Ennen aloittamista
Listaa julkiset osoitteet, TCP- ja UDP-portit, webpalvelut ja hallinta. Kuvaa normaali liikenne ja reitityksen muuttamiseen oikeutetut tahot. Varmista suodatuksen todellinen laajuus ja häiriötilanteen ilmoitusmenettely ennen käyttöönottoa.
L3 koskee verkkokerrosta
IP-tason suodatus voi käsitellä liikennettä ennen sen saapumista originille. Suojaus riippuu mukana olevista osoitteista ja reiteistä. Piilotettu osoite ei ole rajattu, jos siihen voi yhä yhdistää suoraan. Tarkista myös vanhat DNS-tiedot, aiemmat osoitteet ja muut palvelut, jotka saattavat tarjota vaihtoehtoisen reitin suojauksen ohi.
Hyökkäys voi yrittää täyttää linkin, tyhjentää yhteystilan tai kuluttaa sovellustyötä. Useita vaikutuksia voi tapahtua yhdessä. Tunnista uhanalainen resurssi ja liikenne, johon se vaikuttaa, ennen kuin valitset ylävirran suodatuksen, yhteydenhallinnan tai sovellussäännöt.
L4:n on vastattava kuljetusprotokollaa
TCP ja UDP toimivat eri tavoin. Liittyminen, palvelinkyselyt, puhe ja tiedostot voivat käyttää erillisiä liikennepolkuja. Varmista sallitut portit ja normaalit paketit, sillä liian tiukka sääntö estää myös oikeat pelaajat. Onnistunut TCP-testi ei todista UDP:n toimivuutta tai sitä, että kaikki pelin tarvitsemat palvelut ovat suojattuja.
Tarkista myös sallittu puhdas liikenne, suojatut protokollat, suojatut osoitteet ja interventioehdot. Suojauksella voi olla peittorajoituksia tai suojatoimenpiteitä. Rajoittamaton vaatetus ei korvaa teknisiä ehtoja ja sopimusta.
L7 tarkoittaa tiettyä sovellusta
HTTP-proxy voi käsitellä HTTP:tä, muttei automaattisesti kaikkia peliprotokollia. L7-lupauksessa pitää nimetä suojatut pyynnöt, päätepisteet ja säännöt. Huomioi myös kirjautuminen ja tiedostolataukset. Jos suodatus estää ne, peli voi olla käyttökelvoton vaikka palvelinprosessi on käynnissä. Testaa siksi koko asiakkaan toimintaketju, ei vain verkkosivun vastausta.
FiveM osoittaa eron: HTTP:n aloituspiste, lataukset ja pelattavuus tarvitsevat yhtenäisen arkkitehtuurin. Suojattu verkkosivusto voi olla käytettävissä pelin epäonnistuessa. L7-ominaisuuden tulisi kuvata sen todellinen laajuus sen sijaan, että se kattaisi kaikki sovellukset.
Kapasiteetti ei ole sama kuin palvelulupaus
Yläverkon kokonaiskapasiteetti ei ole yhden palvelinportin nopeus tai takuu jokaista hyökkäystä vastaan. Erota verkon mitigation, oma kaista ja sovitut rajat. Kysy mitä tapahtuu rajan ylityksessä tai virheellisessä luokittelussa. Yhden terabit-luvun perusteella ei voi päätellä taattua käytettävyyttä, viivettä tai suojaa kaikilta sovellustason hyökkäyksiltä.
Alkuperän rajoittaminen edellyttää laillisten lähteiden ja palveluiden ymmärtämistä. Tarkista reitit, palauta liikenne, ääni, tiedostot ja hallinto ennen suodatusta. Liian laaja sallittu luettelo paljastaa alkuperän; liian kapea voi aiheuttaa sähkökatkon. Älä kopioi yleistä sääntöä ymmärtämättä arkkitehtuuria.
Rajaa origin ja hallinta
Kun arkkitehtuuri vaatii rajauksen, salli vain sovitut sisääntuloreitit. Käytä vahvistettuja lähdeverkkoja koko internetin sallimisen sijaan. Arvioi hallinta, tietokannat ja varaportit erikseen. Muuta sääntöjä vaiheittain ja säilytä riippumaton hallintayhteys sekä palautus. Väärä palomuurisääntö voi estää asiakkaat yhtä tehokkaasti kuin itse hyökkäys.
Pyydä aikaleimattuja tapahtumia ja suodatuksen selitystä, kun lailliset yhteydet epäonnistuvat. Erota väärät positiiviset, kiertoreitit ja sovelluksen kuormitus. Koordinoimaton kuormitustesti voi heikentää itse palvelua; Järjestä aktiivinen validointi palveluntarjoajan kanssa ja tarkat rajat.
Selvitä myös resurssiongelmat
CPU-kuorma, muistipula, skriptivirhe tai hidas levy voivat näyttää verkkohäiriöltä. Vertaa ajankohtaa lokien, resurssien ja liikennetietojen kanssa ennen johtopäätöstä. Käytä pieniä luvallisia toimintatestejä ja operaattorin tapahtumatietoja. Korjauksen jälkeen testaa oikeat pelaajayhteydet ja kaikki sovitut palvelut; pelkkä avautuva verkkosivu ei riitä.
Vertaa sitten saatavilla olevia suunnitelmia ja hintoja pyydetylle laajuudelle. Hyödyllinen valinta yhdistää verkon kapasiteetin, protokollatietoisen käsittelyn ja kyvyn diagnosoida tapauksia. Mikään suojausjärjestelmä ei poista tarvetta ylläpitää ohjelmistoja, tilejä ja varmuuskopioita.
Mitä omassa tilanteessasi kannattaa tehdä?
| Tilanne | Seuraava vaihe |
|---|---|
| Peli käyttää UDP:tä | Pyydä dokumentoitu UDP-suojauksen laajuus ja testaa oikea peliyhteys. |
| Web-vaihe tarvitsee suodatusta | Tarkista HTTP-päätepisteet, origin ja sallittujen pyyntöjen toiminta. |
| Palvelu pysähtyy ilman verkkonäyttöä | Vertaa lokeja ja resurssikuormaa ennen DDoS-päätelmää. |
Viralliset lähteet
Lähteet kuvaavat protokollia ja asetuksia. Tarkista käyttämäsi version dokumentaatio.