محافظت از سرور های بازی در برابر DDos

مقدمه

این آموزش نحوه محافظت از سرور بازی خود را در برابر حملات DDoS با راه اندازی یک فایروال بسیار ابتدایی و محدود کردن نرخ توضیح می دهد. لطفا توجه داشته باشید که حتی با این تنظیمات، سرور شما از حملات DDoS نجات نخواهد یافت. با این حال، یک فایروال امن می تواند سطح حمله را به حداقل برساند و قوانین محدود کننده نرخ می تواند به جلوگیری از بارگذاری بیش از حد سرور شما کمک کند.

پیش نیازها:

• سرور با اوبونتو (این آموزش با اوبونتو 22.04 تست شده است اما باید با نسخه های دیگر نیز کار کند.)

مرحله 1 – فایروال

به دلایل امنیتی، باید فایروالی داشته باشید که به طور پیش فرض تمام ترافیک ورودی را مسدود کند. سپس می‌توانید استثناهایی را اضافه کنید تا اجازه دسترسی به پروتکل‌ها/پورت‌های مورد نیاز برای ورود به سرور (SSH) و اتصال به بازی (TCP/UDP) را بدهید. اگر می‌خواهید فایروال خود را حتی بیشتر تقویت کنید، می‌توانید آدرس‌های IP را نیز مشخص کنید که باید تنها آدرس‌هایی باشند که به آنها اجازه دسترسی داده می‌شود. درخواست هایی که از هر آدرس IP دیگری می آیند به طور خودکار حذف می شوند. این آموزش نحوه مسدود کردن تمام ترافیک ورودی را توضیح می دهد و:

• به همه اجازه دسترسی به پورت بازی را بدهید.
• فقط IP های انتخاب شده به پورت بازی دسترسی داشته باشند.

فایروال پیش فرض در اوبونتو ufw است. این آموزش از iptables استفاده می کند. مطمئن شوید که فقط از یک فایروال استفاده می کنید. استفاده از چندین فایروال مختلف توصیه نمی شود زیرا قوانین آن فایروال ها ممکن است با یکدیگر تناقض داشته باشند و منجر به سردرگمی شوند.

برای بررسی اینکه آیا قبلاً قوانینی دارید، می توانید از موارد زیر استفاده کنید:

sudo iptables -L

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT 
sudo ip6tables -A INPUT -p tcp --dport 22 -j ACCEPT

sudo iptables -A INPUT -s <203.0.113.1>,<198.51.100.1> -p tcp --dport <your_game_port> -j ACCEPT
sudo iptables -A INPUT -s <203.0.113.1>,<198.51.100.1> -p udp --dport <your_game_port> -j ACCEPT

به همه اجازه دسترسی به پورت بازی را بدهید با این قانون، همه می توانند به بازی شما دسترسی داشته باشند:

sudo iptables -A INPUT -p tcp --dport <your_game_port> -j ACCEPT
sudo iptables -A INPUT -p udp --dport <your_game_port> -j ACCEPT

اکنون باید قوانین جدید اضافه شود. برای مشاهده آنها می توانید از sudo iptables -L استفاده کنید.قوانین به طور پیش فرض پایدار نیستند و با راه اندازی مجدد بعدی ناپدید می شوند. برای پایدار کردن آنها، نصب کنید:

sudo apt update && sudo apt install iptables-persistent

sudo iptables-save | sudo tee /etc/iptables/rules.v4
sudo ip6tables-save | sudo tee /etc/iptables/rules.v6

sudo iptables -L --line-numbers # List all rules with numbers
sudo iptables -D INPUT <line-number> # Delete an INPUT rule by specifying the number

apt install fail2ban
systemctl enable --now fail2ban

sudo iptables -I INPUT -p tcp --dport <your_game_port> -m conntrack --ctstate NEW -j LOG --log-level 6 --log-prefix "GameServerAccess: "

sudo iptables-save | sudo tee /etc/iptables/rules.v4

sudo nano /etc/fail2ban/filter.d/gameserveraccess.conf

[Definition]
failregex = GameServerAccess: .* SRC=<HOST>
ignoreregex =

sudo nano /etc/fail2ban/jail.local

[game-server]
enabled = true
filter = gameserveraccess
logpath = /var/log/syslog
maxretry = 7
findtime = 30
bantime = 120

sudo systemctl restart fail2ban

sudo iptables -L --line-numbers # Get the line number of "ACCEPT anywhere tcp dpt:<your_game_port>"
sudo iptables -D INPUT <line-number> # Delete the rule that accepts all incoming requests to your game port

sudo iptables -A INPUT -p tcp --dport <your_game_port> -m conntrack --ctstate NEW -m limit --limit 2/min --limit-burst 100 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport <your_game_port> -m conntrack --ctstate NEW -j DROP

sudo iptables-save | sudo tee /etc/iptables/rules.v4

sudo iptables -I INPUT -p tcp ! --syn -m conntrack --ctstate NEW -j DROP

sudo iptables-save | sudo tee /etc/iptables/rules.v4