VPS/VDS от 33 ₽
RU EN DE TR ES PT

Защита от DDoS: что на самом деле дают хостеры

Строку «защита от DDoS» сейчас пишет в тарифах каждый второй хостер. За ней может стоять фильтрация на несколько терабит, а может — только право отключить ваш адрес, когда атака мешает соседям. Разберём, из чего состоит защита, чем отличаются уровни L3/L4 и L7 и как по договору понять, что вы покупаете.

Обновлено 03.11.2026 · Подобрать VPS по своим условиям →

DDoS-атака — это поток запросов с множества машин, который должен перегрузить сервер или его канал, чтобы настоящие посетители не могли до него достучаться. Защиту от неё строят на сети хостера или у внешнего фильтрующего провайдера: подозрительный трафик отделяют от обычного и отбрасывают до того, как он дойдёт до сервера. Сам сервер справиться с крупной атакой не может: если канал до него забит, никакие настройки внутри системы уже не помогут.

Уровни атак: L3/L4 и L7

Атаки делят по уровням сетевой модели, и защищаются от них по-разному.

  • Объёмные атаки (L3/L4) забивают канал: на сервер идёт столько трафика, что порт или внешние каналы дата-центра заполнены целиком. Их мощность измеряют в гигабитах и терабитах в секунду.
  • Атаки на протоколы (L3/L4) исчерпывают не канал, а ресурсы, которые держат соединения: таблицы состояний файрвола, очередь новых TCP-соединений. Их меряют в пакетах в секунду (pps, Mpps). Против части таких атак работает и защита на самом сервере, например SYN cookies (RFC 4987).
  • Атаки на приложение (L7) выглядят как обычные HTTP-запросы к сайту или API: страницы поиска, корзины, входа. Канал при этом почти свободен, а падает веб-сервер или база. Их меряют в запросах в секунду (rps) и отличают от посетителей по поведению, а не по объёму.

Сетевая фильтрация L3/L4 — то, что хостер обычно включает для всех клиентов. Защита L7 сложнее: фильтру нужно понимать ваш сайт, видеть содержимое HTTPS-запросов и уметь отличить посетителя от бота. Поэтому её чаще продают отдельно, подключают через прокси с вашим сертификатом или оставляют на стороне сайта — CDN, WAF, ограничение частоты запросов в веб-сервере.

«Защита включена» и реальная фильтрация

По данным каталога accsly на 3 ноября 2026 года, защиту от DDoS заявляют 1117 из 2236 хостеров с тарифами VPS — ровно половина. Подробности о ней удалось найти у 219 хостеров каталога, и картина пёстрая:

  • ёмкость фильтрации в Гбит/с или Тбит/с называют 35 хостеров;
  • уровень защиты (L3/L4 или L7) указывают 24;
  • L7 упоминают 8, и у половины из них она платная или подключается по запросу;
  • примерно в четверти описаний защита — отдельная платная опция, ещё примерно в четверти — явно включена в цену.

Остальные пишут коротко: «есть», «заявлена», «встроенная сетевая защита». Это не обязательно плохо, но по такой фразе нельзя понять, что произойдёт во время атаки. За одинаковыми словами встречаются три разные вещи:

  1. Постоянная фильтрация (always-on). Весь трафик всегда проходит через фильтр. Атака отсекается сразу, но фильтр иногда задевает и обычный трафик — например, игровые протоколы на UDP.
  2. Фильтрация по срабатыванию (on-demand). Система следит за трафиком и включает очистку, когда поток превышает порог. Между началом атаки и включением фильтра проходят секунды или минуты, и сервер это время может быть недоступен.
  3. Только blackhole. Настоящей очистки нет: при атаке сеть хостера просто перестаёт пропускать трафик к вашему адресу. Это защищает соседей и хостера, но не вас.

Порог и blackhole

У любой защиты есть предел — объём или число пакетов, после которого хостер перестаёт фильтровать. Обычно это записано в правилах так: «при атаке свыше N Гбит/с адрес может быть временно отключён». Отключают через blackhole: оператор объявляет соседним сетям, что трафик на ваш адрес нужно отбрасывать. Для этого в BGP есть стандартная метка BLACKHOLE (RFC 7999), а отключают по возможности ровно один адрес — /32 для IPv4 или /128 для IPv6, чтобы не задеть соседей.

Для владельца сервера это значит простую вещь: атака достигает цели, только не на вашем сервере, а на сети. Адрес недоступен для всех, пока blackhole не снимут, а срок у хостеров разный — его тоже стоит искать в правилах. Если проект не переживёт такого простоя, порог фильтрации должен быть заметно выше атак, которые вы реально ждёте, а сайт стоит закрыть дополнительной защитой L7 спереди.

