Защита от DDoS своими силами: что настроить на сервере и у провайдера до подключения платной защиты

Защита от DDoS своими силами – не магия, а строгое следование техническим и организационным шагам. Пока вы не обратились за платной защитой, многое можно сделать самостоятельно на стороне сервера и у своего провайдера. Да, до серьезной DDoS сложно быть по-настоящему готовым, но уж с первыми «волнами» логов, бешено мигающими индикаторами трафика и гневными письмами от пользователей вы справитесь куда увереннее, если подготовиться заранее. Сегодня расскажу, как своими руками усилить устойчивость вашего ресурса, с какими подводными камнями вы столкнётесь, и как в реальности действовать, когда началась «буря из пакетов».

Почему от DDoS не застрахован никто

В моей практике бывали случаи, когда маленький сайт по продаже рыболовных снастей «кладут» просто так, ради развлечения. Не важно — интернет-магазин, b2b-портал или корпоративный сайт: если вас нашли, значит к вам придут с «подарками» — большим количеством вредных запросов. DDoS-атаки — это как плохая погода: не спрашивает, готов ли ты.

Первая и главная ошибка: считать себя невидимым

«У нас нет DDoS-атак, не страшно». А потом — паника: «Все пропало! Кто звонит — клиентов не обслужить, платежи не проходят…» Помнить: нет атак — не значит, что вы защищены. Часто их даже не замечают, списывая на «глюки» или аномалии в работе сервиса.

Пять шагов к самостоятельной защите от DDoS

Не все сразу «увидят свет», поэтому разложу процесс по полочкам. Если платная DDoS-защита пока не ваш вариант — попробуйте вот этот пошаговый маршрут. Его я внедрял у клиентов ещё на заре массовых атак.

1. Инвентаризация и профиль трафика

• Пропишите список всех открытых IP-адресов, доменов, доступных из вне API, DNS-сервисов.
• Разделите их на критичные и некритичные.
• Зафиксируйте нормальный трафик: сколько соединений, пик запросов, рабочие часы.

Зачем? Без профиля нормального трафика вы не поймёте, что происходит, когда начинается атака.

2. Минимизация поверхности атаки

• Закройте все ненужные порты и протоколы (SSH, SQL — только по VPN или из “белого списка”).
• Ограничьте административные входы. По опыту: keep management отдельно, иначе при атаке вы не войдете вообще никуда.
• Настройте межсетевые экраны, защиту от SYN-flood, фильтрацию “странных” пакетов, лимит новых/одновременных соединений.

3. Лимитируйте приложения и API

• Поставьте лимиты на запросы (rate limiting), ограничьте одновременные соединения.
• Настройте тайм-ауты, размер запросов.
• Для ресурсоёмких функций заведите отдельные лимиты.
• При превышении отдаём ошибку 429 — «Слишком много запросов», сервис остается «жив» для остальных.

Большая ошибка: брать лимиты «из головы». Не поленитесь проверить на росте нагрузки — иначе потом ваши лимиты “вырубят” всех клиентов только потому, что акция в магазине!

4. Постройте систему мониторинга и реагирования

• Включите алерты по загрузке канала, росту количества соединений, ошибок в логах.
• Назначьте ответственных за подготовку и действия по тревоге: кто, кому, когда звонит, что перекрывает и т.д.
• Документируйте сценарии, чтобы утром не вспоминать в панике, что делать.

Один случай был показательный: ночью инженера не разбудили по тревоге — никто не знал, где его номер. Сайт у клиента лежал до утра…

5. Согласуйте экстренные меры с провайдером

• Уточните скорость канала, поддерживает ли ваш оператор ACL, BGP FlowSpec или blackhole.
• Проверьте, как быстро реагирует поддержка, что и как отправлять для экстренной блокировки (какой формат заявки, куда слать).
• Заранее договоритесь, чтобы при ЧП не оказалось, что нужное действие займет сутки. Провайдера это не волнует, пока вы не скажете чётко!

Детали для “технарей”: где правильно закрутить гайки

На сервере (Linux, Windows — суть та же)

• Параметры TCP: очереди backlog, лимиты соединений, увеличение тайм-аутов.
• Аварийная защита “SYN cookies” используется только как “запаска” в экстренном сценарии. Постоянную демонстрацию — это звоночек, что вы не настроили очередь соединений и лимиты!
• Не ленитесь включать статистику — если сервер сбрасывает легитимный трафик не вовремя, найдите и донастройте лимиты.

