Vorbereitung
Erstelle eine Liste deiner öffentlichen Dienste mit IP-Adressen, Ports und Protokollen. Notiere, wo Filterung und Weiterleitung stattfinden und welche Last normalerweise auftritt. Für belastbare Aussagen brauchst du dokumentierte Schutzfunktionen und Messwerte; ein Produktname oder eine große Kapazitätszahl allein genügt nicht.
L3 betrifft den Netzwerkverkehr
Auf der Netzwerkschicht werden unter anderem IP-Pakete und volumetrische Muster betrachtet. Ein großer Datenstrom kann bereits die Anbindung überlasten, bevor die Anwendung ihn verarbeitet. Vorgeschaltete Filterung soll schädlichen Verkehr deshalb möglichst vor dem betroffenen Anschluss begrenzen.
Die gesamte Kapazität eines Schutznetzwerks ist keine Bandbreitenzusage für einen einzelnen Server. Bei CubixServ beschreibt die kommunizierte Zahl von 15 Tbps eine vorgelagerte Gesamtkapazität. Daraus folgen weder ein eigener 15-Tbps-Port noch eine Garantie gegen jedes denkbare Angriffsmuster.
L4 betrachtet TCP und UDP
Auf der Transportschicht unterscheiden sich TCP-Verbindungen und UDP-Datenströme. Zustände, Raten und zulässige Ports können Bestandteil der Regeln sein. Ein Profil für eine Webseite lässt sich nicht unverändert als geeigneter Schutz für einen UDP-Spielserver voraussetzen.
Lass den wirklichen Spielport und die vorgesehenen Verwaltungszugänge getrennt bestätigen. Ein erreichbarer TCP-Port beweist keine funktionierende UDP-Verbindung. Änderungen müssen zum Portkonzept des Nodes passen und dürfen keine fremden Instanzen oder nicht benötigten Dienste freigeben.
L7 muss die Anwendung verstehen
Anwendungsangriffe können gültig aussehende Anfragen erzeugen, die besonders viel Arbeit auslösen. Ein HTTP-Reverse-Proxy kann HTTP-Anfragen begrenzen oder prüfen. Er erkennt damit aber nicht automatisch jedes Verhalten innerhalb eines beliebigen Spielprotokolls.
Frage deshalb nach konkreten Endpunkten, unterstützten Methoden und dokumentierten Einschränkungen. Für FiveM müssen HTTP-Dateiauslieferung und Spielverkehr getrennt betrachtet werden. Eine HTTP-Schutzfunktion ist keine pauschale Zertifizierung des gesamten Spiels als L7-geschützt.
Der Ursprung bleibt Teil der Schutzkette
Ein geschützter öffentlicher Endpunkt hilft nur begrenzt, wenn Angreifer den ungeschützten Ursprung direkt erreichen können. Untersuche DNS, Verwaltungszugänge, Dateidownloads und weitere Dienste auf mögliche direkte Wege. Die erlaubten Quellen müssen zur tatsächlichen Topologie passen.
Aktiviere Einschränkungen erst, wenn berechtigte Datenwege bekannt sind. Eine zu weit gefasste Vertrauensregel kann den Schutz umgehen; eine zu enge Regel kann echte Spieler aussperren. Direkte Administrationszugänge benötigen eine eigene Absicherung und dürfen nicht mit einem öffentlichen Spielport verwechselt werden.
Filterung und Anwendung gemeinsam messen
Vergleiche während eines Vorfalls Eingangsverkehr, verworfene Pakete, erfolgreiche Verbindungen und die Ressourcenlast. Wenn das Netzwerk sauber wirkt, der Hauptthread aber ausgelastet ist, kann die Anwendung trotzdem hängen. Mehr Netzwerkkapazität löst keinen fehlerhaften Datenbankaufruf oder ein teures Spielskript.
Ein einzelner Timeout beweist keinen Angriff. Dokumentiere Beginn, betroffene Protokolle und den Unterschied zum Normalzustand. Auch Paketverlust, Routenwechsel und eine fehlerhafte Konfiguration können Verbindungen stören. Die Diagnose sollte mehrere Messquellen zusammenführen.
Vor dem Kauf nach überprüfbaren Bedingungen fragen
Lass Schutzumfang, Weiterleitung, Bandbreite, erlaubte Dienste und Unterstützung im Störungsfall erklären. Prüfe, ob eine eigene IP, ein Tunnel oder ein externer Ursprung erforderlich ist. Öffentliche Produkttexte ersetzen keine konkrete Bestätigung für deinen Aufbau.
Ein sinnvoller Test vergleicht dieselben Dienste vor und nach der vorgesehenen Einrichtung. Prüfe dabei echte Spielerzugänge und nicht nur eine Webseite. Beurteile normale Erreichbarkeit, Verzögerung und Fehlerquoten; führe keine belastenden Angriffstests ohne abgestimmten und autorisierten Rahmen durch.
Was zu deiner Situation passt
| Situation | Nächste Prüfung |
|---|---|
| UDP-Spielserver | Bestätige das Spielprotokoll, den tatsächlichen Port und das passende Filterprofil. Ein HTTP-Test allein reicht nicht. |
| HTTP-Dienst wird teuer belastet | Untersuche Anwendung, Rate-Limits und Reverse Proxy zusammen. Eine große Netzwerkreserve beseitigt keine teuren Anfragen. |
| Externer Ursprung hinter einem Schutzdienst | Prüfe Rückweg und erlaubte Quellen, bevor du direkten Zugriff einschränkst. Der gesamte Datenweg muss dokumentiert sein. |
Offizielle Quellen
Diese Dokumente erläutern die jeweiligen Protokolle und Programme. Prüfe zusätzlich die Bedingungen und die tatsächliche Konfiguration deines Dienstes.