Pirms sākšanas
Uzskaiti publiskās adreses, TCP un UDP portus, tīmekļa pakalpojumus un administrēšanu. Apraksti normālu trafiku un maršrutu maiņas tiesības. Pirms ieviešanas noskaidro faktisko filtrēšanas apjomu un kļūmju pieteikšanas kārtību.
L3 attiecas uz tīkla slāni
IP filtrēšana var apstrādāt trafiku pirms tā nonāk origin. Aizsardzība atkarīga no iekļautajām adresēm un maršrutiem. Slēpta adrese nav ierobežota, ja tai var pieslēgties tieši. Pārbaudi vecos DNS ierakstus, iepriekšējās adreses un citus pakalpojumus, kas var nodrošināt alternatīvu ieeju un apiet sākotnēji paredzēto aizsardzības ceļu.
Uzbrukums var mēģināt aizpildīt saiti, izsmelt savienojuma stāvokli vai patērēt lietojumprogrammas darbu. Kopā var rasties vairāki efekti. Identificējiet apdraudēto resursu un ietekmēto trafiku, pirms izvēlaties augšupējo filtrēšanu, savienojuma vadīklas vai lietojumprogrammu noteikumus.
L4 jāatbilst transporta protokolam
TCP un UDP darbojas atšķirīgi. Pievienošanās, servera vaicājumi, balss un faili var izmantot dažādus ceļus. Apstiprini atļautos portus un parastās paketes; pārāk stingrs filtrs traucē arī īstiem spēlētājiem. Veiksmīgs TCP tests nepierāda UDP darbību vai visu nepieciešamo spēles funkciju aizsardzību ar tiem pašiem noteikumiem.
Pārbaudiet arī atļauto tīro trafiku, aptvertos protokolus, aizsargātās adreses un iejaukšanās noteikumus. Aizsardzībai var būt pārklājuma ierobežojumi vai ierobežošanas pasākumi. Neierobežota prasība neaizstāj tehniskos nosacījumus un līgumu.
L7 attiecas uz konkrētu lietojumu
HTTP proxy var apstrādāt HTTP, bet ne automātiski katras spēles protokolu. L7 solījumā jānorāda konkrēti pieprasījumi, galapunkti un noteikumi. Ņem vērā autentifikāciju un failu lejupielādi. Ja filtrs tos aptur, spēle var nebūt lietojama pat ar darbojošos servera procesu. Pārbaudi klienta pilno darbības ķēdi, nevis tikai tīmekļa atbildi.
FiveM demonstrē atšķirību: HTTP ieejas punktam, lejupielādēm un spēlei ir nepieciešama saskaņota arhitektūra. Aizsargāta vietne var palikt pieejama, kamēr spēle neizdodas. L7 iespējai ir jāapraksta tā faktiskā darbības joma, nevis jāaptver visas lietojumprogrammas.
Jauda nav tas pats, kas pakalpojuma garantija
Augšējā tīkla kopējā jauda nav viena servera porta ātrums vai garantija pret jebkuru uzbrukumu. Atšķir tīkla filtrēšanu, savu joslas platumu un līgumā noteiktos ierobežojumus. Noskaidro pārsniegšanas un kļūdainas klasifikācijas sekas. No viena terabitu skaitļa nevar secināt garantētu darbspēju, aizturi vai aizsardzību pret visiem lietojuma slāņa uzbrukumiem.
Izcelsmes ierobežošanai ir jāsaprot likumīgi avoti un pakalpojumi. Pirms filtrēšanas apstipriniet maršrutus, atgrieziet trafiku, balsi, failus un administrēšanu. Pārāk plašs atļauju saraksts atklāj izcelsmi; pārāk šaurs var izraisīt pārtraukumu. Nekopējiet vispārīgu noteikumu, neizprotot arhitektūru.
Ierobežo origin un administrēšanu
Ja arhitektūra prasa ierobežošanu, atļauj tikai saskaņotos ieejas ceļus. Lieto apstiprinātus avota tīklus, nevis visu internetu. Administrēšana, datubāzes un rezerves porti jāpārbauda atsevišķi. Maini noteikumus pakāpeniski un saglabā neatkarīgu pārvaldības piekļuvi un atgriešanās iespēju. Nepareizs ugunsmūra noteikums var bloķēt klientus tikpat efektīvi kā uzbrukums.
Pieprasiet notikumus ar laikspiedolu un filtrēšanas skaidrojumu, ja neizdodas izveidot likumīgus savienojumus. Atšķiriet viltus pozitīvus rezultātus, maršrutēšanas apkārtceļus un lietojumprogrammas slodzi. Nekoordinēta slodzes pārbaude var pasliktināt pašu pakalpojumu; organizēt aktīvu validāciju ar pakalpojumu sniedzēju un precīzus ierobežojumus.
Izpēti arī resursu problēmas
CPU slodze, atmiņas trūkums, skriptu kļūdas vai lēns disks var atgādināt tīkla kļūmi. Salīdzini laiku, žurnālus, resursus un trafika datus pirms secinājuma. Izmanto nelielus atļautus funkciju testus un operatora notikumu informāciju. Pēc labojuma pārbaudi īstus spēlētāju savienojumus un visus iekļautos pakalpojumus; atvērta lapa viena pati nav pietiekama.
Pēc tam salīdziniet pieejamos plānus un cenas pieprasītajam apjomam. Noderīga izvēle apvieno tīkla ietilpību, apstrādi ar protokolu un spēju diagnosticēt incidentus. Neviena aizsardzības sistēma nenovērš nepieciešamību uzturēt programmatūru, kontus un dublējumus.
Ko darīt tavā situācijā?
| Situācija | Nākamais solis |
|---|---|
| Spēle izmanto UDP | Pieprasi dokumentētu UDP aizsardzības apjomu un pārbaudi īstu klienta savienojumu. |
| Tīmekļa posmam vajag filtrēšanu | Pārbaudi HTTP galapunktus, origin un atļauto pieprasījumu darbību. |
| Pakalpojums apstājas bez tīkla pierādījumiem | Salīdzini žurnālus un slodzi pirms DDoS secinājuma. |
Oficiālie avoti
Avoti apraksta protokolus un iestatījumus. Pārbaudi izmantotās versijas dokumentāciju.