A melhor proteção DDoS para o seu servidor: que combinação protege realmente

Em resumo: Obtém a melhor proteção DDoS possível com um Professional VDS ou um Professional Dedicated Server no nosso datacenter em Frankfurt am Main, combinado com a nossa Advanced DDoS Protection. O tráfego de ataque é filtrado em tempo real diretamente na nossa rede, com perfis especializados e uma capacidade de mitigação de até 17 Tbps. Esta combinação foi concebida para tornar praticamente impossível um ataque DDoS bem-sucedido.

Se precisa obrigatoriamente de tráfego ilimitado ou de uma localização fora da Alemanha e quer, ainda assim, uma proteção DDoS forte, a melhor escolha é um servidor com tráfego ilimitado ou um servidor Edge em conjunto com a nossa Remote DDoS Protection. Este guia explica porquê e o que deve ter em conta na configuração.

Visão geral dos três níveis de proteção DDoS

Todos os servidores da KernelHost incluem uma proteção base de 3,2 Tbps. Esta repele os floods mais comuns, como floods UDP, TCP, SYN e ICMP, bem como ataques de reflexão e de amplificação. Não tem perfis especializados para jogos ou serviços específicos. Contra ataques direcionados que se disfarçam de tráfego de jogo real, é por isso necessário um dos dois níveis superiores:

Porque é que os servidores Professional com Advanced DDoS Protection protegem melhor

Uma proteção DDoS é tão forte quanto o seu elo mais fraco. Na combinação de um servidor Professional com a Advanced DDoS Protection, há quatro elementos que atuam em conjunto.

Filtragem diretamente na nossa rede

O seu servidor está na nossa própria rede em Frankfurt am Main e recebe um endereço IP protegido próprio. O tráfego é filtrado diretamente na nossa rede e entregue ao seu servidor. Assim, os seus jogadores e utilizadores não sofrem qualquer atraso adicional.

Perfis especializados em vez de regras genéricas

A Advanced DDoS Protection dispõe de perfis de proteção otimizados para mais de 40 jogos e serviços, entre eles Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ e TeamSpeak. Um perfil sabe como é o tráfego real de um jogo e descarta os pacotes que apenas se fazem passar por ele. Escolhe por si o perfil, a porta e o protocolo na área de cliente, para um número ilimitado de portas. Pode proteger jogos próprios e modificados em qualquer porta TCP ou UDP, tal como sites, SSH, RDP e serviços VPN como o OpenVPN e o WireGuard.

Até 17 Tbps de capacidade de mitigação, sempre ativa

A proteção está sempre ativa e não apenas depois de um ataque ter sido detetado. Os grandes ataques são intercetados pela rede global de scrubbing perto da sua origem, com uma capacidade de mitigação de até 17 Tbps nas camadas 3, 4 e 7. Não é aplicado null-routing ao seu endereço IP: só os pacotes nocivos são descartados e os seus utilizadores continuam a passar. O nosso artigo sobre null-routing explica porque é que isto é tão importante.

Hardware com reserva de desempenho

O Professional VDS funciona com núcleos AMD EPYC, memória DDR4 ECC, SSD NVMe em RAID e uma ligação de 2x 1 Gbit/s, a partir de 59,99 € por mês. O Professional Dedicated Server é um servidor bare metal exclusivo para si em Frankfurt, com processador AMD Ryzen ou Intel, a partir de 169,99 € por mês. Assim, o seu projeto mantém-se estável mesmo sob carga, e a localização em Frankfurt garante uma latência baixa em toda a Europa.

Em conjunto, esta combinação foi concebida para tornar praticamente impossível um ataque DDoS bem-sucedido. É a nossa recomendação para qualquer projeto que seja alvo de ataques direcionados ou em que cada interrupção custe jogadores, clientes e receitas.

Tráfego ilimitado ou outra localização: Remote DDoS Protection

A Advanced DDoS Protection funciona para servidores na nossa rede em Frankfurt. Se precisa obrigatoriamente de tráfego ilimitado ou de um servidor noutra localização, combine um destes servidores com a Remote DDoS Protection:

• VPS com tráfego ilimitado a partir de 14,99 € por mês, com tráfego sem limite de volume e localizações na Europa, na América do Norte, na Ásia e na Austrália.
• Servidores Edge com tráfego ilimitado, uma ligação de até 1 Gbit/s e até 25 localizações em todo o mundo.

