Než začnete
Sepište veřejné adresy, porty, protokoly a původní servery. Určete místa filtrování a předávání. Uchovejte běžná měření a podmínky služby pro srovnání při poruše. Před změnou přístupových pravidel připravte údržbu, kopii a návrat k původnímu nastavení.
L3 se týká síťového provozu
Síťová vrstva zpracovává IP pakety a objemové vzorce. Tok může zaplnit spoj dříve, než jej aplikace začne zpracovávat; důležité je filtrování před tímto místem. Souhrnná kapacita není kapacitou serveru: uváděných 15 Tbps CubixServ patří společné ochranné síti, nikoli vašemu portu či garanci proti každému útoku. Přidělenou šířku pásma jednotlivé služby ověřte zvlášť podle skutečných podmínek nabídky.
Útok se může pokusit zaplnit odkaz, vyčerpat stav připojení nebo spotřebovat práci aplikace. Několik efektů může nastat společně. Identifikujte ohrožený zdroj a ovlivněný provoz předtím, než zvolíte upstream filtrování, ovládání připojení nebo pravidla aplikace.
L4 rozlišuje TCP a UDP
Přenosová vrstva zahrnuje různá chování spojení TCP a toků UDP. Používají se pravidla portů, stavu a rychlosti. Webový profil nemusí odpovídat hře. Potvrďte přidělený herní port a správu posuzujte zvlášť. Úspěšný TCP test nedokazuje funkční UDP celou cestou; testujte protokol používaný hráči včetně zdroje a návratu. Zbytečné porty neotevírejte veřejnosti a dodržujte plán operátora na sdíleném hostu.
Zkontrolujte také povolený čistý provoz, zahrnuté protokoly, chráněné adresy a podmínky zásahu. Ochrana může mít limity pokrytí nebo opatření k omezení. Neomezená reklamace nenahrazuje technické podmínky a smlouvu.
L7 vyžaduje znalost aplikace
Zdánlivě platný požadavek může spustit náročnou práci. HTTP proxy může posuzovat HTTP, ale tím nerozumí všem herním protokolům. Ptejte se na konkrétní endpointy a funkce. Stahování FiveM a herní spojení se hodnotí odděleně: ochrana jedné HTTP části nedokazuje ochranu všech operací před aplikačními útoky. Doložený rozsah spojte s konkrétním protokolem místo předpokladu univerzálního významu názvu L7.
FiveM demonstruje rozdíl: vstupní bod HTTP, stahování a hratelnost potřebují koherentní architekturu. Chráněná webová stránka může zůstat k dispozici, dokud hra selže. Schopnost L7 by měla spíše popisovat její skutečný rozsah, než tvrdit, že pokrývá každou aplikaci.
Původní server je součást ochrany
Chráněná adresa nestačí, pokud lze nechráněný server oslovit přímo. Projděte DNS, soubory, správu a další porty. Neomezujte zdroje, dokud neznáte všechny oprávněné cesty. Příliš široká důvěra může umožnit obejití; příliš úzká pravidla mohou blokovat uživatele. Správa potřebuje bezpečný přístup oddělený od veřejného herního provozu a jeho profilu. Po každé změně ověřte potřebná oprávněná spojení a možnost návratu.
Omezení původu vyžaduje pochopení legitimních zdrojů a služeb. Před filtrováním ověřte trasy, zpětný provoz, hlas, soubory a správu. Příliš široký seznam povolených odhaluje původ; příliš úzký může způsobit výpadek. Nekopírujte obecné pravidlo bez pochopení architektury.
Měřte síť i aplikaci
Při události srovnejte provoz, zahozené pakety, úspěšná spojení a zátěž. Přetížené hlavní vlákno či databáze mohou zastavit hru při normální síti. Další filtrování neopraví náročné skripty. Timeout sám není důkazem útoku: porovnejte ztráty, trasu, chyby a odchylky ve stejném čase u stejné služby. Bez určené příčiny neprovádějte plošné změny ochrany zasahující ostatní klienty.
Vyžádejte si události s časovým razítkem a vysvětlení filtrování, když selžou legitimní připojení. Rozlišujte falešné poplachy, objížďky směrování a zatížení aplikací. Nekoordinovaný zátěžový test může degradovat samotnou službu; domluvte si s poskytovatelem aktivní validaci a přesné limity.
Vyžadujte ověřitelné podmínky
Potvrďte rozsah, přidělené pásmo, povolené služby, předávání a podporu. Zjistěte potřebu IP, tunelu či změny zdroje. Před a po zapojení vyzkoušejte celou cestu s oprávněnými uživateli. Dostupný web neotestuje každou hru; zátěžové testy a simulace útoků vyžadují výslovně dohodnuté oprávněné meze, aby nezasáhly jiné zákazníky nebo operátory. Nedoložené garance nepředpokládejte a výsledky spojte se skutečnou topologií.
Poté porovnejte dostupné plány a ceny pro požadovaný rozsah. Užitečná volba kombinuje kapacitu sítě, zpracování s ohledem na protokol a schopnost diagnostikovat incidenty. Žádný ochranný systém neodstraňuje potřebu udržovat software, účty a zálohy.
Co dělat ve vaší situaci
| Situace | Další krok |
|---|---|
| Hra používající UDP | Potvrďte port, protokol a profil filtru. HTTP odpověď není úplná kontrola. |
| Náročné HTTP požadavky | Posuzujte aplikaci, limity a proxy společně. Síťová rezerva neodstraní práci jednotlivého požadavku. |
| Externí původní server | Před omezením přímého přístupu zdokumentujte oprávněné zdroje a zpětnou cestu. |
Oficiální zdroje
Tyto zdroje vysvětlují uvedené protokoly a nastavení. Ověřte dokumentaci pro používanou verzi.