Warum eine Stufe nie genügt
Jede Stufe des DDoS-Schutzes ist für etwas blind. Ein Netz, das groß genug ist, um eine Flut von 7 Tbit/s zu schlucken, misst Bits pro Sekunde — es hat keine Ahnung, was ein Minecraft-Handshake ist. Ein Filter, der das Minecraft-Protokoll perfekt liest, ist nutzlos, wenn die Flut Ihren Uplink gefüllt hat, bevor er lief. Die beiden Fehlerarten sind gegensätzlich, und deshalb ist echter Schutz eine Abfolge und kein Produkt: Jede Schicht entfernt, was die nächste nicht sehen kann, und reicht den Rest weiter.
Das Diagramm unten ist diese Abfolge, mit einem Angriff von Anfang bis Ende hindurchgeschickt — bemessen am größten volumetrischen Angriff, den dieses Netz tatsächlich abgewehrt hat.
Eine Flut, sechs Stufen
Ein Angriff mit 7 Tbit/s, verfolgt vom Internet bis zum Minecraft-Backend. Jede Stufe entfernt das, was die Stufe darunter nicht sehen kann.
Anycast-Absorption
Cloudflare Spectrum
7Tbpseingehend−6.6 Tbps · 94%Die rohe Flut landet auf Cloudflares Anycast-Netz und wird über 330+ Städte verteilt. Volumetrischer L3/L4-Müll — Reflection, Amplification, gespoofte UDP-Pakete — stirbt hier, in einem Netz mit 500+ Tbit/s ausgewiesener Kapazität.
L4-Mitigation
Papyrus · AS216013
≤ 600 Gbps
400Gbpseingehend−202 Gbps · 51%Was überlebt, ist TCP, das zumindest so aussieht, als wolle es eine Verbindung. SYN-Filterung auf Kernel-Ebene und Rate-Limits pro Quelle verwerfen die Verbindungsfluten, bevor sie den Userspace erreichen.
L7-Mitigation
Papyrus · AS216013
198Gbpseingehend−170 Gbps · 86%Verbindungen, die einen Handshake abschließen, aber nie gültiges Minecraft sprechen — Scanner, generische L7-Fluten, fehlerhaftes Protokoll — werden verworfen, sobald sich die Payload nicht parsen lässt.
Protokollbewusster Antibot
Cryo
28Gbpseingehend−27 Gbps · 96%Jetzt spricht alles Verbliebene fließend Minecraft. Cryo parst den Handshake selbst: Hostname, Protokollversion, Join-Rate, Herkunfts-ASN und Historie fließen in ein Urteil ein. Auto-UAM zieht die Limits an, während die Flut wächst.
Verifizierungsparcours
CryoLimbo
1Gbpseingehend−646 Mbps · 62%Der Rest sind Bypass-Bots — Clients, die gezielt dafür geschrieben wurden, für einen Antibot menschlich auszusehen. Sie werden ins Limbo umgeleitet und müssen es mit Physik- und Verhaltensprüfungen beweisen. Echte Spieler, die hier landen, bestehen und ziehen weiter.
Sauberer Traffic
Ihr Server
400Mbpskommt anWas ankommt, sind Spieler. Echte Client-IPs werden per PROXY-Protokoll geliefert, sodass Banns und IP-basierte Plugins sich genauso verhalten wie bei einer Direktverbindung. Der Origin hat die anderen 6,99 Tbit/s nie gesehen.
Stufe 1 — Absorption, wo Volumen aufhört, ein Problem zu sein
Die erste Frage bei jedem Angriff ist Arithmetik, nicht Sicherheit: Ist die Leitung größer als die Flut? Wenn 7 Tbit/s auf einem 10-Gbit/s-Uplink ankommen, ist der Uplink voll und alles dahinter ist offline — der Server, seine Firewall und jedes Plugin, das er ausführt, liegen alle auf der falschen Seite einer bereits blockierten Straße. Nichts, was Sie auf der Maschine konfigurieren, ändert daran etwas.
Genau deshalb muss die Absorption in einem Netz stattfinden, das mehr Kapazität hat, als der Angreifer erzeugen kann. Traffic tritt über Cloudflare Spectrums Anycast-Netz ein, wo eine einzelne Flut über 330+ Städte verteilt und von einem Netz mit 500+ Tbit/s ausgewiesener Kapazität absorbiert wird. Nach Volumen leistet diese Schicht fast die gesamte Arbeit — 94 % der Flut im Beispiel — und nach Nützlichkeit den am wenigsten interessanten Teil: Sie entfernt den Traffic, der nie vorgab, etwas anderes zu sein.
Stufe 2 — L4-Mitigation, Verbindungen ohne Inhalt
Was die Absorption überlebt, ist Traffic, der zumindest eine Verbindung öffnen will. Das ist die SYN-Flood-Ebene: enorme Mengen an Verbindungsversuchen, oft gespooft, ausgelegt darauf, Connection-Tracking-State statt Bandbreite zu erschöpfen. Gefiltert wird im Kernel unseres eigenen Netzes (AS216013), bevor irgendetwas davon den Userspace erreicht, mit Rate-Limits pro Quelle und Verbindungsbudgets.
