Najlepsza ochrona DDoS dla serwera: która kombinacja naprawdę chroni

W skrócie: Najlepszą możliwą ochronę DDoS uzyskasz dzięki Professional VDS albo Professional Dedicated Server w naszym centrum danych we Frankfurcie nad Menem w połączeniu z naszą Advanced DDoS Protection. Ruch ataku jest przy tym filtrowany w czasie rzeczywistym bezpośrednio w naszej sieci przy użyciu wyspecjalizowanych profili, z przepustowością mitygacji do 17 Tbps. Ta kombinacja jest zaprojektowana tak, aby udany atak DDoS stał się praktycznie niemożliwy.

Jeśli koniecznie potrzebujesz nielimitowanego transferu albo lokalizacji poza Niemcami, a mimo to silnej ochrony DDoS, najlepszym wyborem jest serwer z nielimitowanym transferem albo serwer Edge razem z naszą Remote DDoS Protection. Ten poradnik wyjaśnia, dlaczego tak jest i na co musisz zwrócić uwagę przy konfiguracji.

Przegląd trzech poziomów ochrony DDoS

Każdy serwer w KernelHoście ma w cenie podstawową ochronę 3,2 Tbps. Odpiera ona popularne ataki typu flood, na przykład flood UDP, TCP, SYN i ICMP, a także ataki typu reflection i amplification. Nie ma ona wyspecjalizowanych profili dla poszczególnych gier ani usług. Przeciwko celowym atakom, które podszywają się pod prawdziwy ruch gry, potrzebny jest więc jeden z dwóch wyższych poziomów:

Dlaczego serwery Professional z Advanced DDoS Protection chronią najskuteczniej

Ochrona DDoS jest tak silna jak jej najsłabsze ogniwo. W połączeniu serwera Professional i Advanced DDoS Protection współgrają cztery elementy.

Filtrowanie bezpośrednio w naszej sieci

Twój serwer stoi w naszej własnej sieci we Frankfurcie nad Menem i otrzymuje dedykowany chroniony adres IP. Ruch jest filtrowany bezpośrednio w naszej sieci i dostarczany do twojego serwera. Dzięki temu twoi gracze i użytkownicy nie odczuwają żadnego dodatkowego opóźnienia.

Wyspecjalizowane profile zamiast ogólnych reguł

Advanced DDoS Protection ma zoptymalizowane profile ochrony dla ponad 40 gier i usług, w tym Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ i TeamSpeak. Profil wie, jak wygląda prawdziwy ruch danej gry, i odrzuca pakiety, które tylko go udają. Profil, port i protokół wybierasz sam w panelu klienta, dla nieograniczonej liczby portów. Własne i zmodyfikowane gry chronisz na dowolnym porcie TCP lub UDP, podobnie jak strony WWW, SSH, RDP i usługi VPN, takie jak OpenVPN i WireGuard.

Do 17 Tbps przepustowości mitygacji i stale aktywna ochrona

Ochrona działa cały czas, a nie dopiero po wykryciu ataku. Duże ataki globalna sieć scrubbing przechwytuje blisko ich źródła, z przepustowością mitygacji do 17 Tbps w warstwach 3, 4 i 7. Twój adres IP nie jest przy tym null-routowany: odrzucane są tylko szkodliwe pakiety, a twoi użytkownicy nadal mają dostęp do serwera. Dlaczego to tak ważne, pokazuje nasz artykuł o null-routingu.

Sprzęt z zapasem mocy

Professional VDS działa na rdzeniach AMD EPYC z pamięcią DDR4 ECC, dyskami NVMe SSD w RAID i łączem 2x 1 Gbit/s, od 59,99 € miesięcznie. Professional Dedicated Server to twój własny serwer bare metal we Frankfurcie z procesorem AMD Ryzen lub Intel, od 169,99 € miesięcznie. Dzięki temu twój projekt pozostaje stabilny także pod obciążeniem, a lokalizacja we Frankfurcie zapewnia niskie opóźnienia w całej Europie.

Razem ta kombinacja jest zaprojektowana tak, aby udany atak DDoS stał się praktycznie niemożliwy. Polecamy ją każdemu projektowi, który jest celowo atakowany albo w którym każda awaria oznacza utratę graczy, klientów i przychodów.

Nielimitowany transfer lub inna lokalizacja: Remote DDoS Protection

Advanced DDoS Protection działa dla serwerów w naszej sieci we Frankfurcie. Jeśli koniecznie potrzebujesz nielimitowanego transferu albo serwera w innej lokalizacji, połącz jeden z tych serwerów z Remote DDoS Protection:

• VPS bez limitu transferu od 14,99 € miesięcznie, z transferem bez limitu danych i lokalizacjami w Europie, Ameryce Północnej, Azji i Australii.
• Serwery Edge z nielimitowanym transferem, łączem do 1 Gbit/s i wyborem do 25 lokalizacji na całym świecie.

Remote DDoS Protection działa jako filtr umieszczony przed serwerem. Otrzymujesz własny chroniony adres IP z naszej sieci filtrującej anycast. Ruch na portach, które chronisz, trafia do najbliższej lokalizacji filtrowania, jest tam oczyszczany i przekazywany do twojego serwera. Ataki filtr odpiera w czasie poniżej jednej sekundy. Prawdziwy adres IP twojego serwera pozostaje ukryty. Dzięki protokołowi PROXY v1 lub v2 twój serwer mimo to widzi prawdziwe adresy IP twoich graczy. Rozliczenie następuje za każdy chroniony port, a za ruch z ataków nigdy nie naliczamy opłat.

