Как защитить сайт от DDoS-атак: что работает на самом деле

DDoS-атака на сайт — это когда к нему одновременно идёт столько трафика или запросов, что сервер перестаёт отвечать живым посетителям. Защититься от неё на самом сервере почти невозможно, и ниже объясняем почему, а затем показываем, что делать вместо этого.

Какие бывают атаки

• Сетевые (L3/L4). SYN-флуд, UDP-усиление, мусорные пакеты. Задача — забить канал или таблицу соединений сервера. Что за сайт на сервере, значения не имеет.
• Прикладные (L7). Тысячи обычных на вид HTTP-запросов к тяжёлым страницам: поиску, корзине, входу. Канал свободен, а сервер тратит всё время на ответы ботам.

Часто их совмещают: сначала флуд, потом запросы к страницам.

Почему сервер не спасёт себя сам

• Файрвол на сервере отбрасывает пакеты, когда они уже пришли по каналу. Если канал 1 Гбит/с, а атака 10 Гбит/с, до файрвола доходит только часть, и сайт всё равно лежит.
• Плагины для CMS и лимиты в nginx помогают от отдельных ботов, но каждый запрос всё равно доходит до сервера и тратит его ресурсы.
• При сильной атаке хостер часто просто отключает адрес (blackhole), чтобы не пострадали соседи. Сайт недоступен, пока атака не кончится.

Как работает защита через прокси

Домен указывает не на ваш сервер, а на узлы защиты. Они принимают весь трафик, отсеивают атаку и передают серверу только чистые запросы.

1. Сетевой флуд отбрасывается в ядре узла ещё до TLS-рукопожатия. Атаку разбирает тот узел, куда она пришла, дальше она не идёт.
2. Запросы к сайту проверяют правила WAF (OWASP CRS 4) и ваши правила: страны, адреса, лимиты.
3. Спорных посетителей просим пройти проверку браузера. Человек проходит её за секунду и ничего не вводит, а бот без настоящего браузера остаётся снаружи.

Настоящий IP сервера при этом наружу не виден. Это важно: о том, где он обычно утекает, мы написали отдельную статью.

С чего начать

1. Подключите сайт: перенесите NS домена к нам или поменяйте A-запись на адрес защиты. Сертификат выпустится сам.
2. Первые дни держите режим «Пассивный»: правила только пишут в журнал, и видно, не задевают ли они живых посетителей.
3. Переключитесь на «Стандарт»: WAF блокирует атаки, проверку браузера видят только подозрительные посетители и все новые во время атаки.
4. Закройте сервер от прямых обращений: разрешите входящие 80 и 443 только с адресов узлов защиты. Иначе атакующий, узнав IP, пойдёт в обход.
5. Если сайт атакуют прямо сейчас, включите режим «Проверка»: каждый новый посетитель сначала проходит проверку браузера. Подробный план на такой случай — в статье «Сайт под DDoS-атакой: что делать».

Сколько стоит

Первый сайт подключается без карты. Проверка браузера для всех посетителей есть на тарифах с WAF, от Basic за $10 в месяц. Режим «Стандарт» с блокировкой по OWASP CRS доступен с тарифа Standart. Чем отличаются режимы, описано в документации.

Подключить сайт