Layer 4 weiß, dass eine Verbindung ankam. Er weiß nicht, was die Verbindung gesagt hat — er kann einen Spieler nicht von einem Bot unterscheiden, weil auf dieser Schicht noch keiner von beiden etwas gesagt hat. Was hier durchkommt, ist eine legitim aussehende TCP-Verbindung, und ab hier geht es nicht mehr um Volumen.
Stufe 3 — L7-Mitigation: Ist das überhaupt das Spiel?
Jetzt wird der Traffic gelesen. Ein großer Teil dessen, was einen Handshake abschließt, spricht überhaupt kein Minecraft: internetweite Scanner, generische HTTP-Fluten auf alles, was antwortet, und fehlerhafter Müll in der Hoffnung, dass irgendetwas abstürzt. Nichts davon übersteht den Kontakt mit einem Parser, der das Minecraft-Protokoll erwartet und etwas anderes bekommt.
Das ist die erste Schicht, mit der eine generische "Game-Protection"-Appliance ringt, weil sie erfordert, das Protokoll tatsächlich zu implementieren, statt Paketformen abzugleichen. Hier fällt das Volumen auch weit genug, dass der verbleibende Traffic wirklich gefährlich ist — alles ab diesem Punkt spricht die Sprache Ihres Spiels.
Stufe 4 — Protokollbewusster Antibot, die Stufe, auf die es ankommt
Alles, was sich noch bewegt, spricht jetzt fließend Minecraft: gültige Handshakes, plausible Benutzernamen, korrekte Protokollversionen, ankommend von Tausenden Privat- und Rechenzentrumsadressen. Das ist der Angriff, der Minecraft-Server tatsächlich umbringt, und er ist für jede Schicht darüber unsichtbar — jede einzelne Verbindung ist von einem echten Spieler beim Beitreten nicht zu unterscheiden.
- Hostname-Bewusstsein — eine Verbindung, die nach einem Hostname fragt, den Sie nicht bedienen, ist kein Spieler mit einem Tippfehler und wird verworfen, bevor irgendetwas anderes läuft.
- Join-Rate-Limits mit Auto-UAM — Budgets pro IP und global, die sich automatisch anziehen, wenn die kombinierte Ping- und Login-Rate steigt, sodass die Reaktion mit dem Angriff skaliert, statt vorab dafür konfiguriert werden zu müssen.
- Risikobewertung — Herkunftsland, ASN, Rechenzentrumsbereich, Protokollverhalten und Vorgeschichte fließen zu einem Urteil zusammen, bevor der Join fortgesetzt werden darf.
- Ping- und MOTD-Handling — Status-Fluten werden aus dem Edge-Cache beantwortet, statt an Ihren Server weitergereicht zu werden, der sie mehrere tausend Mal pro Sekunde beantworten müsste.
Im Beispiel entfernt diese Schicht 96 % dessen, was sie erreicht — 26 Gbit/s Traffic, der andernfalls als scheinbar echte Join-Versuche am Backend angekommen wäre. Das ist dieselbe Engine, die in Wie Cryo einen Angriff abwehrt im Detail beschrieben wird.
Stufe 5 — Verifizierung, für Bots, die Stufe 4 bestehen sollen
Ein gut geschriebener Bot studiert den Antibot. Er taktet seine Joins, nutzt plausible Namen, verbindet sich über Privat-Proxys und tut nichts, was als Anomalie bewertet wird — weil er genau dafür gebaut wurde. Bewertung allein kann ihn nicht fangen, und dieser Rest ist das, was Leute mit Bypass-Bots meinen.
Also hört die letzte Schicht auf zu bewerten und fängt an zu fragen. Verdächtige Joins werden in CryoLimbo umgeleitet, eine leichtgewichtige Limbo-Welt, und müssen zeigen, dass sie ein echter Client sind — Bewegung, die der Physik des Spiels gehorcht, korrekte Reaktionen auf den Server-State, Verhalten, das ein Headless-Bot wirklich implementieren und nicht bloß imitieren muss. Bestehen ist für einen Spieler billig und für einen Angreifer teuer, und genau das ist der Entwurf. Echte Spieler, die hier landen, bestehen und gelangen weiter auf Ihren Server, meist ohne es zu bemerken.
Was tatsächlich ankommt
400 Mbit/s Spieler. Ihr Server sieht die Verbindungen, die er auch an einem ruhigen Tag gesehen hätte, mit echten Client-IPs per PROXY-Protokoll, sodass Banns, Alt-Erkennung und IP-basierte Plugins sich genauso verhalten wie bei einer Direktverbindung. Von innerhalb des Servers ist der Angriff kein kleineres Problem — er ist überhaupt nicht sichtbar, weshalb das erste Anzeichen für einen Betreiber meist eine Discord-Benachrichtigung statt eines Lag-Spikes ist.
