Как защитить VDS сервер от DDoS-атаки?

В мире виртуальных серверов DDoS-атака — это не что-то гипотетическое из страшилок админов, а реальная угроза, которая может парализовать ваш сайт, лишить вас клиентов и ударить по кошельку. Если вы арендуете виртуальный сервер (VDS) или выделенный сервер (dedic), то, скорее всего, уже задумывались о том, как обезопасить себя от таких неприятностей.

И вот здесь начинается самое интересное. Многие считают, что хороший хостинг = хорошая защита. Но правда в том, что даже надежные виртуальные серверы не дают 100% гарантии от атак. Вы сами должны позаботиться о своей безопасности.

Как распознать DDoS?

DDoS (Distributed Denial of Service) – это координированная атака с целью перегрузить ваш сервер потоком бесполезных запросов. Это как если бы в магазин набилась толпа людей, не собирающихся ничего покупать, и настоящие клиенты не смогли бы войти и приобрести ваш товар, только толпа с отсутствующей покупательской способностью состоит из максимум 50 человек, а запросов на ваш сервер может поступить до миллиона и больше.

Схема DDoS-атаки от компании-провайдера SIDATA

Есть разные методы DDoS атак:

HTTP-флуд – ботнет имитирует реальных посетителей, заваливая сервер запросами.
SYN-флуд – создаёт массу «незавершённых соединений», из-за чего сервер зависает.
ICMP-флуд (ping-атака) – забрасывает сервер ICMP-пакетами, мешая нормальному обмену данными.
UDP-флуд – хаотично спамит сервер UDP-пакетами, перегружая сеть.

Как итог? Ваш сайт лежит, пользователи нервничают, бизнес несёт убытки.

Как защититься от DDoS?

Чтобы защититься от DDoS атак нет никакого «чудо-инструмента», это всегда комплекс мер. Давайте разберёмся, что можно сделать и как не попасть в ситуацию, когда ваш сервер не отвечает на запросы.

1. Базовый уровень – Firewall

Как гооврят, «лучший бой – тот, который не состоялся». Настройка firewall — ваш первый рубеж обороны.

Оставляем открытыми только нужные порты (обычно 80, 443 для HTTP/HTTPS и SSH, но его лучше переместить на нестандартный порт).
Закрываем всё лишнее, чем не пользуемся.
Включаем защиту от флуда на уровне сетевых фильтров.

Схема защиты от DDoS по-средством Firewall — фото sidata.com.ua

В Linux для этого подойдёт iptables или nftables, а если хочется что-то по-удобнее и по-проще то CSF (ConfigServer Security & Firewall).

2. Оптимизация веб-сервера: Apache vs. Nginx

Если атака идёт по HTTP – настраиваем веб-сервер.
Apache – хорош, но под нагрузкой превращается буквально в тыкву. Nginx лучше справляется с атакующими запросами и потребляет меньше ресурсов.

Можно подключить:

rate limiting – ограничение количества запросов с одного IP.
reCAPTCHA или JavaScript challenge – помогает от простых ботов.
Cloudflare или другой CDN – фильтрует подозрительный трафик.

3. Прячем сервер от пинга (ICMP-флуд)

Атаки типа ping flood легко глушатся через настройки sysctl:

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

После этого ваш сервер перестанет «отзываться» на ICMP-запросы, а значит, станет менее заметным для ботов.

4. SYN-флуд: ограничиваем соединения

Для борьбы с SYN-флудом в Linux можно использовать SYN cookies:

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

А чтобы не допускать чрезмерного количества соединений с одного IP:

iptables -A INPUT -p tcp --syn -m limit --limit 10/s --limit-burst 20 -j ACCEPT

Это поможет отсекать подозрительную активность.

5. Fail2Ban – автоматическое блокирование атакеров

Если у вас аренда серверов на VDS с Linux операционкой, обязательно поставьте Fail2Ban. Он отслеживает логи и банит IP, которые ведут себя подозрительно.

Установка на Debian/Ubuntu:

apt install fail2ban

Конфиг для защиты SSH:

[sshd] enabled = true port = ssh filter = sshd logpath = /var/log/auth.log maxretry = 5

Fail2Ban поможет автоматически блокировать IP, замеченные в фроде.

Профилактика гораздо легче чем лечение от DDoS

Лучший способ борьбы с DDoS – не допустить атаку. Что можно сделать, чтобы не допустить атаку?

Обновлять ПО. Новые версии – меньше уязвимостей.
Использовать Cloudflare. Это не только CDN, но и мощный анти-DDoS.
Логировать трафик. Анализ логов поможет выявить подозрительную активность.
Выбрать надёжный хостинг. Хороший VDS-провайдер должен предлагать базовую защиту от атак.

DDoS – это конечно не конец света, но и недооценивать угрозу для сервера нельзя. Виртуальные серверы, как и выделенные серверы независимо от ресурсов, могут быть атакованы и парализованы в один момент, и ваша задача – быть к этому готовым, а не искать судорожно бекапы, если они еще есть и восстанавливать сервера, в то время пока ваш бизнес терпит убытки.

Главное – не паниковать, а действовать: грамотно настраивать сервер, использовать firewall, следить за логами и вовремя обновлять систему. Тогда ни один ботнет вам не страшен.