Перед початком
Перелічіть публічні адреси, TCP та UDP порти, вебслужби й керування. Опишіть нормальний трафік і права на зміну маршрутів. До впровадження підтвердьте реальний обсяг фільтрації та порядок повідомлення про збої.
L3 стосується мережевого шару
IP-фільтрація може обробляти трафік до його надходження на origin. Захист залежить від включених адрес і маршрутів. Прихована адреса не є обмеженою, якщо до неї можна підключитися напряму. Перевірте старі DNS-записи, попередні адреси та інші служби, які можуть створювати альтернативний вхід і обходити запланований захищений шлях.
Атака може спробувати заповнити посилання, вичерпати стан з’єднання або споживати роботу програми. Кілька ефектів можуть відбуватися разом. Визначте загрозливий ресурс і зачеплений трафік, перш ніж вибрати фільтрацію висхідного потоку, контроль з’єднання або правила програми.
L4 має відповідати транспорту
TCP й UDP працюють по-різному. Підключення, запити сервера, голос і файли можуть використовувати різні шляхи. Підтвердьте дозволені порти та звичайні пакети: надто суворий фільтр заважає також реальним гравцям. Успішна TCP-перевірка не доводить роботу UDP чи захист усіх потрібних функцій гри тими самими правилами.
Також перевірте дозволений чистий трафік, закриті протоколи, захищені адреси та умови втручання. Захист може мати обмеження покриття або заходи стримування. Безстрокова претензія не замінює технічних умов і договору.
L7 охоплює конкретну програму
HTTP-проксі може обробляти HTTP, але не автоматично протокол кожної гри. Обіцянка L7 має називати конкретні запити, точки підключення та правила. Врахуйте автентифікацію й завантаження файлів. Якщо вони блокуються, гра може бути недоступною навіть із запущеним серверним процесом. Тестуйте весь ланцюг дій клієнта, а не тільки вебвідповідь.
FiveM демонструє відмінність: точка входу HTTP, завантаження та ігровий процес потребують узгодженої архітектури. Захищений веб-сайт може залишатися доступним, поки гра не завершиться. Можливість L7 повинна описувати її фактичний обсяг, а не стверджувати, що охоплює кожну програму.
Потужність не дорівнює гарантії послуги
Сукупна потужність вищої мережі не є швидкістю одного порту чи гарантією для кожної атаки. Відокремте мережеву фільтрацію, власну пропускну здатність та договірні межі. З’ясуйте наслідки перевищення або помилкової класифікації. Одна цифра терабітів не підтверджує гарантованої доступності, затримки чи захисту від усіх прикладних атак; потрібні конкретні умови.
Обмеження походження вимагає розуміння законних джерел і послуг. Перевірте маршрути, зворотний трафік, голос, файли та адміністрування перед фільтрацією. Надмірно широкий білий список розкриває походження; занадто вузький може спричинити збій. Не копіюйте загальне правило, не розуміючи архітектури.
Обмежте origin і адміністрування
Коли архітектура потребує обмеження, дозволяйте лише погоджені шляхи входу. Використовуйте підтверджені мережі джерела, а не весь інтернет. Адміністрування, бази даних та запасні порти перевіряйте окремо. Змінюйте правила поступово й зберігайте незалежне керування та повернення. Неправильний брандмауер може блокувати клієнтів так само ефективно, як сама атака.
Запитувати події з мітками часу та пояснення фільтрації, коли законні з’єднання не вдаються. Розрізняйте помилкові спрацьовування, обхідні маршрути та завантаження програми. Нескоординоване тестування навантаження може погіршити саму послугу; домовитися про активну перевірку з провайдером і встановити точні ліміти.
Дослідіть також ресурси
Навантаження CPU, брак пам’яті, помилка скрипту або повільний диск можуть нагадувати мережевий збій. До висновків порівняйте час, журнали, ресурси та дані трафіку. Користуйтеся малими дозволеними функціональними тестами й подіями оператора. Після виправлення перевіряйте справжні з’єднання гравців та всі включені служби; одна доступна сторінка не є достатнім результатом.
Потім порівняйте доступні плани та ціни для потрібного обсягу. Корисний вибір поєднує в собі пропускну здатність мережі, обробку з урахуванням протоколу та здатність діагностувати інциденти. Жодна система захисту не усуває необхідності підтримувати програмне забезпечення, облікові записи та резервне копіювання.
Що робити у вашій ситуації?
| Ситуація | Наступний крок |
|---|---|
| Гра використовує UDP | Попросіть документований обсяг UDP-захисту й перевірте справжній клієнт. |
| Вебетап потребує фільтрації | Перевірте HTTP-адреси, origin та роботу дозволених запитів. |
| Послуга зупиняється без мережевих доказів | Порівняйте журнали й навантаження перед висновком про DDoS. |
Офіційні джерела
Джерела описують протоколи й налаштування. Перевірте документацію саме вашої версії.