Anti-DDoS-Schutz verstehen und die Auswirkungen eines Angriffs begrenzen

Ein Distributed-Denial-of-Service-Angriff (DDoS) zielt darauf ab, einen Dienst unzugänglich zu machen, indem er mit Datenverkehr überflutet wird. Spielserver, Shops und Community-Websites sind häufige Ziele solcher Angriffe, manchmal bereits für wenige Euro, die von einem Konkurrenten oder einem gesperrten Spieler gezahlt werden. In diesem Leitfaden erfahren Sie, wie der in unseren Diensten integrierte Schutz funktioniert und was Sie selbst tun können.

1. Die drei Angriffsarten

Volumenangriffe sind zwar am spektakulärsten, aber auch am leichtesten zu erkennen. Anwendungsangriffe verlaufen unauffälliger: Jede Anfrage sieht aus wie die eines gewöhnlichen Besuchers.

2. Wie funktioniert unser Schutz?

Der Anti-DDoS-Schutz stützt sich auf die Infrastruktur von GCore mit einer Kapazität von 200 Tbit/s und funktioniert in drei Stufen, die standardmäßig bei jedem Dienst aktiviert sind:

• Volumenabsorption : Der Angriffsverkehr wird im Netzwerk abgefangen und gefiltert, bevor er Ihren Server erreicht.
• Protokollfilterung : Anormale TCP- und UDP-Sitzungen werden aussortiert, SYN-Floods neutralisiert und Verstärkungsangriffe bereits im Vorfeld blockiert.
• Anwendungsprüfung : Beim Webverkehr werden verdächtige Anfragen einer Überprüfung unterzogen, um Bots von echten Besuchern zu unterscheiden.

Die Erkennung und Anwendung der Filter erfolgt automatisch: Sie müssen nichts aktivieren, und der legitime Datenverkehr wird während des Angriffs weiterhin durchgelassen. Sie müssen keinerlei Konfigurationen vornehmen, um von diesem Netzwerkschutz zu profitieren.

3. Was ein Netzwerkschutz nicht leisten kann

Lassen Sie uns die Grenzen klarstellen, damit Sie diese ausgleichen können:

• Dies behebt das Problem einer langsamen Anwendung nicht. Wenn das Laden einer Seite Ihrer Website zwei Sekunden dauert, reichen schon wenige – selbst berechtigte – Anfragen aus, um den Server zu überlasten. Der Cache ist Ihr bester Schutz: siehe PHP-FPM und den Nginx-Cache optimieren.
• Sie ersetzt nicht die Serversicherheit. Ein Brute-Force-Angriff auf SSH oder ein Anmeldeformular ist kein DDoS: Dies ist die Aufgabe von Sicheres SSH und von Fail2ban.
• Sie schützt nur die Adresse, die sie abdeckt. Sollte Ihre Anwendung von einem anderweitig gehosteten Dienst abhängig sein, wie beispielsweise einer externen Datenbank oder einer API, bleibt dieser Dienst weiterhin anfällig.

4. Missbrauch auf der Nginx-Seite einschränken

Um Missbrauch durch Anwendungen zu verhindern, begrenzen Sie die Anzahl der Anfragen und Verbindungen pro Adresse. Definieren Sie die Zonen im Block http, zum Beispiel in /etc/nginx/conf.d/limites.conf :

limit_req_zone  $binary_remote_addr zone=pages:10m rate=10r/s;
limit_req_zone  $binary_remote_addr zone=login:10m rate=5r/m;
limit_conn_zone $binary_remote_addr zone=conn:10m;
limit_req_status 429;

Fügen Sie diese anschließend in den Block ein server von der Website:

limit_conn conn 20;
location / {
    limit_req zone=pages burst=20 nodelay;
    try_files $uri $uri/ /index.php?$args;
}
location = /wp-login.php {
    limit_req zone=login burst=3 nodelay;
    include snippets/fastcgi-php.conf;
    fastcgi_pass unix:/run/php/php8.3-fpm.sock;
}

Jede Adresse darf 10 Anfragen pro Sekunde mit einer Reserve von 20 sowie 5 Verbindungsversuche pro Minute durchführen. Passen Sie diese Werte an Ihr tatsächliches Datenaufkommen an: Sind sie zu streng, behindern sie Besucher, die sich hinter derselben Adresse befinden, wie beispielsweise in einem Unternehmens- oder Schulnetzwerk. Überschreitungen werden protokolliert, und die Sperre nginx-limit-req Fail2ban kann Wiederholungstäter sperren.

5. Geben Sie die Absenderadresse nicht preis

Wenn Ihre Website über einen Proxy wie Cloudflare läuft, verliert dieser seinen Nutzen, sobald die tatsächliche Serveradresse bekannt ist: Der Angreifer zielt dann direkt auf den VPS ab. Diese Adresse wird häufig über eine ungeschützte Subdomain, die Kopfzeilen der vom Server versendeten E-Mails oder den DNS-Verlauf preisgegeben. Siehe Cloudflare vor einem VPS. Der Netzwerkschutz unserer VPS hingegen verbirgt die ursprüngliche Adresse in jedem Fall.

6. Der Fall der Spielserver

Spielserver nutzen vor allem UDP, das von Web-Proxys nicht weitergeleitet wird: Die gesamte Arbeit übernimmt hier der Netzwerkschutz. Einige bewährte Vorgehensweisen tragen dazu bei, dessen Wirksamkeit zu erhöhen:

• Öffnen Sie nur die Ports, die vom Spiel tatsächlich genutzt werden, und geben Sie dabei das Protokoll an: siehe UFW konfigurieren.
• Weisen Sie die Verwaltungskonsolen (RCON, txAdmin) Ihrer IP-Adresse oder einer WireGuard-VPN.
• Veröffentlichen Sie die reine IP-Adresse des Servers nicht in Ihrem Discord, wenn Sie stattdessen einen Domainnamen verwenden können.

Wenn Sie einen schlüsselfertigen, bereits gesicherten und optimierten Spielserver suchen, sehen Sie sich bitte unsere FiveM-Server.

7. Während eines Anfalls

Sollte Ihr Dienst langsamer werden oder nicht mehr erreichbar sein, sollten Sie zunächst zwischen einem Angriff und einem Ressourcenproblem unterscheiden:

uptime                              # charge du processeur
ss -s                               # nombre de connexions ouvertes
ss -tn state established | awk 'NR>1 {sub(/:[0-9]+$/, "", $4); print $4}' | sort | uniq -c | sort -rn | head   # connexions par adresse distante
tail -n 200 /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head   # adresses les plus actives

• Eine Handvoll Adressen, auf die sich die Anfragen konzentrieren: Dies stellt einen Missbrauch der Anwendung dar; blockieren Sie diese oder verschärfen Sie die Nginx-Beschränkungen.
• Der Server läuft ruhig, ist jedoch nicht erreichbar: Das Problem liegt auf der vorgelagerten Ebene. Wenden Sie sich bitte an den Support und geben Sie dabei den Zeitpunkt des Auftretens, den betroffenen Dienst sowie die betreffende IP-Adresse an.
• Der Prozessor oder der Speicher sind ausgelastet, ohne dass ungewöhnlicher Datenverkehr vorliegt: Es handelt sich nicht um einen Angriff, siehe Ihren VPS überwachen.

Häufig gestellte Fragen