포트를 적어 저희에게 티켓을 보내 주세요. 공격을 알아보는 방법은 서버에서 DDoS 공격 알아내기 글에서 설명합니다.

DDoS 공격이 기술적으로 어떻게 진행되는지, 왜 서버에서 하는 필터링만으로는 부족한지는 DDoS 공격이란 무엇인가? 기초 글에서 읽어 보세요.

요약

가장 강력한 DDoS 방어는 프랑크푸르트암마인의 Professional VDS 또는 Professional Dedicated Server에 Advanced DDoS Protection을 결합하면 얻을 수 있습니다. 저희 네트워크 안에서 곧바로 이루어지는 필터링, 특화된 프로필, 최대 17 Tbps 방어 용량, 그리고 추가 지연 시간이 없다는 점이 특징입니다. 트래픽 무제한이나 다른 위치가 필요하다면 트래픽 무제한 서버 또는 Edge 서버를 Remote DDoS Protection과 결합하고 세 가지 규칙을 지키세요. 방어 IP만 공개하고, 방화벽을 닫고, 설정 후 서버 IP를 한 번 이상 바꾸는 것입니다.