您服务器的最佳 DDoS 防护：哪种组合真正有效

简而言之：想获得最佳的 DDoS 防护，请选择我们法兰克福数据中心的 Professional VDS 或 Professional Dedicated Server，并搭配我们的 Advanced DDoS Protection。攻击流量会直接在我们的网络中借助专门的防护策略实时过滤，清洗能力最高可达 17 Tbps。这一组合的设计目标，就是让 DDoS 攻击实际上无法得逞。

如果您必须使用无限流量，或者需要德国以外的机房，同时仍希望获得强大的 DDoS 防护，那么无限流量服务器或 Edge 服务器搭配我们的 Remote DDoS Protection 是最佳选择。本指南将说明其中的原因，以及设置时需要注意哪些事项。

DDoS 防护的三个级别一览

KernelHost 的每台服务器都标配 3.2 Tbps 的基础防护。它能抵御常见的洪水攻击，例如 UDP、TCP、SYN 和 ICMP 洪水攻击，以及反射攻击和放大攻击。但它没有针对单个游戏或服务的专门防护策略。因此，面对伪装成真实游戏流量的针对性攻击，就需要以下两个升级级别之一：

为什么 Professional 服务器搭配 Advanced DDoS Protection 防护最强

DDoS 防护的强度取决于它最薄弱的环节。在 Professional 服务器与 Advanced DDoS Protection 的组合中，有四个方面相互配合。

直接在我们的网络中过滤

您的服务器位于我们在法兰克福的自有网络中，并获得一个专属的受保护 IP 地址。流量直接在我们的网络中完成过滤，并送达您的服务器。因此，对您的玩家和用户来说不会产生任何额外延迟。

专门的防护策略，而非笼统的规则

Advanced DDoS Protection 为 40 多款游戏和服务提供经过优化的防护策略，其中包括 Minecraft、FiveM、Rust、Counter-Strike 2、ARK、DayZ 和 TeamSpeak。防护策略知道一款游戏的真实流量是什么样子，并丢弃那些只是伪装成这种流量的数据包。防护策略、端口和协议都由您在客户中心里自行选择，端口数量不限。您自己开发的游戏和修改过的游戏可以在任意 TCP 或 UDP 端口上获得保护，网站、SSH、RDP 以及 OpenVPN 和 WireGuard 等 VPN 服务同样如此。

最高 17 Tbps 清洗能力，持续生效

防护始终在运行，而不是等识别出攻击之后才启动。大规模攻击会被全球清洗网络在靠近其来源的地方拦截，在第 3、4 和 7 层上的清洗能力最高可达 17 Tbps。您的 IP 地址不会因此被黑洞路由：被丢弃的只有恶意数据包，您的用户仍然可以正常访问。为什么这一点如此重要，请参阅我们关于黑洞路由的文章。

留有余量的硬件

Professional VDS 采用 AMD EPYC 核心、DDR4 ECC 内存、RAID 阵列中的 NVMe SSD，以及 2x 1 Gbit/s 的接入，每月 59.99 欧元起。Professional Dedicated Server 是一台位于法兰克福的独享裸金属服务器，配备 AMD Ryzen 或 Intel 处理器，每月 169.99 € 起。这样，您的项目在高负载下也能保持稳定，而法兰克福这一位置则保证了整个欧洲的低延迟。

综合起来，这一组合的设计目标，就是让 DDoS 攻击实际上无法得逞。对于每一个遭受针对性攻击的项目，或者任何一次中断都会让您损失玩家、客户和收入的项目，这都是我们推荐的方案。

无限流量或其他机房：Remote DDoS Protection

Advanced DDoS Protection 适用于我们法兰克福网络中的服务器。如果您必须使用无限流量，或者需要位于其他机房的服务器，请将以下服务器之一与 Remote DDoS Protection 搭配使用：

• 无限流量 VPS，每月 14.99 € 起，流量不设总量上限，机房位于欧洲、北美、亚洲和澳大利亚。
• Edge 服务器，无限流量，接入带宽最高 1 Gbit/s，全球最多 25 个机房。

