VPS 的 DDoS 保护：容量、应用规则和恢复

被淹没的网络路径、耗尽的连接表和昂贵的应用查询需要不同的控制措施。收集网络计数器、请求速率和响应时间。第一个症状是待调查的证据，而不是单一攻击类型的证明。

服务器端口速度、周期传输额度和缓解容量是不同的规格。已准备目录中的缓解值按套餐从 10 到 400 Gbps 不等。这些都不会改变回答高成本请求所需的 CPU 时间。

Umbra 1 列出了 1 Gbps 服务器端口、1 TB 月流量和 10 Gbps 缓解规格。第一项描述连接，第二项是周期配额，第三项是建议的过滤范围。这些都不意味着应用程序能够响应 10 Gbps 的有效请求。过滤行为和允许的流量需要在启动网络上验证。

准备好的设计检测流量异常，将攻击转移到过滤中，并返回允许的流量。其预期激活目标低于 60 秒，但在成为承诺之前，必须测试实时路由和上游控制。请询问超出包含范围后会发生什么，以及如何恢复合法流量。

缓存合适的响应，对高开销路径进行速率限制，并保护管理访问。WAF 或反向代理必须作为独立层进行配置和维护。如果设计如此，可将源站 Web 访问限制为可信代理来源，同时不要关闭恢复路径。

分配谁可以更改规则、工单中应包含哪些证据以及用户如何了解状态。测试警报传递和替代路线。即使事件最终证明是应用程序故障，可用的备份和冷静的事件记录也很有用。

L3/L4 事件可能涉及通过 DNS、NTP 或 memcached 的 UDP 放大，或对连接状态造成压力的 TCP SYN 洪水。L7 事件针对应用工作，例如重复搜索或登录尝试。分别比较每秒比特数、每秒数据包数和每秒请求数。边缘过滤器、连接控制和应用规则解决的是问题的不同部分。

• 关闭或限制不必要的公共 UDP 服务，并保持对源站的访问是刻意为之的。
• 地理分布的任播设计需要路由撤销、状态处理和故障转移测试；它不是由缓解容量数字建立的。

挑战、CAPTCHA 或工作量证明门控可以为可疑请求增加摩擦。它也可能影响合法访客、自动化客户端和可访问性，因此请将其应用于合适的端点并衡量结果。缓慢响应或 tarpit 也会占用资源；在假设它比拒绝请求更便宜之前，请先测试成本。

• 当挑战阻止进入时，保持可访问的恢复或支持途径。
• 即使启用了质询，请求限制、缓存和应用程序修复仍然有用。