Защита от DDoS: как она работает и что делать при атаке

Что происходит автоматически

Каждый IP-адрес защищён постоянно включённой фильтрацией на границе нашей сети. Объёмные флуд-атаки (UDP, ICMP), SYN-флуд и атаки с усилением (DNS, NTP, memcached, CLDAP, SSDP) отбрасываются ещё до того, как достигнут вашего порта. Ничего включать не нужно, и дополнительной платы за это нет.

За что отвечаете вы

Атаки на уровне приложений — HTTP-флуд, перебор паролей на странице входа, ресурсоёмкие поисковые запросы — для сетевого фильтра выглядят как обычный трафик. Защищаться от них нужно на уровне приложения:

# nginx: at most 10 requests per second per client IP, bursts of 20
limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
server {
    location / { limit_req zone=perip burst=20 nodelay; }
}

Используйте fail2ban для форм входа, активно кешируйте или поставьте перед сайтом обратный прокси либо WAF.

Во время атаки

Посмотрите, какой трафик доходит до сервера: iftop -i eno1 или nload.
Если страдают легитимные пользователи, откройте тикет и укажите атакуемый IP-адрес, время начала атаки и что вы наблюдаете.
На игровых серверах не отключайте собственную защиту приложения (ограничение частоты запросов, лимит подключений).

Мы блокируем весь трафик на адрес только в крайнем случае — когда атака угрожает другим клиентам, — и сразу сообщаем вам, если это произошло.