Защита VPS (бета)

Агент защиты ставится на ваш собственный сервер и фильтрует трафик прямо на нём: режет SYN- и UDP-флуд, банит адреса, которые долбят порты, и присылает статистику в кабинет. Раздел в бете, сервер может быть у любого хостера.

#Установка

1. Откройте в кабинете Защита VPS → Добавить сервер и дайте ему название.
2. Скопируйте команду установки и выполните её на сервере от root.
3. Через минуту сервер появится в списке со статусом «онлайн».

curl -fsSL https://turtleguard.cloud/api/v1/shield/install.sh | sudo sh -s tgs_...

Перед установкой скрипт проверяет снаружи, какие порты сервера отвечают, есть ли выход в интернет, в том числе из контейнеров Docker, и повторяет ту же проверку после запуска агента. Если что-то перестало работать, защита сразу снимается, сервер возвращается как был, и скрипт прямо пишет об этом. Ещё 10 минут после установки сервер перепроверяет себя сам и при поломке снимает защиту без вашего участия. На серверах с Docker или пробросом портов режимы, которые их ломают, не включаются.

Токен в команде показывается один раз. Потеряли — нажмите Перевыпустить на странице сервера и выполните новую команду: старый токен перестанет работать. Повторная установка не сбрасывает настройки.

Нужен Linux на x86-64 с systemd и nftables. Агент версии 0.8.7 и новее обновляется сам: когда выходит новая версия, он скачивает её, сверяет контрольную сумму и перезапускается, не снимая защиту. Более старые версии так не умеют, их обновляют один раз вручную командой со страницы сервера:

curl -fsSL https://turtleguard.cloud/api/v1/shield/bin -o /tmp/tgshield.new && chmod +x /tmp/tgshield.new && sudo tgshield upgrade /tmp/tgshield.new

Защита при этом не снимается, настройки и токен остаются.

#Что видно на странице сервера

• Нагрузка: пакеты и отбитые пакеты в секунду, SYN и UDP, входящий и исходящий трафик, соединения против лимита таблицы, CPU и steal, число забаненных и доверенных клиентов. Графики за последний час, по минутам.
• Разбор трафика: снимок пакетов с сетевой карты. Агент делает его сам во время атаки, а кнопка Разобрать сейчас делает его по запросу. Видно тип атаки, доли SYN, ACK, UDP и других пакетов, главные источники и сети, порты назначения и самые тяжёлые адреса.
• Баны: кто сейчас забанен, сколько осталось и за что. Адрес можно забанить вручную или разбанить; команда доходит до сервера за несколько секунд.
• Сработавшие правила и журнал: какие фильтры режут трафик сейчас и что агент делал: атаки, баны, смены настроек, обновления.

Если идёт атака, в Telegram приходит живая карточка с цифрами, а когда атака заканчивается, карточка закрывается.

#Настройки

Настройки меняются на странице сервера и применяются на нём в течение минуты.

Две кнопки сверху ставят готовые пороги. Обычный сервер подходит для сайтов и VPN. NAT-релей — для серверов, которые пробрасывают порты на другой сервер или держат много соединений с одного адреса: пороги выше, а бюджет новых адресов не ограничен. Порты и доверенные адреса пресеты не трогают.

В блоке Тонкая настройка — лимиты на один адрес, бюджеты подключений во время атаки и автобан за сканирование портов. У каждого поля есть пояснение; неверные значения могут резать нормальных клиентов.

#Снятие защиты и удаление

Если после установки сайт или VPN перестали открываться, снимите защиту одной командой на сервере:

curl -fsSL https://turtleguard.cloud/api/v1/shield/install.sh | sudo sh -s remove

Она останавливает агента, убирает его правила и удаляет его с сервера. Кнопка Удалить на странице сервера убирает его из кабинета; агент 0.8.7 и новее при следующем отчёте снимет защиту сам. Если агент старше или сервер не на связи, выполните команду выше.