Лучшая защита от DDoS для вашего сервера: какая комбинация действительно защищает

Коротко: Наилучшую защиту от DDoS даёт Professional VDS или Professional Dedicated Server в нашем дата-центре во Франкфурте-на-Майне в сочетании с нашей Advanced DDoS Protection. Трафик атаки при этом фильтруется в реальном времени прямо в нашей сети по специализированным профилям, а ёмкость защиты составляет до 17 Тбит/с. Эта комбинация рассчитана на то, чтобы успешная DDoS-атака стала практически невозможной.

Если вам обязательно нужен безлимитный трафик или локация за пределами Германии, а защита от DDoS при этом должна оставаться сильной, лучшим выбором будет сервер с безлимитным трафиком или Edge-сервер вместе с нашей Remote DDoS Protection. В этом руководстве мы объясняем, почему это так и на что нужно обратить внимание при настройке.

Обзор трёх уровней защиты от DDoS

Каждый сервер в KernelHost уже включает базовую защиту ёмкостью 3,2 Тбит/с. Она защищает от распространённых флуд-атак, например UDP-, TCP-, SYN- и ICMP-флуда, а также от атак с отражением и усилением. Специализированных профилей для отдельных игр или сервисов у неё нет. Поэтому против целенаправленных атак, которые маскируются под настоящий игровой трафик, нужен один из двух расширенных уровней:

Почему серверы Professional с Advanced DDoS Protection защищают лучше всего

Защита от DDoS сильна ровно настолько, насколько сильно её самое слабое место. В связке сервера Professional и Advanced DDoS Protection четыре составляющие дополняют друг друга.

Фильтрация прямо в нашей сети

Ваш сервер находится в нашей собственной сети во Франкфурте-на-Майне и получает выделенный защищённый IP-адрес. Трафик фильтруется прямо в нашей сети и доставляется на ваш сервер. Поэтому для ваших игроков и пользователей не возникает дополнительной задержки.

Специализированные профили вместо общих правил

В Advanced DDoS Protection есть оптимизированные профили защиты для более чем 40 игр и сервисов, среди них Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ и TeamSpeak. Профиль знает, как выглядит настоящий трафик игры, и отбрасывает пакеты, которые лишь выдают себя за него. Профиль, порт и протокол вы выбираете сами в личном кабинете, причём для неограниченного числа портов. Кастомные и модифицированные игры вы защищаете на любом TCP- или UDP-порту, как и сайты, SSH, RDP и VPN-сервисы, например OpenVPN и WireGuard.

До 17 Тбит/с ёмкости защиты в постоянном режиме

Защита работает всегда, а не только после обнаружения атаки. Крупные атаки глобальная scrubbing-сеть перехватывает рядом с их источником, с ёмкостью защиты до 17 Тбит/с на Layer 3, 4 и 7. Null-routing для вашего IP-адреса при этом не применяется: отбрасываются только вредоносные пакеты, а ваши пользователи по-прежнему подключаются к серверу. Почему это так важно, объясняет наша статья о null-routing.

Оборудование с запасом

Professional VDS работает на ядрах AMD EPYC с оперативной памятью DDR4 ECC, NVMe-SSD в RAID и подключением 2x 1 Гбит/с, от 59,99 € в месяц. Professional Dedicated Server представляет собой ваш собственный сервер bare metal во Франкфурте с процессором AMD Ryzen или Intel, от 169,99 € в месяц. Так ваш проект остаётся стабильным и под нагрузкой, а локация во Франкфурте обеспечивает низкую задержку по всей Европе.

В совокупности эта комбинация рассчитана на то, чтобы успешная DDoS-атака стала практически невозможной. Мы рекомендуем её для любого проекта, который атакуют целенаправленно или для которого каждый простой оборачивается потерей игроков, клиентов и выручки.

Безлимитный трафик или другая локация: Remote DDoS Protection

Advanced DDoS Protection работает для серверов в нашей сети во Франкфурте. Если вам обязательно нужен безлимитный трафик или сервер в другой локации, сочетайте один из этих серверов с Remote DDoS Protection:

• VPS с безлимитным трафиком от 14,99 € в месяц, с трафиком без ограничения объёма и локациями в Европе, Северной Америке, Азии и Австралии.
• Edge-серверы с безлимитным трафиком, подключением до 1 Гбит/с и выбором до 25 локаций по всему миру.

