Beste DDoS-bescherming voor uw server: welke combinatie echt beschermt

Kort gezegd: De best mogelijke DDoS-bescherming krijgt u met een Professional VDS of een Professional Dedicated Server in ons datacenter in Frankfurt am Main, gecombineerd met onze Advanced DDoS Protection. Het aanvalsverkeer wordt daarbij direct in ons netwerk in realtime gefilterd, met gespecialiseerde profielen en een mitigatiecapaciteit tot 17 Tbps. Deze combinatie is zo ontworpen dat een geslaagde DDoS-aanval praktisch onmogelijk wordt.

Hebt u beslist onbeperkt dataverkeer of een locatie buiten Duitsland nodig en wilt u toch sterke DDoS-bescherming, dan is een server met onbeperkt dataverkeer of een Edge-server samen met onze Remote DDoS Protection de beste keuze. Deze gids legt uit waarom dat zo is en waar u bij het instellen op moet letten.

De drie niveaus van DDoS-bescherming op een rij

Bij elke server van KernelHost is een basisbescherming van 3,2 Tbps inbegrepen. Die weert gangbare floods af, zoals UDP-, TCP-, SYN- en ICMP-floods, evenals reflection- en amplification-aanvallen. Gespecialiseerde profielen voor afzonderlijke games of diensten heeft ze niet. Tegen gerichte aanvallen die zich voordoen als echt gameverkeer is daarom een van de twee hogere niveaus nodig:

Waarom Professional-servers met Advanced DDoS Protection het sterkst beschermen

Een DDoS-bescherming is maar zo sterk als haar zwakste schakel. Bij de combinatie van een Professional-server en de Advanced DDoS Protection grijpen vier dingen in elkaar.

Filtering direct in ons netwerk

Uw server staat in ons eigen netwerk in Frankfurt am Main en krijgt een eigen beschermd IP-adres. Het verkeer wordt direct in ons netwerk gefilterd en bij uw server afgeleverd. Voor uw spelers en gebruikers ontstaat daardoor geen extra vertraging.

Gespecialiseerde profielen in plaats van algemene regels

De Advanced DDoS Protection heeft geoptimaliseerde beschermingsprofielen voor meer dan 40 games en diensten, waaronder Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ en TeamSpeak. Een profiel weet hoe het echte verkeer van een game eruitziet en verwerpt pakketten die alleen maar doen alsof. Profiel, poort en protocol kiest u zelf in het klantenpaneel, voor een onbeperkt aantal poorten. Eigen en gemodificeerde games beschermt u op elke TCP- of UDP-poort, net als websites, SSH, RDP en VPN-diensten zoals OpenVPN en WireGuard.

Tot 17 Tbps mitigatiecapaciteit, permanent actief

De bescherming draait altijd en niet pas nadat een aanval is gedetecteerd. Grote aanvallen worden door het globale scrubbing-netwerk dicht bij hun bron afgevangen, met een mitigatiecapaciteit tot 17 Tbps op laag 3, 4 en 7. Op uw IP-adres wordt daarbij geen null-routing toegepast: alleen de schadelijke pakketten worden verworpen, uw gebruikers komen er gewoon door. Waarom dat zo belangrijk is, leest u in ons artikel over null-routing.

Hardware met reservecapaciteit

De Professional VDS draait op AMD EPYC-kernen met DDR4-ECC-geheugen, NVMe-SSD's in RAID en een aansluiting van 2x 1 Gbit/s, vanaf 59,99 € per maand. De Professional Dedicated Server is een eigen bare metal server in Frankfurt met een AMD Ryzen- of Intel-processor, vanaf 169,99 € per maand. Zo blijft uw project ook onder belasting stabiel, en de locatie Frankfurt zorgt voor een lage latentie in heel Europa.

Samen is deze combinatie zo ontworpen dat een geslaagde DDoS-aanval praktisch onmogelijk wordt. Ze is onze aanbeveling voor elk project dat gericht wordt aangevallen of waarbij elke uitval spelers, klanten en omzet kost.

Onbeperkt dataverkeer of een andere locatie: Remote DDoS Protection

De Advanced DDoS Protection werkt voor servers in ons netwerk in Frankfurt. Hebt u beslist onbeperkt dataverkeer of een server op een andere locatie nodig, combineer dan een van deze servers met de Remote DDoS Protection:

• VPS met onbeperkt dataverkeer vanaf 14,99 € per maand, met verkeer zonder volumelimiet en locaties in Europa, Noord-Amerika, Azië en Australië.
• Edge-servers met onbeperkt dataverkeer, een aansluiting tot 1 Gbit/s en maximaal 25 locaties wereldwijd.

