Настройка DDoS защиты на IP адресе
Фильтры для портов
Для каждого порта можно настроить L7 фильтр. Применимо только к TCP
Тип "Обычный фильтр"
Применяет стандартное ограничение трафика на порт. Рекомендуется использовать для портов, куда через каждое подключение допустимо отправить большое количество трафика. Например: загрузка файлов, SFTP, прокси. При целенаправленных L7 атаках может частично ограничить новые подключения на порт
Тип "Ratelimit"
Применяет расширенный ratelimit (ограничение трафика в секунду с источника) на порт. Рекомендуется использовать для сайтов или игровых серверов. Это обеспечит максимально возможную защиту на этом уровне. Может замедлить загрузку объемных ресурсов через порт
Тип "SSH"
Применяет фильтрацию полезной нагрузки (payload) под тип SSH. При целенаправленных атаках с верной полезной нагрузкой может ограничивать новые соединения на порт
Тип "Minecraft"
Применяет фильтрацию полезной нагрузки (payload) под тип Minecraft (Java). Может быть несовместим с некоторыми плагинами, версиями и ядрами игры. При целенаправленных атаках с верной полезной нагрузкой может ограничивать новые соединения на порт
Дополнительные фильтры
Белый список
Ограничивает входящий трафик на все порты, кроме тех, для которых настроены L7 фильтры
Проверка протоколов
Блокирует трафик с источника, который несколько раз нарушил правила передачи. Также применяет метод эвристики. Иногда может блокировать зашифрованный UDP трафик, в том числе ответный
Строгая проверка протоколов
То же, что и "Проверка протоколов", но в более строгом режиме. Использовать только вместе с включенной опцией "Проверка протоколов"
Строгость к UDP
Более строго проверяет UDP пакеты. Иногда может блокировать зашифрованный UDP трафик, в том числе ответный, например, голосовые вызовы
Дополнительные L7 фильтры
Применяет дополнительные L7 фильтры для всех портов без ложных срабатываний
Как должна быть настроена защита
Если вы хотите максимально защитить свой сервер от DDoS атак, вам необходимо включить все дополнительные фильтры, а также добавить для всех портов соответствующие фильтры. В большинстве случаев рекомендуется применять фильтр "Ratelimit" для каждого порта. Он обеспечивает максимальную защиту, но будет блокировать передачу большого количества трафика одному клиенту.