Защита от DDoS атак

• Защита не "сдается в аренду" или по "подписке";
• Плата единоразовая, а все ПО и настройки осуществляются на вашем сервере;
• Все работает в связке nginx + firewalld + не много кода на с++\php;
• Я работаю на мощностях провайдера OVH (так же можно настроить и на любом другом провайдере, но в таком ключе для вас остается открытый вопрос - во время попытки обрушения, не заблокирует ли ваш VPS провайдер?);
• Весь процесс по патчингу ваших ресурсов я возьму на себя (php, c#, c++) и он входит в стоимость;
• Я не занимаюсь редактированием уже скомпилированного кода;

ANZO написал(а):

Не совсем понял зачем в цепочке "я<->OVH" вы. Обычный RateLimit на пакет авторизации и блок IP напрямую через вызов API в OVH VAC без всяких костылей решит проблему на корню. А рандомный флуд по портам VAC и сам блочит практически моментально.

Нажмите, чтобы раскрыть...

e1mer написал(а):

Ага, пояснительную бригаду тогда, зачем на этом форуме в этом же разделе есть несколько топиков о предоставлении этих же услуг?)

Да и прошу объяснить, как вы будете бороться с DDoS если вы например проксируете трафик с помощью cloudflare? Вы никогда не увидите реальный IP адрес сендера, вы увидите только IP адрес cloudflare. И я сейчас говорю о TCP трафике, не о HTTP.

Нажмите, чтобы раскрыть...

ANZO написал(а):

Можно придумать с сотню ситуаций когда то или иное решение не будет работать.
Вы писали про защиту гейма - я написал как это делают в нормальном мире.

В случае если вы абузите туннелирование CF, то у вас проблема больше в том, что ваш белый список пойдет по месту, когда атакующий начнет использовать WARP прокси и вы успешно перебаните всю подсеть CF.
Нужен реальный IP? Допишите в пакет авторизации на клиенте и дергайте WAF API когда лимиты превышены.

Нажмите, чтобы раскрыть...

e1mer написал(а):

В случае с cloudflare я не использую вайт-листы. Я использую прокси-сервер (см. пост выше.).
Посмотреть вложение 73582

Нажмите, чтобы раскрыть...

ANZO написал(а):

Spectrum

Нажмите, чтобы раскрыть...

ANZO написал(а):

зальют 200+Гбит

Нажмите, чтобы раскрыть...

EasyGameProtection написал(а):

CF Spectrum бесполезное говно, уже тестировали года 3-4 назад)


Сейчас уже почти никто не использует метод "грубой силы", вливая 100500 гигабит пытаясь просто задавить канал.
Штормам вот относительно недавно влили почти 3Tbps и они без особых трудностей отбились.
Гораздо дешевле и проще атаковать на уровне игрового протокола. Нет необходимости полностью ронять серверную машину, достаточно создать проблемы для Login/Game сервера.
Просто небольшой пример на scryde

По теме:

ТС сейчас просто идет по граблям, по которым другие прошли уже много много лет назад.
Его идея с прокси-сервером, о которой он писал выше, в самый ответственный момент при реальной атаке преподнесет ему неприятные сюрпризы. Не он первый идет по этим граблям, и не он последний

Идею с вайтлистами, как я вижу, ТС принес из игры Perfect World, где это продается за 2к рублей в виде плагина для личного кабинета, где игрок проходит капчу и его IP добавляется в белый список. Другие же делают что-то типа port knocking'а, стучась, например, из апдейтера на определенный порт. В любом случае суть одна и та же - добавить игрока в белый список.

Только спойлер - это работает до тех порт, по сервер никому нафиг не уперся. Сервера из топ 5 с этой защитой постоянно отлетают на старте.
puppeteer + пара баксов на балансе 2captcha + немного мелочи на покупку socks proxy + немного свободного времени + прямые руки == заруиненный старт сервера.
Об OOG ботах и инжект пакетов через игровой клиент я даже говорить не буду

Нажмите, чтобы раскрыть...

ANZO написал(а):

Cloudflare, к сожалению, вообще не умеет в фильтрацию чистого TCP траффика - из-за этого нет возможности тонко настроить правила фильтрации (даже на Enterprise тарифе). И на данный момент получается, что единственное для чего он пригоден это сугубо HTTP и то с рядом условностей которые вынуждают в некоторых случаях уходить в репликацию OVH+CDN.

И опять же таки - повторюсь, ЕДИНСТВЕННЫЙ действенный способ это решать проблему флуда и отсекать нелегит траффик непосредственно на уровне протокола логина\гейма. Если у вас сервер пытается выполнять рутину той же авторизации на каждый "валидный" входящий пакет - вам не поможет никакая защита, какая бы она продвинутая не была.

Нажмите, чтобы раскрыть...

Bamper написал(а):

Ну до этого нужно еще дожить. Многие "сeперзащитники" дают жидкого еще на этапе интеграции поделки в клиент игры, а потом придумывают всякие нелепые оправдания).

Easy Game Protection - защита от DDoS и не только

When support for Aion PTS?

mmo-dev.info

Если говорить по факту, то защиты рабочие, спасут от атак среднего и выше среднего уровня. Себестоимость этих самопалов до 200-300$, если прям хочется свое, а не брать у дяди в аренду. На паре форумов висят исходники поделок на продажу.

Нажмите, чтобы раскрыть...

Bamper написал(а):

Чисто случайно увидел, что использует автор и протестировал на деле без апдейтера. Был удивлен, что схема то рабочая.
Из плюсов, если игроки уже вошли в игру их не дропнет. Из минусов новые игроки не смогут войти до тех пор пока не закончится атака или не отфильтрует защита. Но, можно схитрить и обмануть атакующую сторону и все будет работать.

p.s 300$ много, реальная цена 150$ из которых 100$ за сообразительность.

Нажмите, чтобы раскрыть...

Bamper написал(а):

p.ss против пакетов защиту реализовали еще 2019, но серверу все равно было трудно.

Нажмите, чтобы раскрыть...

e1mer написал(а):

Разбиравшегося парня видно сразу. Про снижение пинга для всего мира мы просто опустим, это ведь мелочь для тебя.
То что ты не умеешь с этим работать, и бессилен в настройке не говорит о том что cloudflare бесполезен, просто промолчи в нужный момент - сохранишь авторитет.

Ты не учитываешь, что единственный действенный способ - это только для тебя.

А теперь к пруфам.

Вот короткий ролик, о том как очищается трафик и беспрепятственно можно войти на сервер, используя только обосранный вами выше прокси-сервер (в данном случае используется 2 штуки),1 на точке входа - где первично очищается трафик, второй уже на самом сервере Windows - куда необходимо слать в данном примере трафик, он же добивает остатки просочившиеся пакеты.

Подчеркну, что никакой блокировки IP адресов не происходит, весь алгоритм настроен на правильную очистку TCP под текущие задачи. На скорости 60 мегабит в секунду. Фейковых соединений не превышает 350, что даже для Windows очень хорошо, ведь в запасе мы имеем ещё более 50 тысяч свободных локальных портов.

Ах да, столько слов, столько слов,к слову, вайт-листы в данном случае не задействованы.

Нажмите, чтобы раскрыть...