Remote DDoS Protection работает как фильтр, стоящий перед вашим сервером. Вы получаете собственный защищённый IP-адрес из нашей сети фильтрации Anycast. Трафик на портах, которые вы защищаете, приходит в ближайшую локацию фильтрации, очищается там и передаётся на ваш сервер. Атаки фильтр отражает менее чем за секунду. Настоящий IP-адрес вашего сервера остаётся скрытым. Благодаря протоколу PROXY v1 или v2 ваш сервер всё равно видит реальные IP-адреса ваших игроков. Оплата идёт за каждый защищённый порт, а трафик атак никогда не оплачивается.

Так как трафик проходит через локацию фильтрации, к маршруту добавляется ещё один участок. Поэтому выбирайте локацию сервера рядом с локацией фильтрации, например: Франкфурт, Амстердам, Лондон, Париж, Варшава, Хельсинки, Стамбул, Дубай, Йоханнесбург, Сингапур, Гонконг, Сидней, Чикаго или Вашингтон. Полный список локаций фильтрации приведён на странице Remote DDoS Protection.

Как правильно настроить Remote DDoS Protection

Фильтр перед сервером защищает только тот трафик, который через него действительно проходит. Чтобы атакующие не могли его обойти, действуют три правила:

1. Публикуйте только защищённый IP-адрес. В DNS-записях, списках серверов, в Discord и на своём сайте указывайте исключительно защищённый IP. Настоящий IP-адрес вашего сервера должен оставаться в секрете.
2. Закройте сервер файрволом. На защищённых портах разрешите только адреса наших локаций фильтрации. Список и скрипт, который автоматически поддерживает его в актуальном состоянии, вы найдёте в личном кабинете на странице своей услуги защиты, в разделе «Инструкция по настройке».
3. После настройки смените IP сервера хотя бы один раз. Прежний IP-адрес вашего сервера обычно уже известен, например из списков серверов, DNS-записей или прошлых атак. Используя его, атакующий может обойти фильтр. Поэтому после настройки хотя бы один раз перейдите на новый IP сервера и укажите его в личном кабинете. Проще всего сразу заказать защиту вместе с новым сервером.

Для VPN-серверов: Advanced DDoS Protection

Remote DDoS Protection предназначена для игр и приложений на фиксированных портах. Для VPN-серверов, которым нужна максимально сильная защита от DDoS, мы рекомендуем Advanced DDoS Protection: она рассчитана на такие задачи и защищает в том числе OpenVPN и WireGuard. Подробнее читайте в нашем руководстве Как защитить VPN-сервер от DDoS-атак.

Какое решение подходит вашему проекту?

• Игровые серверы под целенаправленными атаками и с игроками в Европе: Professional VDS или Professional Dedicated Server с Advanced DDoS Protection.
• VPN-серверы с высокими требованиями: Advanced DDoS Protection на сервере во Франкфурте.
• Проекты с очень большим трафиком: VPS с безлимитным трафиком и Remote DDoS Protection для портов, которые атакуют.
• Игроки в Азии, Северной Америке, Африке или Австралии: Edge-сервер рядом с локацией фильтрации и Remote DDoS Protection.
• Сервер у другого провайдера: Сильнее всего вы защитите его, если перенесёте в нашу сеть и подключите Advanced DDoS Protection. Если переезд не вариант, Remote DDoS Protection защитит сервер там, где он находится.
• Небольшие проекты без целенаправленных атак: Часто достаточно включённой базовой защиты на 3,2 Тбит/с. Расширить защиту можно в любой момент.

Что стоит сделать дополнительно

• Не открывать административные доступы, такие как SSH, RDP, базы данных, RCON и панели, для всего интернета, а ограничить их своими IP-адресами.
• Настроить на сервере ограничение интенсивности по адресу отправителя для портов запросов и входа.
• Поддерживать операционную систему и игровой сервер в актуальном состоянии, чтобы атаки на уровне приложений не находили уязвимостей.
• При атаке сохранить результаты измерений и отправить нам тикет с указанием времени, целевого IP и порта. Как распознать атаку, объясняет наша статья Как определить DDoS-атаку на сервере.

Как DDoS-атака устроена технически и почему одной фильтрации на сервере недостаточно, читайте в нашей базовой статье Что такое DDoS-атака?

Итог

Самую сильную защиту от DDoS вы получите с Professional VDS или Professional Dedicated Server во Франкфурте и Advanced DDoS Protection: фильтрация прямо в нашей сети, специализированные профили, до 17 Тбит/с ёмкости защиты и никакой дополнительной задержки. Если вам нужен безлимитный трафик или другая локация, сочетайте сервер с безлимитным трафиком или Edge-сервер с Remote DDoS Protection и соблюдайте три правила: публиковать только защищённый IP, закрыть сервер файрволом и после настройки хотя бы один раз сменить IP сервера.