A Remote DDoS Protection funciona como um filtro colocado à frente do seu servidor. Recebe um endereço IP protegido próprio da nossa rede de filtragem anycast. O tráfego nas portas que protege chega à localização de filtragem mais próxima, é aí limpo e encaminhado para o seu servidor. O filtro mitiga os ataques em menos de um segundo. O endereço IP real do seu servidor fica oculto. Com o protocolo PROXY v1 ou v2, o seu servidor continua, ainda assim, a ver os endereços IP reais dos seus jogadores. A faturação é feita por porta protegida, e o tráfego de ataque nunca é faturado.

Como o tráfego passa por uma localização de filtragem, o percurso ganha um troço adicional. Por isso, escolha para o seu servidor um local próximo de uma localização de filtragem, por exemplo Frankfurt, Amesterdão, Londres, Paris, Varsóvia, Helsínquia, Istambul, Dubai, Joanesburgo, Singapura, Hong Kong, Sydney, Chicago ou Washington DC. A lista completa das localizações de filtragem encontra-se na página da Remote DDoS Protection.

Como configurar corretamente a Remote DDoS Protection

Um filtro colocado à frente do servidor só protege o tráfego que passa efetivamente por ele. Para que os atacantes não o contornem, aplicam-se três regras:

1. Publicar apenas o endereço IP protegido. Nos registos DNS, nas listas de servidores, no Discord e no seu site, indique exclusivamente o IP protegido. O endereço IP real do seu servidor tem de se manter secreto.
2. Fechar a firewall do servidor. Nas portas protegidas, permita apenas os endereços das nossas localizações de filtragem. A lista e um script que a mantém atualizada automaticamente encontram-se na área de cliente, no seu serviço de proteção, na secção Guia de configuração.
3. Mudar o IP do servidor pelo menos uma vez após a configuração. O endereço IP utilizado até agora pelo seu servidor costuma já ser conhecido, por exemplo através de listas de servidores, registos DNS ou ataques anteriores. Através dele, um atacante pode contornar o filtro. Por isso, depois da configuração, mude pelo menos uma vez para um novo IP de servidor e introduza-o na área de cliente. O mais simples é encomendar a proteção logo em conjunto com um novo servidor.

Para servidores VPN: Advanced DDoS Protection

A Remote DDoS Protection destina-se a jogos e aplicações em portas fixas. Para servidores VPN que precisam da melhor proteção DDoS possível, recomendamos a Advanced DDoS Protection: foi concebida para isso e protege também o OpenVPN e o WireGuard. Saiba mais no nosso guia Proteger um servidor VPN contra ataques DDoS.

Que solução se adequa ao seu projeto?

• Servidores de jogos com ataques direcionados e jogadores na Europa: Professional VDS ou Professional Dedicated Server com Advanced DDoS Protection.
• Servidores VPN com requisitos elevados: Advanced DDoS Protection num servidor em Frankfurt.
• Projetos com muito tráfego: VPS com tráfego ilimitado e Remote DDoS Protection para as portas que são atacadas.
• Jogadores na Ásia, na América do Norte, em África ou na Austrália: servidor Edge perto de uma localização de filtragem, com Remote DDoS Protection.
• Servidor noutro fornecedor: A proteção mais forte é uma migração para a nossa rede com a Advanced DDoS Protection. Se a migração não for uma opção, a Remote DDoS Protection protege o servidor onde ele está.
• Projetos pequenos sem ataques direcionados: A proteção base incluída de 3,2 Tbps é muitas vezes suficiente. Pode fazer um upgrade a qualquer momento.

O que deve fazer adicionalmente

• Não expor abertamente à internet os acessos de administração, como SSH, RDP, bases de dados, RCON e painéis, mas sim restringi-los aos seus próprios endereços IP.
• Definir no servidor uma limitação de taxa por endereço de origem para as portas de query e de login.
• Manter o sistema operativo e o servidor de jogo atualizados, para que os ataques ao nível da aplicação não encontrem vulnerabilidades.
• Em caso de ataque, guardar os valores medidos e enviar-nos um ticket com a hora, o IP de destino e a porta. Como reconhecer um ataque, explica o nosso artigo Detetar um ataque DDoS no servidor.

Como decorre tecnicamente um ataque DDoS e porque é que a filtragem apenas no servidor não basta, explica o nosso artigo introdutório O que é um ataque DDoS?

Resumo

Obtém a proteção DDoS mais forte com um Professional VDS ou um Professional Dedicated Server em Frankfurt e a Advanced DDoS Protection: filtragem diretamente na nossa rede, perfis especializados, até 17 Tbps de capacidade de mitigação e nenhuma latência adicional. Se precisa de tráfego ilimitado ou de outra localização, combine um servidor com tráfego ilimitado ou um servidor Edge com a Remote DDoS Protection e cumpra as três regras: publicar apenas o IP protegido, fechar a firewall e mudar o IP do servidor pelo menos uma vez após a configuração.