Введение: DDoS-атаки — бич публичных серверов

DDoS-атака — это когда десятки тысяч ботов одновременно пытаются подключиться к вашему серверу, забивая канал и процессор. Даже небольшой атаки достаточно, чтобы сервер стал недоступен для игроков. В этом гайде я расскажу, как защитить сервер от DDoS на разных уровнях.

Уровень 1: Защита хостинга

Лучшая защита от DDoS — выбрать хостинг со встроенной защитой . При выборе хостинга обращайте внимание на:

• ANYCAST DDoS-защита — распределяет трафик по нескольким серверам, фильтруя атаки
• Выделенная защита — некоторые хостинги предлагают защиту от DDoS на всех тарифах
• Прозрачность — если хостинг не упоминает DDoS-защиту, скорее всего её нет

Бесплатные хостинги вроде Aternos не защищены от DDoS и при атаке ваш сервер просто отключат .

Уровень 2: Настройка брандмауэра

Откройте только необходимые порты :

sudo ufw allow 25565/tcp
sudo ufw allow 22/tcp
sudo ufw enable

Закройте все остальные порты. Это не остановит DDoS, но уменьшит поверхность атаки.

Уровень 3: Ограничение скорости подключений

Используйте fail2ban для автоматической блокировки IP-адресов, которые слишком часто подключаются к порту :

sudo apt install fail2ban
sudo nano /etc/fail2ban/jail.local

Добавьте правило для порта 25565. fail2ban будет отслеживать подозрительную активность и добавлять IP в бан-лист на заданное время.

Уровень 4: Ограничение в Paper.yml

В серверном ядре Paper есть настройки, ограничивающие количество подключений за тик :

max-joins-per-tick: 3

Это ограничение защищает от флуд-атак, когда боты пытаются подключиться и отключиться тысячи раз в секунду.

Уровень 5: TCP-прокси (рекомендовано для серьёзных проектов)

Для серьёзной защиты подключите TCP-прокси. Он фильтрует трафик на уровне сети до того, как он дойдёт до сервера. Это единственный способ защититься от мощных DDoS-атак .

Основное правило: маленький сервер не может самостоятельно отразить мощную DDoS-атаку — это задача для провайдера или прокси .

План действий при DDoS-атаке

1. Свяжитесь с поддержкой хостинга — они могут включить дополнительную защиту.
2. Включите белый список (whitelist) — это отсечёт ботов, которые не зарегистрированы.
3. Если возможно, смените IP-адрес сервера.
4. Подключите TCP-прокси (даже платный) — это быстрее, чем ждать, пока атака стихнет.

💡 Совет профи

Если вы чувствуете, что атака может повториться, и хостинг не справляется, рассмотрите вариант с выделенным сервером или облачным решением с автоматическим масштабированием. Да, это дороже, но для серьёзных проектов это необходимость .