DDoS-защита сервера: что это и нужна ли

«У меня маленький сайт, кому я нужен» — так думают ровно до первого падения под ботнетом. Разбираем, что такое DDoS на самом деле, как понять что вас уже атакуют и что реально можно сделать на своём VPS, а что бесполезно.

Что такое DDoS простыми словами

DoS (Denial of Service) — отказ в обслуживании. Атакующий заваливает ваш сервер запросами так, что он не успевает отвечать легитимным пользователям. DDoS — то же самое, но Distributed: запросы идут не с одной машины, а с тысяч заражённых устройств (ботнета) по всему миру. Заблокировать один IP бессмысленно — их десятки тысяч.

Цель атаки — не украсть данные, а сделать сервис недоступным. Мотивы разные: конкуренты, вымогательство («заплати, и мы остановимся»), политика или просто вандализм. Под удар попадают не только крупные компании — под массовое сканирование ботнетов случайно залетают и небольшие VPS.

• Объёмные (L3/L4) — забивают канал мусорным трафиком: UDP-flood, SYN-flood, amplification через DNS/NTP.
• Прикладные (L7) — имитируют реальных пользователей, дёргают тяжёлые страницы и запросы к базе. Опаснее: трафика мало, но сервер захлёбывается.

Как понять, что вас атакуют

Первый признак — сайт лёг или тормозит, а нагрузка на CPU и сеть аномально высокая без всплеска настоящих пользователей. Смотрим, кто и сколько раз стучится.

ss -ntu | awk '{print $6}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Если один-два IP держат сотни соединений — похоже на примитивный флуд. Если тысячи разных IP по одному соединению — это распределённая L7-атака. По логам nginx видно, какой URL дёргают чаще всего.

awk '{print 
Нужен сервер под эту задачу?
Разверните VPS MAATRIX за пару минут: NVMe, AMD EPYC, root-доступ, локации UK, США и РФ. Оплата картой РФ и по СБП.
Арендовать VPS с защитой от простоя
Как понять, что вас атакуют
Первый признак — сайт лёг или тормозит, а нагрузка на CPU и сеть аномально высокая без всплеска настоящих пользователей. Смотрим, кто и сколько раз стучится.
ss -ntu | awk '{print $6}' | cut -d: -f1 | sort | uniq -c | sort -rn | head
Если один-два IP держат сотни соединений — похоже на примитивный флуд. Если тысячи разных IP по одному соединению — это распределённая L7-атака. По логам nginx видно, какой URL дёргают чаще всего.
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
Средняя нагрузка и память подскажут, упёрлись вы в CPU, сеть или в базу.
uptime && free -m && ss -s
Базовая защита своими руками на VPS
От мощного объёмного DDoS одиночный сервер не спасётся — канал забьётся раньше. Но от мусорного трафика и слабых атак базовые меры реально помогают. Ограничим число соединений с одного IP через nf-tables/iptables.
sudo iptables -A INPUT -p tcp --dport 80 -m connlimit \
  --connlimit-above 50 -j DROP
В nginx включаем rate limiting — не больше N запросов в секунду с адреса. Это отсекает L7-флуд по конкретным ручкам.
limit_req_zone $binary_remote_addr zone=web:10m rate=10r/s;
server {
  location / {
    limit_req zone=web burst=20 nodelay;
  }
}
Fail2ban автоматически банит IP, которые слишком часто попадают в логи с ошибками.
sudo apt update && sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
Ключевое правило: держите за сервером reverse-proxy или CDN, а реальный IP origin-сервера не светите — иначе атакующий обойдёт защиту напрямую.
Когда своих сил не хватает
Объёмные атаки в десятки и сотни Гбит/с фильтруются только на уровне сети провайдера или в специализированном облаке очистки трафика (scrubbing center). Ни один VPS в одиночку такой поток не переварит — вопрос только в ширине канала.
CDN/прокси (Cloudflare и аналоги) — прячут origin-IP и держат L7 на своей инфраструктуре.
Провайдерская фильтрация — трафик чистится до того, как дойдёт до вашего сервера.
Резервирование — если один узел лёг, трафик уходит на второй.
Важна и сама инфраструктура под сайтом: чем быстрее сервер отдаёт легитимные ответы, тем выше порог, при котором он «ложится». На тарифах MAATRIX это AMD EPYC + NVMe — высокая производительность на ядро помогает переваривать всплески нагрузки, а ежедневные бэкапы дают быстро восстановиться, если что-то пошло не так во время инцидента.
Нужна ли вам защита: честный ответ
Не каждому проекту нужна платная anti-DDoS подписка. Оцените риск трезво: интернет-магазин в сезон распродаж или сервис, за простой которого платят деньгами и репутацией, — да, защита оправдана. Личный блог или пет-проект — достаточно базовых мер и CDN-прокси, которые есть в бесплатных тарифах.
Минимальный разумный набор для любого VPS: закрытый firewall, скрытый origin-IP за прокси, rate limiting в nginx и fail2ban. Это бесплатно, ставится за полчаса и отбивает 90% того мусора, что реально прилетает небольшим серверам.