Ещё одна деталь — порт. На тарифе с портом 100 Мбит/с даже небольшая атака заполнит его целиком, и фильтр на стороне хостера должен отсечь её до вашего порта. О том, как читать скорость порта и общий канал, — в статье Канал и трафик: что значит 1 Гбит/с и безлимит.

Что спросить у хостера и проверить в договоре

  • Уровни. Только L3/L4 или есть L7? Если L7 — как она подключается: через прокси, через смену DNS, с вашим сертификатом или без.
  • Ёмкость. Сколько Гбит/с и сколько миллионов пакетов в секунду фильтр выдерживает на один адрес, а не на всю сеть.
  • Режим. Фильтрация постоянная или включается по порогу; сколько времени проходит до включения.
  • Что после порога. Отключают ли адрес, на какой срок, можно ли снять отключение раньше и сколько стоит переход на защиту выше.
  • Где стоит фильтр. В самом дата-центре или у внешнего провайдера; распространяется ли защита на все локации хостера — бывает, что она есть только в одном городе.
  • Цена и сроки. Включена ли защита в тариф или это опция за отдельную плату, и нет ли платы за каждую отражённую атаку.
  • Ответственность. Входит ли время атаки в SLA по доступности. Часто нет: правила исключают атаки из гарантии.

Ответы стоит получить письменно, в тикете поддержки: это и есть ваши условия, если описания на сайте мало. Общие приёмы чтения тарифа — в статье Как читать тарифы хостера: скрытые ограничения.

Что сделать самому

Даже с хорошей защитой хостера часть работы остаётся на вашей стороне:

  • закройте файрволом всё, кроме нужных портов, и включите SYN cookies — в большинстве дистрибутивов Linux они уже включены; базовая настройка описана в статье Первые 10 шагов после покупки VPS;
  • для сайта ограничьте частоту запросов к тяжёлым страницам (поиск, вход, корзина) прямо в веб-сервере и поставьте перед сайтом CDN с защитой L7;
  • если сайт за CDN или прокси, не публикуйте прямой адрес сервера в DNS и в письмах: иначе трафик пойдёт мимо фильтра;
  • следите за доступностью снаружи, чтобы узнать об атаке раньше посетителей, — об этом статья Мониторинг сервера: аптайм, нагрузка, алерты;
  • держите свежую резервную копию и инструкцию переезда: если хостер не справится, проект можно поднять в другом месте.

Тарифы, где защита заявлена в цене, собраны в подборке VPS с защитой от DDoS. Игровым серверам защита нужна чаще других, и обычно именно L3/L4 на UDP: подборки VPS для игрового сервера и выделенные серверы для игр.

Частые вопросы

Чем защита L3/L4 отличается от L7?

L3/L4 фильтрует сетевой трафик по объёму и пакетам: защищает канал и соединения. L7 разбирает HTTP-запросы к сайту и отличает посетителей от ботов. Первую хостеры обычно включают всем, вторую чаще продают отдельно или ставят через CDN.

Что значит «защита от DDoS включена» в тарифе?

Только то, что у хостера есть какая-то фильтрация. Это может быть постоянная очистка на терабиты, фильтр, который включается по порогу, или лишь отключение адреса при атаке. Уточните уровень, ёмкость на один адрес и что происходит после порога.

Что такое blackhole при DDoS-атаке?

Хостер перестаёт пропускать весь трафик к атакованному адресу, обычно ровно к одному IP. Это защищает остальную сеть, но ваш сервер на это время недоступен для всех.

Сколько длится отключение адреса через blackhole?

Единого срока нет: одни хостеры снимают отключение через фиксированное время, другие — когда атака закончится. Срок и возможность снять отключение раньше ищите в правилах или спросите в поддержке до оплаты.

Нужна ли защита от DDoS небольшому сайту?

Базовой сетевой фильтрации хостера и CDN перед сайтом обычно достаточно. Отдельная платная защита нужна, если простой стоит денег: интернет-магазин, игровой сервер, сервис с платящими клиентами.

Входит ли время атаки в SLA по аптайму?

Часто нет: многие правила исключают DDoS-атаки из гарантии доступности. Если для вас это важно, ищите это условие в SLA отдельно.

