Защита от DDoS: уровни, методы и точки фильтрации

Уровни атаки: L3, L4 и L7

Защита начинается с понимания того, что именно забивают. Атаки нижних уровней заливают канал объёмом пакетов и отражаются на границе сети, до вашего сервера. Атаки прикладного уровня выглядят как обычные запросы к сайту: их немного по трафику, но каждый заставляет движок обращаться к базе, и сервер ложится при скромной полосе. Фильтры для этих случаев разные, и тариф, закрывающий одно, может ничего не делать со вторым.

• методы и уровни фильтрации — разбор, что отсекается на каком рубеже;
• защита на уровне приложения с разбором запросов, а не только пакетов.

Где стоит фильтр

Точка фильтрации важнее громких цифр в рекламе. Если очистка стоит у провайдера на границе, мусор не доходит до вашего канала. Если она включена в тариф хостинга, работает то, что настроил провайдер, и менять правила вы обычно не можете. Внешняя услуга ставится перед сайтом через смену DNS и подходит, когда хостинг менять не хочется. В разделе {n} {nw} с разными схемами подключения.

• хостинг с защитой в тарифе — фильтр включён и не требует настройки;
• защита сети целиком, когда закрывать надо не один сайт, а всю подсеть;
• фильтрация как отдельная услуга перед вашим текущим сервером;
• базовая защита без доплаты — обычно закрывает шумовой поток, но не целевую атаку.

Что настраивается на своей стороне

Даже с внешней очисткой часть работы остаётся на сервере: лимиты на число соединений с адреса, ограничение частоты запросов к тяжёлым страницам, кеш ответов и отсечение мусорных User-Agent. Это не заменяет фильтр на границе, но снимает нагрузку от слабого потока и не даёт положить сайт одним скриптом.

• настройка защиты по шагам — с чего начинать на своём сервере;
• правила на стороне Nginx: лимиты соединений и частоты запросов;
• фильтрация на Mikrotik, когда рубеж обороны стоит на пограничном роутере.

Типовые сценарии

Требования меняются от того, что защищают. Обычному сайту хватает фильтра перед веб-сервером и разбора запросов на прикладном уровне. Игровому серверу нужна очистка UDP без заметной прибавки к задержке — иначе защита сама испортит отклик сильнее атаки. Крупный провайдер обычно описывает свою схему отдельно, и её удобно разбирать на конкретном примере.

• защита сайта — самый частый запрос и самый простой в подключении;
• защита игрового сервера Minecraft, где важна задержка, а не только полоса;
• схема защиты у Timeweb как пример реализации на стороне провайдера.

На что смотреть в описании тарифа

Полезных строк в спецификации немного: ёмкость фильтрующей сети, поддерживаемые протоколы, наличие разбора HTTPS и то, как включается защита — постоянно или по сигналу об атаке. Отдельно уточняйте, что происходит при превышении заявленной полосы: одни провайдеры продолжают фильтровать, другие отключают адрес до конца атаки, и это меняет смысл всей услуги.