De Remote DDoS Protection werkt als voorgeschakeld filter. U krijgt een eigen beschermd IP-adres uit ons anycast-filternetwerk. Het verkeer op de poorten die u beschermt, komt binnen op de dichtstbijzijnde filterlocatie, wordt daar opgeschoond en naar uw server doorgestuurd. Het filter weert aanvallen in minder dan een seconde af. Het echte IP-adres van uw server blijft verborgen. Met het PROXY-protocol v1 of v2 ziet uw server toch de echte IP-adressen van uw spelers. Er wordt per beschermde poort afgerekend, en aanvalsverkeer wordt nooit in rekening gebracht.

Omdat het verkeer via een filterlocatie loopt, komt er een extra traject bij. Kies daarom een serverlocatie die dicht bij een filterlocatie ligt, bijvoorbeeld Frankfurt, Amsterdam, Londen, Parijs, Warschau, Helsinki, Istanbul, Dubai, Johannesburg, Singapore, Hongkong, Sydney, Chicago of Washington DC. De volledige lijst met filterlocaties staat op de pagina van de Remote DDoS Protection.

Zo stelt u de Remote DDoS Protection goed in

Een voorgeschakeld filter beschermt alleen het verkeer dat er ook echt doorheen loopt. Om te voorkomen dat aanvallers het omzeilen, gelden drie regels:

1. Alleen het beschermde IP-adres publiceren. Vermeld in DNS-records, serverlijsten, op Discord en op uw website uitsluitend het beschermde IP-adres. Het echte IP-adres van uw server moet geheim blijven.
2. De firewall van de server dichtzetten. Laat op de beschermde poorten alleen de adressen van onze filterlocaties toe. De lijst en een script dat deze automatisch actueel houdt, vindt u in het klantenpaneel bij uw beschermingsdienst, in de sectie Configuratiehandleiding.
3. Het server-IP na het instellen minstens één keer wijzigen. Het bestaande IP-adres van uw server is meestal al bekend, bijvoorbeeld uit serverlijsten, DNS-records of eerdere aanvallen. Via dat adres kan een aanvaller het filter omzeilen. Stap daarom na het instellen minstens één keer over op een nieuw server-IP en vul dat in het klantenpaneel in. Het eenvoudigst bestelt u de bescherming meteen samen met een nieuwe server.

Voor VPN-servers: Advanced DDoS Protection

De Remote DDoS Protection is bedoeld voor games en applicaties op vaste poorten. Voor VPN-servers die de best mogelijke DDoS-bescherming nodig hebben, raden we de Advanced DDoS Protection aan: die is daarvoor ontworpen en beschermt ook OpenVPN en WireGuard. Meer daarover leest u in onze gids VPN-server beschermen tegen DDoS-aanvallen.

Welke oplossing past bij uw project?

• Gameservers met gerichte aanvallen en spelers in Europa: Professional VDS of Professional Dedicated Server met Advanced DDoS Protection.
• VPN-servers met hoge eisen: Advanced DDoS Protection op een server in Frankfurt.
• Projecten met heel veel verkeer: VPS met onbeperkt dataverkeer en Remote DDoS Protection voor de poorten die worden aangevallen.
• Spelers in Azië, Noord-Amerika, Afrika of Australië: Edge-server dicht bij een filterlocatie, met Remote DDoS Protection.
• Server bij een andere hoster: Het sterkst beschermt u hem met een verhuizing naar ons netwerk en de Advanced DDoS Protection. Is verhuizen geen optie, dan beschermt de Remote DDoS Protection de server op de plek waar hij staat.
• Kleine projecten zonder gerichte aanvallen: De inbegrepen basisbescherming van 3,2 Tbps is vaak voldoende. Upgraden kan op elk moment.

Wat u daarnaast zou moeten doen

• Beheertoegangen zoals SSH, RDP, databases, RCON en panels niet open op internet zetten, maar beperken tot uw eigen IP-adressen.
• Op de server een ratelimiet per bronadres instellen voor query- en loginpoorten.
• Besturingssysteem en gameserver up-to-date houden, zodat aanvallen op applicatieniveau geen zwakke plekken vinden.
• Bij een aanval meetwaarden vastleggen en ons een ticket sturen met tijdstip, doel-IP en poort. Waaraan u een aanval herkent, staat in ons artikel DDoS-aanval op de server herkennen.

Hoe een DDoS-aanval technisch verloopt en waarom filtering op de server alleen niet volstaat, leest u in ons basisartikel Wat is een DDoS-aanval?

Samenvatting

De sterkste DDoS-bescherming krijgt u met een Professional VDS of Professional Dedicated Server in Frankfurt en de Advanced DDoS Protection: filtering direct in ons netwerk, gespecialiseerde profielen, tot 17 Tbps mitigatiecapaciteit en geen extra latentie. Hebt u onbeperkt dataverkeer of een andere locatie nodig, combineer dan een server met onbeperkt dataverkeer of een Edge-server met de Remote DDoS Protection en houd u aan de drie regels: alleen het beschermde IP-adres publiceren, de firewall dichtzetten en na het instellen het server-IP minstens één keer wijzigen.