DDoS koruması nasıl çalışır, aşama aşama

Emilimden sağ çıkan, en azından bir bağlantı açmak isteyen trafiktir. Burası SYN seli katıdır: bant genişliğini değil bağlantı takip durumunu tüketmek için tasarlanmış, çoğu sahte, muazzam sayıda bağlantı denemesi. Filtreleme kendi ağımızda (AS216013) çekirdek içinde, hiçbiri kullanıcı alanına ulaşmadan, kaynak başına hız limitleri ve bağlantı bütçeleriyle yapılır.

Layer 4, bir bağlantının geldiğini bilir. Bağlantının ne söylediğini bilmez — bir oyuncuyu bir bottan ayıramaz, çünkü bu katmanda henüz ikisi de bir şey söylememiştir. Buradan geçen şey, meşru görünen bir TCP bağlantısıdır ve bu noktadan sonra sorular artık hacimle ilgili olmaktan çıkar.

Artık trafik okunur. El sıkışmayı tamamlayanların büyük bir kısmı Minecraft'ı hiç konuşmaz: internet çapında tarayıcılar, yanıt veren her şeyi hedefleyen genel HTTP selleri ve bir şeylerin çökmesini uman bozuk çöp. Minecraft protokolü bekleyip başka bir şey alan bir çözümleyiciyle temas ettiğinde bunların hiçbiri hayatta kalmaz.

Genel amaçlı bir "oyun koruma" cihazının zorlandığı ilk katman budur, çünkü paket biçimlerini eşleştirmek yerine protokolü gerçekten uygulamayı gerektirir. Ayrıca hacmin, kalan trafiğin cidden tehlikeli olacağı kadar düştüğü yerdir — bu noktadan sonrası oyununuzun dilini konuşuyor.

Hâlâ hareket eden her şey artık akıcı Minecraft konuşuyor: geçerli el sıkışmalar, makul kullanıcı adları, doğru protokol sürümleri, binlerce ev ve veri merkezi adresinden geliyor. Minecraft sunucularını gerçekten öldüren saldırı budur ve üstteki her katman için görünmezdir — tek tek bakıldığında her bağlantı, giriş yapan gerçek bir oyuncudan ayırt edilemez.

• Hostname farkındalığı — hizmet vermediğiniz bir hostname isteyen bağlantı, yazım hatası yapan bir oyuncu değildir ve başka hiçbir şey çalışmadan düşürülür.
• Otomatik UAM'li giriş hızı limitleri — birleşik ping ve giriş hızı yükseldikçe otomatik olarak sıkılan IP bazlı ve genel bütçeler; böylece yanıt önceden yapılandırılmak yerine saldırıyla birlikte ölçeklenir.
• Risk puanlama — köken ülke, ASN, veri merkezi aralığı, protokol davranışı ve önceki geçmiş birleşerek bir karara dönüşür; giriş ancak ondan sonra devam edebilir.
• Ping ve MOTD işleme — durum selleri, sunucunuza iletilip saniyede birkaç bin kez yanıtlatılmak yerine edge önbelleğinden karşılanır.

Örnekte bu katman kendisine ulaşanın %96'sını temizler — aksi hâlde arka uca görünüşte gerçek giriş denemeleri olarak varacak 26 Gbps trafik. Bu, Cryo bir saldırıyı nasıl azaltır sayfasında ayrıntılı anlatılan motorun aynısıdır.

İyi yazılmış bir bot antibotu inceler. Girişlerini aralıklandırır, makul isimler kullanır, ev proxy'lerinden bağlanır ve anormal olarak puanlanacak hiçbir şey yapmaz — çünkü tam olarak bunu yapmamak üzere kurulmuştur. Puanlama tek başına onu yakalayamaz ve bu tortu, insanların bypass botları dediği şeydir.

Bu yüzden son katman puanlamayı bırakıp sormaya başlar. Şüpheli girişler hafif bir limbo dünyası olan CryoLimbo'ya yönlendirilir ve gerçek bir istemci olduklarını göstermeleri istenir — oyunun fiziğine uyan hareket, sunucu durumuna doğru yanıtlar, başsız bir botun taklit etmekle kalmayıp gerçekten uygulaması gereken davranışlar. Geçmek bir oyuncu için ucuz, bir saldırgan için pahalıdır; tasarımın tamamı budur. Burada yakalanan gerçek oyuncular geçer ve sunucunuza devam eder, genelde fark bile etmeden.

400 Mbps oyuncu. Sunucunuz, sakin bir günde göreceği bağlantıları görür; gerçek istemci IP'leri PROXY protokolüyle teslim edilir, böylece banlar, alt hesap tespiti ve IP bazlı eklentiler doğrudan bağlantıdaki gibi davranır. Sunucunun içinden bakınca saldırı daha küçük bir sorun değildir — hiç görünmez. Bir operatörün ilk işareti genelde bir lag sıçraması değil, bir Discord uyarısıdır.

Oranlar üzerinde durmaya değer. Hacimsel katman selin %94'ünü temizledi, son iki katman ise ikisi birlikte %0,4'ten azını temizledi — ama sunucunun ayakta kalıp kalmayacağına karar verenler o son ikisidir, çünkü bir botu bir oyuncudan ayırabilen yalnızca onlardı. Kapasite size ilginç soruna sahip olma hakkını satın alır. Onu çözmez.

Yukarıdaki her katman donanımınızdan önce çalışır ve bu bir uygulama ayrıntısı değil, yapısal meselenin ta kendisidir. Bir eklenti katman 5'in işinin bir versiyonunu yapabilir, bazıları da iyi yapar — ama bağlantı makineniz tarafından çoktan kabul edilip tahsis edilip çözümlendikten sonra çalışır, yani uplink'in yanlış tarafında savaşır. Bu ödünleşim edge antibot vs eklenti antibot sayfasında işlenir; mantıklı düzenin biri diğerinin yerine değil, önde bir edge ve arkada ikinci katman olarak bir eklenti olmasının nedeni de budur.