Prieš pradedant
Išvardyk viešus adresus, TCP ir UDP prievadus, interneto paslaugas bei administravimą. Aprašyk įprastą srautą ir maršrutų keitimo teises. Prieš diegimą patvirtink realią filtravimo apimtį ir pranešimo apie sutrikimus tvarką.
L3 apima tinklo sluoksnį
IP filtravimas gali apdoroti srautą prieš jam pasiekiant origin. Apsauga priklauso nuo įtrauktų adresų ir maršrutų. Paslėptas adresas nėra apribotas, jei galima prisijungti tiesiogiai. Patikrink senus DNS įrašus, ankstesnius adresus ir kitas tarnybas, kurios gali suteikti alternatyvų įėjimą bei apeiti numatytą apsaugos kelią.
L4 turi atitikti transportą
TCP ir UDP veikia skirtingai. Prisijungimas, serverio užklausos, balsas ir failai gali naudoti skirtingus kelius. Patvirtink leidžiamus prievadus bei įprastus paketus; pernelyg griežtas filtras trukdo ir tikriems žaidėjams. Sėkmingas TCP bandymas neįrodo UDP veikimo ar visų reikalingų žaidimo funkcijų apsaugos tomis pačiomis taisyklėmis.
L7 taikomas konkrečiai programai
HTTP proxy gali apdoroti HTTP, bet ne automatiškai kiekvieno žaidimo protokolą. L7 pažadas turi nurodyti konkrečias užklausas, galinius taškus ir taisykles. Įvertink autentifikavimą bei failų atsisiuntimą. Jei jie blokuojami, žaidimas gali būti neprieinamas net veikiant serverio procesui. Testuok visą kliento veiksmų grandinę, ne vien interneto atsakymą.
Pajėgumas nėra paslaugos garantija
Aukštesnio tinklo bendras pajėgumas nėra vieno serverio prievado sparta ar garantija kiekvienai atakai. Atskirk tinklo filtravimą, savo pralaidumą ir sutartines ribas. Išsiaiškink viršijimo bei klaidingo klasifikavimo pasekmes. Vienas terabitų skaičius nepatvirtina garantuoto veikimo, delsos ar apsaugos nuo visų programų sluoksnio atakų; tam reikia konkrečių sąlygų.
Apribok origin ir administravimą
Jei architektūra reikalauja ribojimo, leisk tik suderintus įėjimo kelius. Naudok patvirtintus šaltinio tinklus, ne visą internetą. Administravimą, duomenų bazes ir atsarginius prievadus tikrink atskirai. Keisk taisykles palaipsniui ir išlaikyk nepriklausomą valdymą bei grįžimo galimybę. Netinkama ugniasienės taisyklė gali blokuoti klientus taip pat veiksmingai kaip pati ataka.
Tirk ir išteklių problemas
CPU apkrova, atminties stoka, skripto klaida ar lėtas diskas gali priminti tinklo sutrikimą. Prieš išvadą palygink laiką, žurnalus, išteklius ir srauto duomenis. Naudok mažus leidžiamus funkcijų bandymus ir operatoriaus įvykių informaciją. Po pataisos tikrink tikrus žaidėjų ryšius bei visas įtrauktas tarnybas; vien atsidarantis puslapis nėra pakankamas rezultatas.
Ką daryti tavo situacijoje?
| Situacija | Kitas veiksmas |
|---|---|
| Žaidimas naudoja UDP | Prašyk dokumentuotos UDP apsaugos apimties ir testuok tikrą kliento ryšį. |
| Internetiniam etapui reikia filtro | Tikrink HTTP galinius taškus, origin ir leidžiamų užklausų veikimą. |
| Paslauga sustoja be tinklo įrodymų | Palygink žurnalus ir apkrovą prieš DDoS išvadą. |
Oficialūs šaltiniai
Šaltiniuose aprašomi protokolai ir nustatymai. Patikrink naudojamos versijos dokumentaciją.