Ochrona Anty-DDoS dla serwerów gier
Hosting gier ma dwie cechy, które atakujący wykorzystują jednocześnie: ruch opiera się na UDP i jest bezlitośnie wrażliwy na opóźnienia. Gracz nie potrzebuje pełnej niedostępności, żeby wyjść. Wystarczy, że ping skoczy na kilkanaście sekund. Dlatego filtrujemy w Polsce, na krótkiej trasie, zamiast wozić ruch przez zagraniczne centrum czyszczące.
W grach skutek ataku jest natychmiastowy i widoczny publicznie. Serwer pustoszeje w minutę, gracze piszą na Discordzie, a część z nich nie wraca po incydencie. Ataki bywają zresztą wymierzone dokładnie w to: konkurencja albo obrażony gracz płacą kilkadziesiąt złotych za usługę bootera, żeby zepsuć Ci wieczorny szczyt.
Co idzie nie tak
- Ruch gier to UDP, więc nie da się go po prostu zablokować bez zabicia usługi
- Zagraniczne centrum czyszczące dokłada przeskoki, a w grach ping jest produktem
- Ataki wracają w szczycie, wieczorami i w weekendy, bo wtedy bolą najbardziej
- Booter kosztuje tyle co obiad, więc atakującym może być dowolny gracz
- Ochrona per adres IP nie pomaga, gdy atak rozlewa się po całej puli serwerów
Co z tym robimy
- Filtrowanie stanowe odróżnia pakiety należące do sesji gracza od zalewu spoza kontekstu
- Czyszczenie odbywa się w naszej sieci w Polsce, więc trasa zostaje krótka
- Amplifikacja UDP i ruch odbity odpadają, bo nikt o te odpowiedzi nie prosił
- Profil filtrowania ustawiamy pod konkretne porty i protokoły Twoich serwerów
- Atak w piątek o dwudziestej trafia na dyżurny NOC, a nie na pocztę głosową
Jak to u Ciebie wygląda
UDP bez wylewania dziecka z kąpielą
Blokada UDP kończy grę, a nie atak. Filtr stanowy pozwala rozróżnić ruch należący do sesji, którą gracz faktycznie nawiązał, od pakietów przychodzących znikąd. Dzięki temu można odrzucać zalew bez ruszania protokołu, na którym stoi cała usługa.
Krótka trasa zamiast objazdu
Globalni dostawcy scrubbingu prowadzą ruch do własnej infrastruktury, często poza Polskę, i oddają go tunelem. Dla strony internetowej to niewidoczne, dla serwera gry to różnica między rozgrywką a narzekaniem na lag. My filtrujemy u siebie i wpinamy się w polskich punktach wymiany ruchu oraz centrach danych.
Ochrona całej puli serwerów
Hosting gier zwykle rozdaje graczom adresy z jednej puli, a atakujący to wie i rozkłada zalew po całym prefiksie. Filtrujemy prefiks jako całość, bez progów liczonych per adres, więc taka taktyka nie omija detekcji.
Pełny obraz usługi
Mechanika jest ta sama dla każdego segmentu: SkyGuard, nasz własny silnik stanowy, filtruje każdy pakiet na brzegu AS202520, w trybie always-on albo on-demand, bez RTBH i bez blackholingu. Na głównej stronie ochrony Anty-DDoS opisujemy silnik, tryby pracy, ruch odbity, carpet bombing oraz porównanie z blackholingiem i obcym scrubbingiem.
Najczęstsze pytania
Czy ochrona podniesie ping graczom?
Chroniony ruch idzie przez naszą sieć, więc trasa się zmienia i tego nie ukrywamy. Różnica polega na tym, dokąd go prowadzimy: filtrujemy w Polsce, wpinając się tam, gdzie już jesteś, więc trasa zostaje krajowa i krótka, zamiast biec do centrum czyszczącego w innym kraju. Przy wycenie możemy razem sprawdzić na traceroute, jak wygląda konkretna trasa z Twojej lokalizacji.
Czy poradzicie sobie z atakami na konkretnych graczy?
Jeśli atak leci na adresy, które dla Ciebie prowadzimy, to tak, bo filtrujemy cały prefiks. Nie ochronimy natomiast łącza domowego gracza, bo to leży poza naszą siecią. W praktyce najczęstszy problem hostingu gier to atak na adres serwera, a nie na pojedynczego gracza, i ten przypadek obsługujemy w całości.