Веб-серверы и обратные прокси

• Ограничение числа соединений, частоты, размеров заголовков и тела запроса.
• Тайм-ауты чтения, idle-сессий, keep-alive.
• Ошибки 429 или 503 уже лучше, чем полный “обвал”.
• Отдельные лимиты для тяжёлых операций (пример — экспорт большого отчёта).

Пример из жизни: после установки строгого тайм-аута часть пользователей отвалились именно при экспорте, а не во время атаки.

Firewall, балансировщики

• Ваша цель — выдерживать не только пропускную способность, но и наплыв пакетов (pps) и запросов на соединения (cps).
• Проверьте: фильтрация некорректных, фрагментированных пакетов, отсев “мусорных” протоколов (нередко UDP, ICMP — но делать это аккуратно!).
• Логируйте — но с умом, поток событий может положить такую железку сам.

DNS и другие важные сервисы

• Авторитетные DNS обязательно защитите с помощью Response Rate Limiting (RRL), настройте DNS Cookies — отличать клиентов от “шумных” запросов намного легче.
• Не включайте открытую рекурсию, используйте несколько параллельных серверов.
• Скрывайте прямые адреса серверов, чтобы никто не обошёл балансировщик.

Особенности IPv6 – не слизывайте настройки с IPv4

• Не повторяйте просто правила IPv4! В IPv6 вас ждёт NDP (Neighbor Discovery Protocol) — тут есть свои лимиты, иначе канал “лопнет” от лишней нагрузки.
• Тестируйте каждую опцию, включая фильтрацию для неиспользуемых адресов.

Возможности провайдера – что реально получить “на халяву”

• Многие хостинг- или интернет-провайдеры предоставляют базовую защиту — фильтрацию по портам, адресам, снижение полосы, групповые ACL.
• Спросите: включено ли это в тариф и как работает? Кто решает, что “чистить”, а что “резать”?
• Важно: у некоторых только блокировка IP — тогда страдает вся подсеть (или “выносятся” легитимные пользователи).

Однажды столкнулся с тем, что blackhole сделали сразу по /24, когда у клиента DDoSили только один IP. В результате — полдня весь офис “отдыхал” от интернета.

Подходите к выбору лимитов и сценариев с умом

• Нет универсальных “правильных” лимитов! Каждая система имеет свои пики (рассылки, акции, рассвет понедельника).
• Профайл нагрузку, делайте тесты “на грозе” — только так найдете баланс между защитой и удобством для клиентов.
• Повесьте несколько уровней: мягкое уведомление, автоматическое ограничение, строгое аварийное “усекновение” трафика.

Многие игнорируют простое правило — баланс между “пережить атаку” и “не выгнать своих же”. В одном проекте выставленный лимит оказался ниже штатного пика — итоги: вся база пользователей вечно жаловалась, что “что-то не так с сервисом”.

Распространённые ошибки на войне с DDoS

• Доверять одной мегаразрешающей настройке/правилу.
• Выставлять лимиты, не глядя на реальный трафик.
• Банить IP-шники “пачками” — за NAT-ами и прокси скрывается легальный трафик.
• Рубить по “широким маскам” — вы можете «убить» DNS, VPN, сами себе подпортить жизнь (полный запрет UDP/ICMP).
• Реально верить, что “я всё закрою локально”. Если канал “на сапогах” — не поможет ни firewall, ни os-level настройки.

Рынок и ваш бизнес: тактика малых шагов важна

То, что вы сделали сами — никогда не лишнее. Уже эти базовые меры не только повысят устойчивость, но и дадут “фору” вашей команде подготовиться и согласовать действия. На рынке сейчас масса решений — используйте свой опыт, не повторяйте чужих грубых промахов. Я за свой десяток лет видел компании, которые выстояли только потому, что были готовы к худшему заранее. И наоборот — тех, кто попал на крупные убытки из-за “перестрахуемся попозже”.

Вывод: самостоятельная защита от DDoS — первая линия в комплексной обороне

Защита от DDoS своими силами — это не панацея, а необходимый базовый слой. Она не заменит профессиональные сервисы фильтрации, но даст вашему бизнесу дополнительное время и инструменты справиться с проблемой. Готовьте серверы, договаривайтесь с провайдерами, проводите учения — это окупится в самый неожиданный момент. Не забывайте: невозможного нет — есть неправильные сценарии подготовки.

Нужна помощь с IT-вопросами? Оставьте заявку, и наши специалисты свяжутся с вами в течение 15 минут — разберем вашу задачу и предложим решение. Получить консультацию бесплатно