Как устроена защита хостинга от DDoS

Автор материала · Опубликовано · Обновлено

Всё об атаках DDoS и о защите от них у вашего хостинга. Уровни L3, L4 и L7 простыми словами.

Посмотреть тарифы VPS Запросить расчёт

Атака DDoS (распределённый отказ в обслуживании) заваливает ваш сервер запросами, пока он не перестаёт отвечать. По данным Cloudflare, больше 30 % сайтов за год пережили хотя бы одну такую атаку.

Защита от DDoS у вашего хостинга отсеивает эти атаки, прежде чем они дойдут до сервера. У By-Hoster защита от DDoS на уровнях L3/L4/L7 входит во все тарифы.

К 2026 году атаки DDoS стали обыденностью: наборы «DDoS как услуга» продаются на форумах за несколько евро, огромные сети заражённых умных устройств (Mirai и его разновидности) работают круглосуточно, мощность атак перевалила за терабит в секунду. Мишенью может стать любой сайт или сервер в сети — случайно или намеренно. Это руководство объясняет, как на самом деле устроена атака DDoS, какие виды встречаются чаще всего, какими способами их отбивают и как проверить, что обещанная хостингом защита не пустой звук.

Три уровня атак DDoS

  • L3 (сетевой уровень): атаки по сети (ICMP flood, дробление IP-пакетов). Огромный объём (вплоть до Тбит/с)
  • L4 (транспортный уровень): атаки по TCP/UDP (SYN flood, UDP flood). Переполняют таблицу соединений
  • L7 (уровень приложения): атаки по HTTP/HTTPS (slowloris, HTTP flood). Подделываются под обычный трафик, отсеивать труднее

Распространённые виды атак DDoS в 2026 году

Кроме уровней OSI, атаки DDoS делят по приёму. Знание основных помогает понять, что должна уметь отсеивать серьёзная защита.

  • SYN flood: нападающий шлёт лавину пакетов TCP SYN, ни разу не доводя до конца тройное рукопожатие, и таблица соединений сервера переполняется. Противодействие: SYN cookies, ограничение частоты по IP.
  • UDP flood: массовая отправка пакетов UDP на случайные порты. Сервер пытается ответить «порт недоступен» и забивает канал. Противодействие: ограничение частоты UDP, отбрасывание трафика на неиспользуемые порты.
  • Усиление через DNS, NTP или Memcached: нападающий обращается к серверу DNS, NTP или Memcached с подменённым обратным адресом (вашим), и тот отвечает данными в 50-50 000 раз объёмнее запроса. Наблюдавшийся рекорд: 2,5 Тбит/с через Memcached.
  • HTTP flood (L7): тысячи ботов шлют с виду обычные запросы GET и POST, но по тяжёлым адресам (поиск, корзина, вход). Противодействие: проверка через JavaScript, CAPTCHA, распознавание отпечатка бота.
  • Slowloris: открываются тысячи соединений HTTP, которые держат почти пустыми и предельно медленными. Рабочие процессы Apache или Nginx заканчиваются без всякой нагрузки на канал. Противодействие: жёсткие тайм-ауты, mod_qos.
  • Ransom DDoS (RDoS): вымогательство вида «заплатите X биткойнов, иначе запустим атаку на Y Гбит/с». В 2026 году несколько групп (REvil, Lapsus$) вернулись к этой практике.

Как работает защита от DDoS у By-Hoster

Наша система фильтрации на подходе к сети (пропускная способность в несколько Тбит/с) разбирает трафик в реальном времени и отбрасывает вредоносные пакеты, прежде чем они дойдут до вашего сервера. Автоматическая фильтрация на L3/L4 и настраиваемые прикладные правила на L7.

  • Фильтрация на подходе (BGP scrubbing): трафик, идущий к нашим диапазонам IP, проходит через узлы очистки, прежде чем попасть в нашу инфраструктуру DC-FR_NA(01) в Новой Аквитании. Вредоносные пакеты убираются у истока.
  • Автоматическое обнаружение: алгоритмы эталона (изучение обычного трафика) плюс известные сигнатуры (наборы для DDoS) плюс эвристики (число пакетов в секунду с каждого исходного адреса). Отражение начинается за считаные секунды.
  • Фильтрация L3/L4: работает сама, для клиента незаметна. Отсекает SYN flood, UDP flood, усиление с отражением (DNS, NTP, Memcached, SSDP) и злоупотребление дроблением пакетов.
  • Отражение на L7: настраиваемые прикладные правила (ограничение частоты по адресу, проверка через JS, блокировка по user-agent, блокировка по стране). Клиент меняет их в панели или через техническую поддержку.
  • Без перерыва в обслуживании: обычные посетители ничего не замечают (в разгар отражения задержка вырастает разве что на 5-20 мс). Ваш сайт продолжает открываться.

Что делать во время атаки DDoS?

Даже при хорошей защите на подходе несколько действий с вашей стороны прибавят устойчивости. Вот список, который стоит пройти, когда атака замечена (необычная задержка, ошибки 503, оповещения от мониторинга):

  • Убедиться, что это атака: tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20 покажет адреса, которые стучатся чаще всего. Если видно больше 50 зарубежных адресов, каждый с сотнями запросов в секунду, это, скорее всего, атака.
  • Сразу написать в поддержку хостинга: серьёзная поддержка включит усиленное отражение за считаные минуты. Сообщите атакуемый адрес, журналы и время начала.
  • Включить режим «под атакой»: у Cloudflare есть режим JS Challenge, который заставляет каждого посетителя пройти проверку в браузере. Он отсекает 99 % ботов и слегка ухудшает удобство для живых людей.
  • Ограничить частоту на уровне приложения: в Nginx добавьте limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;, а затем limit_req zone=one burst=20; внутри блока location.
  • Временно закрыть страну: если атака идёт в основном из страны, откуда у вас нет настоящих посетителей, закройте её через iptables с GeoIP или парой нажатий в Cloudflare.
  • Собрать материал на будущее: сохраните журналы, адреса и повторяющиеся признаки. За атакой DDoS часто следуют новые попытки, а по журналам вы точнее настроите правила отражения.

