РЕШЕНИЕ://ЗАЩИТА_ДДОС

Защита от DDoS

HTTP-флуды фильтрует Shield-узел. Объёмные атаки на канал гасит сеть датацентра: это отдельный слой и отдельная опция.

Три уровня.

Прикладной уровень

HTTP-флуды фильтрует сам узел: лимит запросов с одного IP, правила WAF, отсечение по IP, стране и пути. Медленные заголовки в стиле Slowloris узел закрывает через 10 секунд на HTTP/1.1 и через 30 секунд на HTTP/2. От объёмных атак это не защищает.

›HTTP flood
›Лимит запросов с IP
›Правила IP / GEO / путь
›Медленные соединения: 10 с (HTTP/1.1), 30 с (HTTP/2)

L3/L4 · ОПЦИЯ

Объёмные атаки на канал

Объёмный поток забивает канал раньше, чем пакеты доходят до сервера, поэтому на самом сервере его не остановить. Его гасят на сети датацентра, до сервера. Для этого есть отдельная опция «защищённый IP»: защита always-on, адрес не уходит в null-route, задержка чуть выше. Подключается к узлу отдельно.

›SYN, UDP и ICMP флуды
›Always-on, на сети датацентра
›Без null-route на время атаки

ORIGIN

Скрытие сервера

Вы разрешаете на файерволе сервера только IP Shield: запросы в обход узла отбрасываются. Чтобы старый адрес не помог атакующему, смените IP сервера после подключения.

›Только IP Shield
›IP сервера не в публичном DNS
›Смена IP после подключения

Кто что останавливает.

Shield

L7: лимит запросов с IP, WAF, правила доступа, таймауты медленных соединений

Датацентр

L3/L4: объёмные атаки на канал, опция «защищённый IP»

Файервол

Origin: прямой доступ к серверу только с IP Shield

Цель, которую не найти.

Защита в темноте. Без карты. Без следа.

Managed WAF → Медиа → Игры →