Remote DDoS Protection 作为前置过滤器工作。您会从我们的 Anycast 过滤网络中获得一个专属的受保护 IP 地址。您所保护端口上的流量会先到达最近的过滤机房，在那里完成清洗，然后转发到您的服务器。前置过滤器能在不到一秒内抵御攻击。您服务器的真实 IP 地址始终保持隐藏。借助 PROXY 协议 v1 或 v2，您的服务器仍然能看到玩家的真实 IP 地址。计费按每个受保护端口进行，攻击流量永远不计费。

由于流量要经过一个过滤机房，路径上会多出一段。因此，请选择靠近某个过滤机房的服务器位置，例如法兰克福、阿姆斯特丹、伦敦、巴黎、华沙、赫尔辛基、伊斯坦布尔、迪拜、约翰内斯堡、新加坡、香港、悉尼、芝加哥或华盛顿特区。过滤机房的完整列表请见 Remote DDoS Protection 页面。

如何正确设置 Remote DDoS Protection

前置过滤器只能保护真正经过它的流量。为了不让攻击者绕过它，需要遵守三条规则：

1. 只公开受保护的 IP 地址。在 DNS 记录、服务器列表、Discord 以及您的网站上，只填写受保护的 IP。您服务器的真实 IP 地址必须保密。
2. 收紧服务器防火墙。在受保护的端口上，只放行我们过滤机房的地址。地址列表以及一个能自动保持列表更新的脚本，可在客户中心您的防护服务下的“设置指南”部分找到。
3. 设置完成后，至少更换一次服务器 IP。您服务器原来的 IP 地址通常早已为人所知，例如来自服务器列表、DNS 记录或以往的攻击。攻击者可以利用它绕过过滤。因此，请在设置完成后至少更换一次服务器 IP，并在客户中心里填入新的 IP。最简单的做法是直接把防护与一台新服务器一起订购。

适用于 VPN 服务器：Advanced DDoS Protection

Remote DDoS Protection 面向的是固定端口上的游戏和应用。对于需要最佳 DDoS 防护的 VPN 服务器，我们推荐 Advanced DDoS Protection：它正是为此设计的，也能保护 OpenVPN 和 WireGuard。更多内容请阅读我们的指南保护 VPN 服务器免受 DDoS 攻击。

哪种方案适合您的项目？

• 遭受针对性攻击、玩家在欧洲的游戏服务器：Professional VDS 或 Professional Dedicated Server，搭配 Advanced DDoS Protection。
• 要求较高的 VPN 服务器：在法兰克福的服务器上使用 Advanced DDoS Protection。
• 流量非常大的项目：无限流量 VPS，并为受到攻击的端口配置 Remote DDoS Protection。
• 玩家在亚洲、北美、非洲或澳大利亚：靠近过滤机房的 Edge 服务器，搭配 Remote DDoS Protection。
• 位于其他主机商的服务器：防护最强的做法，是迁移到我们的网络并使用 Advanced DDoS Protection。如果无法迁移，Remote DDoS Protection 也能在服务器原地为其提供保护。
• 没有遭受针对性攻击的小型项目：标配的 3.2 Tbps 基础防护通常就已足够。您可以随时升级。

您还应该做的事

• 不要把 SSH、RDP、数据库、RCON 和面板等管理入口直接暴露在互联网上，而应限制为只允许您自己的 IP 地址访问。
• 在服务器上为查询端口和登录端口设置按源地址的速率限制。
• 保持操作系统和游戏服务器为最新版本，让应用层攻击找不到可利用的漏洞。
• 遭到攻击时，请保存测量值，并给我们提交一个工单，写明时间点、目标 IP 和端口。如何识别一次攻击，请参阅我们的文章在服务器上识别 DDoS 攻击。

一次 DDoS 攻击在技术上如何进行，以及为什么仅靠服务器上的过滤是不够的，请阅读我们的基础文章什么是 DDoS 攻击？

总结

最强的 DDoS 防护，来自法兰克福的 Professional VDS 或 Professional Dedicated Server 与 Advanced DDoS Protection 的组合：直接在我们的网络中过滤、专门的防护策略、最高 17 Tbps 的清洗能力，而且没有额外延迟。如果您需要无限流量或其他机房，请把无限流量服务器或 Edge 服务器与 Remote DDoS Protection 搭配使用，并遵守三条规则：只公开受保护的 IP、收紧防火墙、设置完成后至少更换一次服务器 IP。