对游戏服务器的 DDoS 攻击

Question

我们经营着一家相当大的游戏服务器托管公司，大约有 60 台机器运行 Server 2008，DDoS 攻击我们长期以来一直在处理的问题。不幸的是，由于市场价格，我们或任何其他公司都无法在我们所有的数据中心中安装硬件防火墙。

我们的做法一直是联系数据中心，他们将 IP 地址/端口路由 24 小时。这当然是一种非常不吸引人的处理问题的方式，尤其是对我们的客户而言。

据我了解，软件防火墙只会使 DDoS 攻击问题复杂化。我已经阅读了一些关于强化 TCP/IP 堆栈的内容，但听起来 Server 2008 没有什么可以帮助解决这个问题。

我们可以做些什么吗？

Answer 1

我们或任何其他公司都无法在我们所有的数据中心中安装硬件防火墙

是的，是的，有。请重新评估您的经济性（防火墙的成本是多少？由于 DDoS 宕机，您每小时损失多少？当有人发现意外打开的 RDP 端口和闯入您网络上的某个关键框？）。

您应该能够负担得起每个数据中心的（冗余）专用防火墙 - 防火墙并不昂贵。
适当调整防火墙（流量限制、整形等）将有助于减轻 DDoS 攻击。至少它会为您的系统提供一些保护，以防止简单的蠕虫或好奇的黑客四处寻找远程登录。

在 DoS 缓解方面，您总是可以更上一层楼：您的 ISP 可以对非分布式攻击进行空路由（正如您已经提到的，这是您当前的流程 - 这是一个很好的流程）或速率限制分布式攻击（尽管如果您经常受到攻击，预计这会变得昂贵 - 他们最终会为这些防火墙更改收费）。

更上一层楼，您可以考虑使用Arbor Networks提供的用于 DDoS 保护/缓解的服务，尽管这些服务通常针对的是 ISP/服务提供商级别而不是个别公司。这些解决方案的价格往往相当高昂。

Answer 2

如果您能负担得起拥有 60 个 Server 2008 许可证的 60 个服务器，以及系统管理员支持和开发人员编写需要 60 个服务器才能运行的足够游戏的工资成本，那么您就可以负担得起专用防火墙。

此外，将（几乎）所有其他公司“切实可行地在所有 [他们的] 数据中心安装硬件防火墙”视为事实。

至于 DDoS 保护；如果它只是填满您的带宽的洪水，那么您的链接方面的任何内容都无济于事。如果是服务器资源攻击，那么如果配置得当，防火墙很可能会提供帮助。