Ponieważ ruch przechodzi przez lokalizację filtrowania, trasa wydłuża się o dodatkowy odcinek. Dlatego wybierz lokalizację serwera blisko lokalizacji filtrowania, na przykład: Frankfurt, Amsterdam, Londyn, Paryż, Warszawa, Helsinki, Stambuł, Dubaj, Johannesburg, Singapur, Hongkong, Sydney, Chicago lub Waszyngton. Pełną listę lokalizacji filtrowania znajdziesz na stronie Remote DDoS Protection.

Jak prawidłowo skonfigurować Remote DDoS Protection

Filtr umieszczony przed serwerem chroni tylko ten ruch, który rzeczywiście przez niego przechodzi. Aby atakujący nie mogli go obejść, obowiązują trzy zasady:

1. Publikuj tylko chroniony adres IP. W rekordach DNS, na listach serwerów, na Discordzie i na swojej stronie internetowej podawaj wyłącznie chroniony adres IP. Prawdziwy adres IP twojego serwera musi pozostać tajny.
2. Uszczelnij firewall serwera. Na chronionych portach dopuszczaj tylko adresy naszych lokalizacji filtrowania. Listę oraz skrypt, który automatycznie utrzymuje ją w aktualnym stanie, znajdziesz w panelu klienta przy swojej usłudze ochrony, w sekcji „Instrukcja konfiguracji”.
3. Po konfiguracji co najmniej raz zmień IP serwera. Dotychczasowy adres IP twojego serwera jest zwykle już znany, na przykład z list serwerów, rekordów DNS albo wcześniejszych ataków. Korzystając z niego, atakujący może obejść filtr. Dlatego po konfiguracji co najmniej raz przejdź na nowy adres IP serwera i wpisz go w panelu klienta. Najprościej zamówić ochronę od razu razem z nowym serwerem.

Dla serwerów VPN: Advanced DDoS Protection

Remote DDoS Protection jest przeznaczona dla gier i aplikacji na stałych portach. Dla serwerów VPN, które potrzebują najlepszej możliwej ochrony DDoS, polecamy Advanced DDoS Protection: jest do tego zaprojektowana i chroni także OpenVPN i WireGuard. Więcej przeczytasz w naszym poradniku Jak chronić serwer VPN przed atakami DDoS.

Które rozwiązanie pasuje do twojego projektu?

• Serwery gier atakowane celowo, z graczami w Europie: Professional VDS albo Professional Dedicated Server z Advanced DDoS Protection.
• Serwery VPN o wysokich wymaganiach: Advanced DDoS Protection na serwerze we Frankfurcie.
• Projekty z bardzo dużym ruchem: VPS bez limitu transferu z Remote DDoS Protection dla portów, które są atakowane.
• Gracze w Azji, Ameryce Północnej, Afryce lub Australii: Serwer Edge blisko lokalizacji filtrowania z Remote DDoS Protection.
• Serwer u innego dostawcy: Najskuteczniej ochronisz go, przenosząc serwer do naszej sieci i korzystając z Advanced DDoS Protection. Jeśli przeprowadzka nie wchodzi w grę, Remote DDoS Protection ochroni serwer tam, gdzie stoi.
• Małe projekty bez celowych ataków: Podstawowa ochrona 3,2 Tbps w cenie często wystarcza. Rozszerzyć ją możesz w każdej chwili.

Co warto zrobić dodatkowo

• Nie wystawiaj dostępów administracyjnych, takich jak SSH, RDP, bazy danych, RCON i panele, otwarcie do internetu, tylko ogranicz je do własnych adresów IP.
• Ustaw na serwerze ograniczenie częstotliwości żądań na adres źródłowy dla portów zapytań i logowania.
• Aktualizuj system operacyjny i serwer gry, aby ataki na warstwę aplikacji nie znajdowały słabych punktów.
• W razie ataku zabezpiecz wyniki pomiarów i wyślij nam zgłoszenie z podaniem czasu, docelowego adresu IP i portu. Jak rozpoznać atak, wyjaśnia nasz artykuł Jak rozpoznać atak DDoS na serwerze.

Jak technicznie przebiega atak DDoS i dlaczego samo filtrowanie na serwerze nie wystarcza, przeczytasz w naszym artykule podstawowym Czym jest atak DDoS?

Podsumowanie

Najsilniejszą ochronę DDoS uzyskasz dzięki Professional VDS albo Professional Dedicated Server we Frankfurcie i Advanced DDoS Protection: filtrowanie bezpośrednio w naszej sieci, wyspecjalizowane profile, do 17 Tbps przepustowości mitygacji i brak dodatkowego opóźnienia. Jeśli potrzebujesz nielimitowanego transferu albo innej lokalizacji, połącz serwer z nielimitowanym transferem albo serwer Edge z Remote DDoS Protection i przestrzegaj trzech zasad: publikuj tylko chroniony adres IP, uszczelnij firewall i po konfiguracji co najmniej raz zmień IP serwera.