Vorbereitung
Erstellen Sie eine Liste Ihrer öffentlichen Dienste mit IP-Adressen, Ports und Protokollen. Notieren Sie, wo Filterung und Weiterleitung stattfinden und welche Last normalerweise auftritt. Für belastbare Aussagen benötigen Sie dokumentierte Schutzfunktionen und Messwerte; ein Produktname oder eine große Kapazitätszahl allein genügt nicht.
L3 betrifft den Netzwerkverkehr
Auf der Netzwerkschicht werden unter anderem IP-Pakete und volumetrische Muster betrachtet. Ein großer Datenstrom kann bereits die Anbindung überlasten, bevor die Anwendung ihn verarbeitet. Vorgeschaltete Filterung soll schädlichen Verkehr deshalb möglichst vor dem betroffenen Anschluss begrenzen.
Die gesamte Kapazität eines Schutznetzwerks ist keine Bandbreitenzusage für einen einzelnen Server. Bei CubixServ beschreibt die kommunizierte Zahl von 15 Tbps eine vorgelagerte Gesamtkapazität. Daraus folgen weder ein eigener 15-Tbps-Port noch eine Garantie gegen jedes denkbare Angriffsmuster.
L4 betrachtet TCP und UDP
Auf der Transportschicht unterscheiden sich TCP-Verbindungen und UDP-Datenströme. Zustände, Raten und zulässige Ports können Bestandteil der Regeln sein. Ein Profil für eine Webseite lässt sich nicht unverändert als geeigneter Schutz für einen UDP-Spielserver voraussetzen.
Lassen Sie den wirklichen Spielport und die vorgesehenen Verwaltungszugänge getrennt bestätigen. Ein erreichbarer TCP-Port beweist keine funktionierende UDP-Verbindung. Änderungen müssen zum Portkonzept des Nodes passen und dürfen keine fremden Instanzen oder nicht benötigten Dienste freigeben.
L7 muss die Anwendung verstehen
Anwendungsangriffe können gültig aussehende Anfragen erzeugen, die besonders viel Arbeit auslösen. Ein HTTP-Reverse-Proxy kann HTTP-Anfragen begrenzen oder prüfen. Er erkennt damit aber nicht automatisch jedes Verhalten innerhalb eines beliebigen Spielprotokolls.
Fragen Sie deshalb nach konkreten Endpunkten, unterstützten Methoden und dokumentierten Einschränkungen. Für FiveM müssen HTTP-Dateiauslieferung und Spielverkehr getrennt betrachtet werden. Eine HTTP-Schutzfunktion ist keine pauschale Zertifizierung des gesamten Spiels als L7-geschützt.
Der Ursprung bleibt Teil der Schutzkette
Ein geschützter öffentlicher Endpunkt hilft nur begrenzt, wenn Angreifer den ungeschützten Ursprung direkt erreichen können. Untersuchen Sie DNS, Verwaltungszugänge, Dateidownloads und weitere Dienste auf mögliche direkte Wege. Die erlaubten Quellen müssen zur tatsächlichen Topologie passen.
Aktiviere Einschränkungen erst, wenn berechtigte Datenwege bekannt sind. Eine zu weit gefasste Vertrauensregel kann den Schutz umgehen; eine zu enge Regel kann echte Spieler aussperren. Direkte Administrationszugänge benötigen eine eigene Absicherung und dürfen nicht mit einem öffentlichen Spielport verwechselt werden.
Filterung und Anwendung gemeinsam messen
Vergleichen Sie während eines Vorfalls Eingangsverkehr, verworfene Pakete, erfolgreiche Verbindungen und die Ressourcenlast. Wenn das Netzwerk sauber wirkt, der Hauptthread aber ausgelastet ist, kann die Anwendung trotzdem hängen. Mehr Netzwerkkapazität löst keinen fehlerhaften Datenbankaufruf oder ein teures Spielskript.
Ein einzelner Timeout beweist keinen Angriff. Dokumentiere Beginn, betroffene Protokolle und den Unterschied zum Normalzustand. Auch Paketverlust, Routenwechsel und eine fehlerhafte Konfiguration können Verbindungen stören. Die Diagnose sollte mehrere Messquellen zusammenführen.
Vor dem Kauf nach überprüfbaren Bedingungen fragen
Lassen Sie Schutzumfang, Weiterleitung, Bandbreite, erlaubte Dienste und Unterstützung im Störungsfall erklären. Prüfen Sie, ob eine eigene IP, ein Tunnel oder ein externer Ursprung erforderlich ist. Öffentliche Produkttexte ersetzen keine konkrete Bestätigung für Ihren Aufbau.
Ein sinnvoller Test vergleicht dieselben Dienste vor und nach der vorgesehenen Einrichtung. Prüfen Sie dabei echte Spielerzugänge und nicht nur eine Webseite. Beurteilen Sie die normale Erreichbarkeit, Verzögerung und Fehlerquoten; führen Sie keine belastenden Angriffstests ohne abgestimmten und autorisierten Rahmen durch.
Was zu Ihrer Situation passt
| Situation | Nächste Prüfung |
|---|---|
| UDP-Spielserver | Bestätige das Spielprotokoll, den tatsächlichen Port und das passende Filterprofil. Ein HTTP-Test allein reicht nicht. |
| HTTP-Dienst wird teuer belastet | Untersuchen Sie Anwendung, Rate-Limits und Reverse Proxy zusammen. Eine große Netzwerkreserve beseitigt keine teuren Anfragen. |
| Externer Ursprung hinter einem Schutzdienst | Prüfen Sie Rückweg und erlaubte Quellen, bevor Sie direkten Zugriff einschränken. Der gesamte Datenweg muss dokumentiert sein. |
Offizielle Quellen
Diese Dokumente erläutern die jeweiligen Protokolle und Programme. Prüfen Sie zusätzlich die Bedingungen und die tatsächliche Konfiguration Ihres Dienstes.