VPS/VDS с защитой от DDoS

Отметку «защита от DDoS» ставят больше половины тарифов в каталоге, включая самые дешёвые. За одинаковыми словами скрываются разные услуги: от базовой фильтрации на границе сети дата-центра до отдельного защищённого IP с очисткой трафика на уровне приложений. Перед тем как арендовать VDS под игру, магазин или API, разберитесь, от чего именно вас защищают.

L3/L4 и L7 — две разные проблемы

Большинство атак объёмные, на сетевом и транспортном уровнях (L3/L4): UDP-флуд, SYN-флуд, амплификация через DNS, NTP или memcached. Цель — забить канал или таблицу соединений. Против них работает фильтрация у провайдера: трафик проходит через очищающее оборудование до того, как попадёт на сервер. Именно это обычно и называют базовой защитой.

Атаки уровня приложений (L7) выглядят как обычные HTTP-запросы: тысячи ботов открывают поиск, корзину, форму входа. По объёму они небольшие, и сетевой фильтр их не замечает. Здесь нужны другие средства: защищённый прокси или CDN перед сайтом, лимиты запросов в nginx, капча, кэширование тяжёлых страниц. Для сайта или интернет-магазина защита L3/L4 от хостера закрывает только половину рисков.

Что включено в тариф, а что за доплату

• Базовая защита в цене тарифа. Автоматическая фильтрация известных типов флуда с ограниченной ёмкостью. Если атака сильнее, хостер может отправить ваш IP в blackhole: сервер работает, но из интернета недоступен, пока атака не закончится.
• Расширенная защита. Отдельный защищённый IP или тариф с большей ёмкостью фильтрации, иногда с правилами под конкретные протоколы.
• Защита L7. Обычно самостоятельная услуга: домен проксируется через фильтрующую сеть, а реальный IP сервера скрыт.

Что спросить у хостера до оплаты

1. Какая ёмкость фильтрации и что происходит, когда атака её превышает.
2. Защита работает постоянно (always-on) или включается после обнаружения атаки. Во втором случае первые минуты сервер может быть недоступен.
3. Как фильтруется UDP. Игровые и голосовые протоколы страдают от грубых правил: вместе с флудом отваливаются настоящие игроки.
4. Учитывается ли входящий трафик атаки в лимите тарифа и что будет при повторных атаках.
5. Приходят ли уведомления об атаках и видно ли их в панели.

Кому защита нужна в первую очередь

Чаще всего атакуют игровые проекты: серверы Minecraft, Rust, RP-проекты на RAGE MP и FiveM. Заказать флуд стоит недорого, поэтому тонкие правила под игровые протоколы здесь важнее мощности процессора. Второй риск — магазины и сервисы в дни распродаж. Для корпоративного VPN небольшой команды или тестового стенда достаточно базовой защиты, которая и так есть у большинства тарифов.

В таблице выше собраны тарифы, где защиту от DDoS заявляет сам хостер; цены приведены к рублям, а колонка «Оплата» показывает, можно ли заплатить картой МИР, через СБП или криптовалютой. Ёмкость и условия защиты хостеры описывают по-разному, поэтому уточняйте их у поддержки.