Ещё в справочнике

  • Облачный сервер или VPSОблачный сервер и VPS — обычно одна и та же виртуальная машина на KVM. Разница в обвязке: облако продаёт ресурсы по часам через API и даёт сетевые диски, снапшоты и готовые сервисы, а классический VPS — фиксированный тариф на месяц с локальным диском и пакетом трафика. Разберём, что из этого вам нужно и сколько это стоит.
  • Выделенный сервер или VPSVPS — это часть физического сервера, выделенный сервер — вся машина целиком. На 4 ядрах и 8–16 ГБ памяти VPS почти вдвое дешевле, на 4 ядрах и 32 ГБ цены равны, а при 64 ГБ на 8 ядрах или 128 ГБ на 16 ядрах выделенный сервер в каталоге дешевле виртуального на треть. Разберём, что ещё меняется, кроме цены: соседи, гарантии, сроки, отказы железа и удалённое управление.
  • Хостинг или VPS для сайтаВиртуальный хостинг — это готовое место для сайта, где сервером занимается хостер. VPS — свой сервер, где всё настраиваете вы. Для лендинга и обычного сайта на WordPress хватает хостинга, и он в несколько раз дешевле. VPS нужен, когда сайту мало лимитов аккаунта или нужна программа, которую хостинг не разрешает. Ниже — что входит в каждый вариант, сколько он стоит и таблица для выбора.
  • Почтовый сервер на VPS: SPF, DKIM, DMARCПоставить Postfix или готовую сборку вроде Mailcow на VPS — дело часа. Добиться, чтобы письма доходили во входящие, а не в спам, сложнее: почтовые службы смотрят на порт, адрес сервера, его репутацию и три записи DNS. Разберём, что проверить у хостера до покупки и как настроить SPF, DKIM и DMARC.
  • Мониторинг сервера: аптайм, нагрузка, алертыБез мониторинга о падении сервера вы узнаёте от посетителей, а о заканчивающемся диске — когда база перестаёт записывать. Хватает нескольких проверок снаружи и десятка метрик изнутри, чтобы видеть проблему раньше пользователей. Разберём, что измерять, где ставить проверки и чем это сделать бесплатно.
  • Как читать тарифы хостера: скрытые ограниченияКарточка тарифа показывает ядра, память, диск и цену за месяц. Но два тарифа с одинаковыми цифрами могут стоить по-разному уже через год и вести себя по-разному под нагрузкой. Разница — в условиях, которые пишут мелким шрифтом, в правилах использования или вообще только в договоре. Ниже — восемь мест, которые стоит проверить до оплаты.
  • IPv4 и IPv6 на сервереУ обычного VPS один публичный IPv4-адрес и, если хостер поддерживает, подсеть IPv6. Дополнительный IPv4 почти всегда стоит денег, а самые дешёвые тарифы иногда идут без своего IPv4 вовсе. Разберёмся, откуда этот дефицит, что можно сделать на одном IPv6 и какие настройки адреса нужны почтовому серверу.
  • Канал и трафик: что значит 1 Гбит/с и безлимитВ тарифе сервера обычно две сетевые строки: скорость порта и объём трафика. Первая говорит, как быстро сервер может отдавать данные, вторая — сколько он может отдать за месяц. Они связаны простой арифметикой, и, зная её, легко понять, что на самом деле продаёт «1 Гбит/с безлимит» и хватит ли вам «5 ТБ».
  • Docker на VPS: с чего начатьDocker позволяет запустить на сервере бота, сайт, базу данных и мониторинг так, что они не мешают друг другу, а переезд на другой VPS сводится к копированию пары файлов и данных. Установка занимает пять минут, а основные неприятности начинаются позже: открытые наружу порты базы, журналы на десятки гигабайт и данные, которые пропали вместе с контейнером. Разбираем, как избежать их с самого начала.
  • Как перенести сайт с хостинга на VPSСам перенос занимает пару часов, а ошибки обычно случаются вокруг него: забытое задание cron, правила .htaccess, которые nginx не читает, запись AAAA со старым адресом или почта, которая пропала вместе со сменой IP. Ниже — порядок действий с командами и проверками для сайта на PHP и MySQL.
  • Панели управления сервером: ISPmanager, FASTPANEL, aaPanelПанель превращает VPS в привычный по хостингу кабинет: сайты, базы, почта и сертификаты заводятся мышкой, а не правкой конфигов. Три панели, которые чаще всего ставят на российские и недорогие зарубежные серверы, — ISPmanager, FASTPANEL и aaPanel. Они различаются ценой, требованиями к памяти и тем, насколько глубоко забирают сервер под себя.
  • Windows VPS для 1ССервер для 1С в аренде избавляет от офисного компьютера под столом, который никто не обновляет и не копирует. Но у 1С на VPS свои особенности: программная лицензия привязывается к параметрам виртуальной машины, пользователям нужны лицензии и 1С, и Windows, а ядра важнее их количества. Разбираем, как собрать сервер под 1С для небольшой компании.
  • Windows VPS: лицензия, RDP и безопасность входаСервер с Windows дороже Linux не только из-за памяти: в цену входит лицензия, и от того, как она оформлена, зависит, законно ли вы работаете и сколько человек может подключиться. А открытый RDP — самая частая причина взлома таких серверов. Разбираем обе темы.