Мифы и заблуждения о защите от DDoS

  • «Мой сайт слишком мал, чтобы его атаковали»: неправда. Случайные атаки бьют по целым диапазонам адресов, и достаточно, чтобы досталось соседнему адресу, — заденет и вас. А RDoS выбирает небольшие компании наугад, чтобы получить «умеренный» выкуп.
  • «Бесплатного Cloudflare хватит на всё»: Cloudflare защищает только трафик HTTP и HTTPS, идущий через его сеть. Если кто-то узнает настоящий адрес вашего сервера (по старой записи DNS, по сертификату SSL, по заголовку письма), он обойдёт Cloudflare и ударит напрямую. Защита на стороне хостинга остаётся необходимой.
  • «Защита от DDoS замедляет мой сайт»: в обычное время (когда атаки нет) хорошо сделанная защита добавляет меньше 1 мс задержки. Во время активного отражения — 5-20 мс. Это незаметно по сравнению с неотражённой атакой, после которой сайт вообще не открывается.
  • «Чтобы отбить DDoS, хватит межсетевого экрана на VPS»: для объёмных атак (L3/L4) неправда. Если ваш канал в 1 Гбит/с забит атакой на 100 Гбит/с, экран уже ничем не поможет: трафик дошёл до вашего сетевого интерфейса. Отсеивать нужно раньше. При точечных атаках на L7 межсетевой экран по-прежнему полезен.
  • «Если есть защита от DDoS, fail2ban больше не нужен»: неправда. Защита от DDoS — про распределённый объём, fail2ban — про подбор паролей и точечное сканирование. Они дополняют друг друга, а не заменяют.

Как проверить, что обещанная хостингом защита не пустой звук?

Многие хостинги пишут «защита от DDoS включена» и на этом останавливаются. Вот по каким признакам настоящая защита отличается от пустой рекламы:

  • Заявленная мощность фильтрации: серьёзная защита называет свою мощность (Гбит/с или Тбит/с). Если в документации туман, спросите у поддержки, сколько она отражает на один адрес и сколько в целом.
  • Уровни L3/L4/L7: профессиональная защита отсеивает все три уровня. Если в описании есть только «сетевая фильтрация» и ни слова про L7, вы беззащитны перед HTTP flood.
  • Постоянная или по срабатыванию: «always-on» лучше, отражение начинается сразу. Вариант «по срабатыванию» означает несколько секунд или минут недоступности, пока защита включается.
  • Включена или продаётся отдельно: защита от DDoS за отдельную плату — тревожный знак. Серьёзные хостинги включают её в тариф (по сравнению с самой системой фильтрации это копейки).
  • Разбор после атаки: попросите показать типовой отчёт по итогам. Серьёзный хостинг после атаки сообщает дату, длительность, объём, вид атаки и основные исходные адреса.

Частые вопросы

Да, пострадать может любой сайт — часто случайно (он оказался в атакуемом диапазоне адресов) или намеренно (конкурент, обиженный бывший пользователь). Поэтому защита от DDoS должна быть включена, а не продаваться отдельно.

Наша мощность фильтрации — несколько Тбит/с, намного больше обычных атак (1-50 Гбит/с). Даже мировые рекорды (3 Тбит/с) укладываются в то, что мы способны отразить.

Очень дёшево. Услуги «DDoS как сервис» (booter, stresser) стоят от 5 до 50 € в месяц на подпольных форумах и по первому требованию выдают от 10 до 100 Гбит/с. Именно поэтому атаки стали обыденностью: соотношение затрат и ущерба чудовищно выгодно нападающему.

Cloudflare прекрасно работает на уровне L7 и с трафиком HTTP/HTTPS, но при условии, что настоящий адрес вашего сервера никогда не всплывает. На практике он утекает нередко (старые записи DNS, прежние сертификаты SSL, заголовки писем). Защита на стороне хостинга остаётся дополняющей и необходимой: она отбивает атаки, которые обходят Cloudflare и бьют прямо по адресу.

DoS (отказ в обслуживании) идёт из одного источника (один нападающий, один адрес). Отбивается легко, межсетевым экраном. DDoS (распределённый отказ в обслуживании) идёт из тысяч рассеянных источников (сеть заражённых машин). На стороне сервера с ним не справиться: нужна фильтрация раньше — у хостинга или в специальной службе.

Да, если его взломали. Плохо защищённый сервер (слабые пароли, открытые наружу службы, необновлённые пакеты) могут включить в сеть заражённых машин, и он будет участвовать в атаках. Последствия: ваш адрес попадёт в чёрные списки, а хостинг вправе приостановить учётную запись. Меры: вход по SSH только с ключом, fail2ban, UFW, автоматические обновления, наблюдение за исходящим трафиком.

Blackhole — крайняя мера: хостинг объявляет ваш адрес «немаршрутизируемым» через BGP, и весь идущий к нему трафик уходит в пустоту. Ваш сайт перестаёт открываться, зато инфраструктура хостинга остаётся цела. Обычно такой режим держат от 1 до 4 часов, пока атака не стихнет. К нему прибегают лишь в последнюю очередь, при огромных атаках, которые не в силах поглотить никакое отражение.

Смотрите также