Die Verhältnisse lohnen ein Innehalten. Die volumetrische Schicht entfernte 94 % der Flut, und die letzten beiden Schichten entfernten zusammen unter 0,4 % — und doch entscheiden genau diese beiden, ob der Server oben bleibt, weil sie die einzigen sind, die einen Bot von einem Spieler unterscheiden konnten. Kapazität erkauft Ihnen das Recht, das interessante Problem zu haben. Sie löst es nicht.
Wo die Stufen liegen, zählt genauso wie das, was sie tun
Jede Schicht oben läuft vor Ihrer Hardware, und das ist der strukturelle Punkt, kein Implementierungsdetail. Ein Plugin kann eine Variante der Aufgabe von Schicht 5 erledigen, und manche tun das gut — aber es läuft, nachdem die Verbindung von Ihrer Maschine bereits angenommen, zugewiesen und geparst wurde, kämpft also auf der falschen Seite des Uplinks. Dieser Kompromiss wird in Edge-Antibot vs. Plugin-Antibot durchgearbeitet, und deshalb ist die sinnvolle Anordnung eine Edge davor mit einem Plugin dahinter als zweite Schicht — nicht das eine statt des anderen.
Häufige Fragen
Wie funktioniert DDoS-Schutz eigentlich?+
Indem Traffic dort gefiltert wird, wo mehr Kapazität vorhanden ist als der Angriff groß ist — bevor er das Ziel erreicht. Schutz ist eine Reihe von Stufen, von denen jede das abfängt, was die vorherige strukturell nicht sehen kann: Ein riesiges Netz absorbiert die rohe volumetrische Flut, Paketfilterung verwirft Verbindungsfluten, Protokollfilterung verwirft Traffic, der gar nicht das Spiel ist, und Verhaltensverifizierung fängt Bots, die Spieler überzeugend imitieren. Keine einzelne Schicht erledigt die ganze Arbeit.
Warum können eine Firewall oder ein Plugin einen DDoS-Angriff nicht stoppen?+
Wegen ihrer Position. Wenn 7 Tbit/s auf einen 10-Gbit/s-Uplink zielen, ist der Uplink voll, und nichts auf der anderen Seite hat noch ein Mitspracherecht — der Server ist offline, ganz gleich wie perfekt seine Firewall-Regeln sind. Ein Plugin greift noch später ein, nachdem eine Verbindung bereits einen Slot, einen Thread und einen Login gekostet hat. Beide sind als letzte Schicht nützlich; keines von beiden kann die erste sein.
Was ist der Unterschied zwischen Layer-4- und Layer-7-DDoS-Schutz?+
Layer 4 arbeitet mit Verbindungen: SYN-Fluten, gespoofte Pakete, rohe Verbindungsrate. Er kann Ihnen sagen, dass eine Million TCP-Verbindungen ankamen, aber nicht, was eine davon gesagt hat. Layer 7 arbeitet damit, was der Traffic tatsächlich ist — bei Minecraft also, ob er das Protokoll spricht, welchen Hostname er angefragt hat und ob sich der Join wie ein Spieler verhält. Bot-Angriffe sind Layer-7-Probleme, weshalb reine L4-Filterung sie ungehindert durchlässt.
Wie viel Traffic erreicht meinen Server während eines Angriffs wirklich?+
Im Rechenbeispiel auf dieser Seite 400 Mbit/s von 7 Tbit/s — eine Reduktion um das 17.500-Fache, wobei der Origin die anderen 6,99 Tbit/s nie zu sehen bekommt. Das genaue Verhältnis schwankt mit dem Angriff, aber die Form bleibt gleich: Die volumetrische Schicht entfernt den überwältigenden Großteil nach Volumen, und die letzten Schichten entfernen den Traffic, der Ihren Server tatsächlich umgeworfen hätte.
Erhöht die Filterung über so viele Schichten die Latenz für Spieler?+
Kaum messbar, denn die Schichten laufen inline mit Leitungsgeschwindigkeit, statt Traffic zur Prüfung zwischenzuspeichern. Spieler verbinden sich mit dem nächstgelegenen Anycast-Einstiegspunkt — oft ein kürzerer Weg, als Ihren Server direkt zu erreichen — und nur Verbindungen, die verdächtig wirken, werden zur Verifizierung angehalten. Ein sauberer Join durchläuft jede hier beschriebene Schicht, ohne an einer davon anzuhalten.
Jede Schicht auf dieser Seite läuft in jedem Plan, auch im kostenlosen — bezahlte Stufen bringen Kapazität und Kontrolle, nicht Schutz. Erstellen Sie ein kostenloses Netzwerk und Sie stehen in etwa fünf Minuten hinter allen sechs.