  • Когда переезжать с хостинга на VPSVPS не делает сайт быстрее сам по себе: он даёт ресурсы и свободу, но вместе с ними — администрирование. Разбираем, по каким признакам видно, что хостинг стал тесным, когда проблема решается без переезда и как перенести сайт так, чтобы посетители ничего не заметили.
  • Резервные копии VPS: стратегии и инструментыНа VPS резервные копии — ваша забота, даже если в тарифе написано «бэкапы включены». Разбираем, что именно копировать, почему снимка у хостера мало, как настроить restic или BorgBackup за полчаса и как убедиться, что из копии действительно можно восстановиться.
  • Первые 10 шагов после покупки VPS: безопасностьПароли к новому серверу начинают подбирать через несколько минут после того, как у него появился публичный IP. Ниже — десять шагов, которые за час закрывают самые частые дыры: команды для Ubuntu и Debian, отличия для AlmaLinux и Rocky Linux и проверки, без которых легко потерять доступ к собственному серверу.
  • Как выбрать страну для сервераСтавьте сервер туда, где ваши посетители. Если сайт собирает данные россиян, база должна быть в России, этого требует закон. Для аудитории по всей Европе удобны Нидерланды, Германия и Финляндия. Цена почти не решает: у одного хостера сервер в Москве, Амстердаме и Франкфурте обычно стоит одинаково, а заметно дороже только Азия и Австралия.
  • Почасовая оплата: когда она выгоднаПочасовая оплата выгодна, если сервер нужен меньше трёх недель в месяц: на тест, на сборку, на разовую тяжёлую задачу. У большинства хостеров час стоит ровно месячную цену, делённую на 730 часов, так что за полный месяц вы почти не переплачиваете. Переплата прячется в другом: тарифы с почасовой оплатой в среднем дороже, а у сервера, который работает круглый год, помесячная оплата за год вперёд обычно выходит дешевле.
  • Сколько памяти и ядер нужно сайтуБольшинству сайтов хватает 2 ГБ памяти и одного-двух ядер, магазину с тысячами товаров нужно 4 ГБ и два ядра. Память важнее ядер: когда её не хватает, сайт тормозит или падает, а лишнее ядро без памяти почти ничего не даёт. Ниже покажу, как посчитать память под свой сайт и как узнать, сколько он тратит на самом деле.
  • KVM или OpenVZ: что выбратьВ 2026 году почти всегда стоит брать KVM: он дороже OpenVZ на десятки рублей в месяц, зато на нём работает всё, от Docker до Windows. OpenVZ оправдан в узком случае, и ниже видно, в каком, а в конце — команды, которыми можно проверить свой сервер за минуту.
  • NVMe или SSD: есть ли разница для сайтаДля небольшого сайта разница между NVMe и SSD почти незаметна: страницы отдаются из памяти, а не с диска. Она появляется у магазинов и сайтов с большой базой данных. При этом NVMe у того же хостера стоит всего на 45–80 ₽ в месяц дороже, а иногда и дешевле, так что решает обычно не тип диска, а объём и то, как хостер его ограничил.
  • Что такое VPS простыми словамиVPS — это часть мощного физического сервера, которую вам сдают в аренду и которая ведёт себя как отдельный компьютер: со своей системой, своим IP-адресом и полным доступом. Ниже — чем он отличается от хостинга, кому нужен, сколько стоит и что проверить сразу после покупки.
  • VPS для Telegram-бота: что нужно боту и как выбрать тарифБоту с меню и парой команд хватает самого дешёвого сервера, а бот с рассылками, файлами и базой упирается совсем в другие ресурсы. Разбираем, что на самом деле потребляет бот, какие ограничения Telegram влияют на выбор сервера и как не переплатить.
  • Как проверить пинг и скорость VPS до оплатыЦифры в тарифе не говорят, какой будет задержка до ваших пользователей и как быстро работает диск. Большую часть этого можно измерить до оплаты, остальное — в первый час работы сервера. Разбираем инструменты и то, как читать результаты.
  • Корпоративная сеть на VPS: удалённый доступ к офисуАрендованный сервер может стать центром частной сети компании: через него сотрудники из дома и филиалы подключаются к 1С, файловому хранилищу, CRM и Git. Разбираем схемы, протоколы, требования к серверу и базовую защиту.
  • Как выбрать VPS: 7 параметров, которые решаютДва тарифа с одинаковыми «2 ядра, 4 ГБ, 50 ГБ» могут отличаться по скорости в разы и по цене через год — вдвое. Разбираем, что стоит за каждой строкой тарифа и на что смотреть до оплаты.
  • VPS или VDS: есть ли разница и что на самом деле важноНа российском рынке VPS и VDS чаще всего означают одно и то же — виртуальный сервер. Разница, которая действительно влияет на работу, прячется не в названии, а в типе виртуализации и в том, гарантированы ли ресурсы.