AntiDDoS на Hetzner

В наше время масштабные DDoS-атаки — один из самых частых способов оказать негативное воздействие на сайт или целую инфраструктуру. Злоумышленник отправляет тысячи или миллионы фейковых запросов, перегружая канал и ресурсы сервера. В результате реальные пользователи не могут открыть сайт или сталкиваются с постоянными проблемами в подключении.

Мы предоставляем услуги от Hetzner (выделенные серверы, аукционные серверы, Cloud VPS). Для каждой из этих услуг по умолчанию предоставляется защита от DDoS (входит в стоимость). Она автоматически отслеживает подозрительный трафик, блокирует атаки и защищает сайты и серверы от перегрузки — и всё это бесплатно для наших клиентов.

Что такое DDoS-атака

DDoS (Distributed Denial of Service) — это распределённая атака на отказ в обслуживании.

На ваш сервис идёт множество запросов не от одного компьютера, а от целых сетей заражённых серверов и других устройств (ботнетов).
Сеть и мощности сервера оказываются заняты мусорным трафиком.
При таком сценарии запросы реальных пользователей обрабатываются с огромными задержками либо вообще не доходят до сервера.

Цель атакующего проста — сделать ваш сайт или сервис недоступным.

Как работает DDoS-защита от Hetzner

Anti-DDoS-система размещена в сети дата-центров и реализована на профессиональном оборудовании Arbor и Juniper. Анализ трафика происходит непрерывно.

Передача данных в нормальном режиме

В обычной ситуации трафик от пользователей напрямую проходит через сетевое оборудование к вашим серверам. Все запросы обрабатываются как обычно, без дополнительной фильтрации и задержек.

Схема передачи чистого трафика в нормальном режиме — Зелёные стрелки между интернетом, маршрутизатором и серверами — чистый трафик.

Передача данных во время атаки

Когда система фиксирует аномалию (скачок объёма трафика, числа пакетов, подозрительные шаблоны запросов), включается механизм защиты:

Весь входящий трафик перенаправляется через фильтрующие узлы (scrubbing-центры).
Мусорный трафик вылавливается и отбрасывается.
До сервера доходят только легитимные запросы реальных пользователей.

Схема фильтрации трафика во время DDoS-атаки — Часть трафика отмечена красным и уходит на щит Anti-DDoS, зелёный трафик продолжает работу с сервером.

Этапы и методы фильтрации

Автоматическое определение типа атаки

Система реагирует не только на голые числа (объём и количество пакетов), но и на характер самого трафика. Например:

мощный UDP-поток в сотни тысяч пакетов в секунду зачастую безопасен для хорошо настроенного сервера
а такой же поток SYN-пакетов способен привести к отказу в обслуживании

Anti-DDoS-система различает подобные сценарии и по-разному на них реагирует, выбирая подходящий тип фильтрации.

Отсечение известных шаблонов атак

Часть атак имеет хорошо изученные паттерны. Для них используются заранее настроенные фильтры и система очистки трафика. Система эффективно справляется, в частности, со следующими видами атак:

DNS-reflection
NTP-reflection
UDP-флуды на порту 80/UDP

Такие потоки отлавливаются и блокируются ещё до того, как дойдут до сервера.

Challenge-response и динамические фильтры

На завершающем уровне включаются более «тонкие» механизмы защиты:

фильтрация SYN-флудов и DNS-флудов
отсечение некорректных и явно фейковых пакетов
гибкая реакция на нестандартные атаки

Система поддерживает высокий уровень автоматизации: каждый новый инцидент анализируется, а набор фильтров и правил постоянно дорабатывается и дополняется специалистами Hetzner.

Как это отражается на клиентах

Защита включена по умолчанию. Никаких скрытых платежей и доплат — Anti-DDoS уже входит в наши тарифы от Hetzner (выделенные серверы, аукционные серверы и Cloud VPS).
Постоянный мониторинг. Трафик анализируется круглосуточно. По мере накопления статистики система всё лучше распознаёт атаки.
Минимальное влияние на легальный трафик. В нормальном режиме трафик идёт напрямую. Во время атак фильтруется только вредоносная часть потока, поэтому обычные пользователи часто даже не замечают, что в этот момент идёт атака.
Защита не только сайтов. Под защитой оказываются веб-приложения, API, игровые и корпоративные серверы, а также любая другая инфраструктура.

Источник: https://www.hetzner.com/unternehmen/ddos-schutz

Выделенные серверы Hetzner: https://spacecore.pro/dedicated-servers/

Аукционные серверы Hetzner (бесплатная установка): https://spacecore.pro/dedicated-servers-no-install/

Hetzner Cloud VPS: https://spacecore.pro/hetzner-cloud/