Prieš pradedant
Išvardyk viešus adresus, TCP ir UDP prievadus, interneto paslaugas bei administravimą. Aprašyk įprastą srautą ir maršrutų keitimo teises. Prieš diegimą patvirtink realią filtravimo apimtį ir pranešimo apie sutrikimus tvarką.
L3 apima tinklo sluoksnį
IP filtravimas gali apdoroti srautą prieš jam pasiekiant origin. Apsauga priklauso nuo įtrauktų adresų ir maršrutų. Paslėptas adresas nėra apribotas, jei galima prisijungti tiesiogiai. Patikrink senus DNS įrašus, ankstesnius adresus ir kitas tarnybas, kurios gali suteikti alternatyvų įėjimą bei apeiti numatytą apsaugos kelią.
Ataka gali bandyti užpildyti nuorodą, išjungti ryšio būseną arba sunaudoti programos darbą. Kartu gali atsirasti keli efektai. Prieš pasirinkdami filtravimą, ryšio valdiklius ar taikomųjų programų taisykles, nustatykite grėsmingą šaltinį ir paveiktą srautą.
L4 turi atitikti transportą
TCP ir UDP veikia skirtingai. Prisijungimas, serverio užklausos, balsas ir failai gali naudoti skirtingus kelius. Patvirtink leidžiamus prievadus bei įprastus paketus; pernelyg griežtas filtras trukdo ir tikriems žaidėjams. Sėkmingas TCP bandymas neįrodo UDP veikimo ar visų reikalingų žaidimo funkcijų apsaugos tomis pačiomis taisyklėmis.
Taip pat patikrinkite leistiną švarų srautą, dengtus protokolus, apsaugotus adresus ir intervencijos sąlygas. Apsauga gali turėti aprėpties ribas arba izoliavimo priemones. Neribotas reikalavimas nepakeičia techninių sąlygų ir sutarties.
L7 taikomas konkrečiai programai
HTTP proxy gali apdoroti HTTP, bet ne automatiškai kiekvieno žaidimo protokolą. L7 pažadas turi nurodyti konkrečias užklausas, galinius taškus ir taisykles. Įvertink autentifikavimą bei failų atsisiuntimą. Jei jie blokuojami, žaidimas gali būti neprieinamas net veikiant serverio procesui. Testuok visą kliento veiksmų grandinę, ne vien interneto atsakymą.
FiveM demonstruoja skirtumą: HTTP įėjimo taškui, atsisiuntimams ir žaidimui reikia nuoseklios architektūros. Apsaugota svetainė gali likti pasiekiama, kol žaidimas žlunga. L7 galimybė turėtų apibūdinti tikrąją jos taikymo sritį, o ne teigti, kad ji apima kiekvieną taikymą.
Pajėgumas nėra paslaugos garantija
Aukštesnio tinklo bendras pajėgumas nėra vieno serverio prievado sparta ar garantija kiekvienai atakai. Atskirk tinklo filtravimą, savo pralaidumą ir sutartines ribas. Išsiaiškink viršijimo bei klaidingo klasifikavimo pasekmes. Vienas terabitų skaičius nepatvirtina garantuoto veikimo, delsos ar apsaugos nuo visų programų sluoksnio atakų; tam reikia konkrečių sąlygų.
Norint apriboti kilmę, reikia suprasti teisėtus šaltinius ir paslaugas. Prieš filtruodami patikrinkite maršrutus, grąžinkite srautą, balsą, failus ir administravimą. Pernelyg platus leistinas sąrašas atskleidžia kilmę; per siauras gali sukelti gedimą. Nekopijuokite bendros taisyklės nesuprasdami architektūros.
Apribok origin ir administravimą
Jei architektūra reikalauja ribojimo, leisk tik suderintus įėjimo kelius. Naudok patvirtintus šaltinio tinklus, ne visą internetą. Administravimą, duomenų bazes ir atsarginius prievadus tikrink atskirai. Keisk taisykles palaipsniui ir išlaikyk nepriklausomą valdymą bei grįžimo galimybę. Netinkama ugniasienės taisyklė gali blokuoti klientus taip pat veiksmingai kaip pati ataka.
Prašykite įvykių su laiko žymomis ir filtravimo paaiškinimo, kai nepavyksta užmegzti teisėtų ryšių. Atskirkite klaidingus teigiamus rezultatus, maršruto apvažiavimus ir taikymo apkrovą. Nekoordinuotas apkrovos testas gali pabloginti pačią paslaugą; suderinkite aktyvų patvirtinimą su teikėju ir nustatykite tikslius apribojimus.
Tirk ir išteklių problemas
CPU apkrova, atminties stoka, skripto klaida ar lėtas diskas gali priminti tinklo sutrikimą. Prieš išvadą palygink laiką, žurnalus, išteklius ir srauto duomenis. Naudok mažus leidžiamus funkcijų bandymus ir operatoriaus įvykių informaciją. Po pataisos tikrink tikrus žaidėjų ryšius bei visas įtrauktas tarnybas; vien atsidarantis puslapis nėra pakankamas rezultatas.
Tada palyginkite turimus planus ir kainas pagal prašomą sritį. Naudingas pasirinkimas apjungia tinklo pajėgumą, tvarkymą pagal protokolą ir galimybę diagnozuoti incidentus. Jokia apsaugos sistema nepanaikina poreikio tvarkyti programinę įrangą, paskyras ir atsargines kopijas.
Ką daryti tavo situacijoje?
| Situacija | Kitas veiksmas |
|---|---|
| Žaidimas naudoja UDP | Prašyk dokumentuotos UDP apsaugos apimties ir testuok tikrą kliento ryšį. |
| Internetiniam etapui reikia filtro | Tikrink HTTP galinius taškus, origin ir leidžiamų užklausų veikimą. |
| Paslauga sustoja be tinklo įrodymų | Palygink žurnalus ir apkrovą prieš DDoS išvadą. |
Oficialūs šaltiniai
Šaltiniuose aprašomi protokolai ir nustatymai. Patikrink naudojamos versijos dokumentaciją.