  
Нужен сервер под эту задачу?
Разверните VPS MAATRIX за пару минут: NVMe, AMD EPYC, root-доступ, локации UK, США и РФ. Оплата картой РФ и по СБП.
Арендовать VPS с защитой от простоя
}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

Средняя нагрузка и память подскажут, упёрлись вы в CPU, сеть или в базу.

uptime && free -m && ss -s

Базовая защита своими руками на VPS

От мощного объёмного DDoS одиночный сервер не спасётся — канал забьётся раньше. Но от мусорного трафика и слабых атак базовые меры реально помогают. Ограничим число соединений с одного IP через nf-tables/iptables.

sudo iptables -A INPUT -p tcp --dport 80 -m connlimit \
  --connlimit-above 50 -j DROP

В nginx включаем rate limiting — не больше N запросов в секунду с адреса. Это отсекает L7-флуд по конкретным ручкам.

limit_req_zone $binary_remote_addr zone=web:10m rate=10r/s;
server {
  location / {
    limit_req zone=web burst=20 nodelay;
  }
}

Fail2ban автоматически банит IP, которые слишком часто попадают в логи с ошибками.

sudo apt update && sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban

Ключевое правило: держите за сервером reverse-proxy или CDN, а реальный IP origin-сервера не светите — иначе атакующий обойдёт защиту напрямую.

Когда своих сил не хватает

Объёмные атаки в десятки и сотни Гбит/с фильтруются только на уровне сети провайдера или в специализированном облаке очистки трафика (scrubbing center). Ни один VPS в одиночку такой поток не переварит — вопрос только в ширине канала.

• CDN/прокси (Cloudflare и аналоги) — прячут origin-IP и держат L7 на своей инфраструктуре.
• Провайдерская фильтрация — трафик чистится до того, как дойдёт до вашего сервера.
• Резервирование — если один узел лёг, трафик уходит на второй.

Важна и сама инфраструктура под сайтом: чем быстрее сервер отдаёт легитимные ответы, тем выше порог, при котором он «ложится». На тарифах MAATRIX это AMD EPYC + NVMe — высокая производительность на ядро помогает переваривать всплески нагрузки, а ежедневные бэкапы дают быстро восстановиться, если что-то пошло не так во время инцидента.

Нужна ли вам защита: честный ответ

Не каждому проекту нужна платная anti-DDoS подписка. Оцените риск трезво: интернет-магазин в сезон распродаж или сервис, за простой которого платят деньгами и репутацией, — да, защита оправдана. Личный блог или пет-проект — достаточно базовых мер и CDN-прокси, которые есть в бесплатных тарифах.

Минимальный разумный набор для любого VPS: закрытый firewall, скрытый origin-IP за прокси, rate limiting в nginx и fail2ban. Это бесплатно, ставится за полчаса и отбивает 90% того мусора, что реально прилетает небольшим серверам.

Частые вопросы