سرور ضد DDoS زیرساختی است که برای تشخیص، جذب و فیلتر کردن ترافیک مخرب پیش از اختلال جدی در سرویس طراحی می شود. چنین سرویسی فقط یک سرور با CPU قوی یا پهنای باند زیاد نیست؛ محافظت موثر به ظرفیت شبکه، سامانه تشخیص حمله، Scrubbing Center، سیاست فیلترینگ، مقابله در لایه شبکه و برنامه، مانیتورینگ و تیم واکنش وابسته است.
هیچ سرویس Anti-DDoS نمی تواند توقف ناپذیری مطلق را تضمین کند. نوع حمله، حجم و نرخ بسته، پیچیدگی درخواست های لایه 7، ظرفیت پاک سازی، معماری برنامه و تنظیمات امنیتی نتیجه را تعیین می کنند. پیش از خرید باید دقیقا بدانید چه لایه هایی محافظت می شوند، آستانه فعال سازی چیست، ترافیک سالم چگونه به Origin می رسد و در چه شرایطی IP وارد Null Route می شود.
اگر ابتدا می خواهید ماهیت حمله را بشناسید، راهنمای حمله DDoS چیست و چگونه تشخیص داده می شود انواع حمله و نشانه های اولیه را توضیح می دهد. این مقاله روی خود سرور ضد DDoS و معیارهای انتخاب آن تمرکز دارد.
سرور ضد DDoS چیست؟
سرور ضد DDoS می تواند یک VPS، سرور اختصاصی یا زیرساخت ابری باشد که در پشت سامانه کاهش حمله قرار می گیرد. ترافیک ورودی ابتدا در شبکه ارائه دهنده یا سرویس محافظتی بررسی می شود. بسته ها و درخواست های مخرب حذف می شوند و ترافیک سالم به سرور اصلی می رسد.
در یک معماری حرفه ای، محافظت فقط روی سیستم عامل نصب نمی شود. اگر لینک اینترنت سرور پیش از رسیدن ترافیک به فایروال اشباع شود، حتی قوی ترین فایروال محلی نیز کمکی نمی کند. برای حملات حجمی، فیلتر باید در شبکه بالادستی و قبل از گلوگاه انجام شود. ابزارهای داخل سرور برای کنترل بخشی از حملات کوچک، محدود کردن اتصال و حفظ امنیت داخلی مفید هستند، اما جای شبکه Anti-DDoS را نمی گیرند.
سرور Anti-DDoS چگونه کار می کند؟
جریان دفاع معمولا چند مرحله دارد:
- پایش ترافیک: سامانه الگوی عادی شبکه، نرخ بسته، اتصال و درخواست را بررسی می کند.
- تشخیص ناهنجاری: افزایش ناگهانی ترافیک یا رفتار غیرعادی با Rule، امضا، Baseline و تحلیل رفتاری شناسایی می شود.
- هدایت به Scrubbing Center: ترافیک مشکوک به مرکز پاک سازی منتقل می شود؛ این انتقال می تواند همیشه فعال یا هنگام حمله باشد.
- فیلتر ترافیک مخرب: بسته ها، اتصال ها یا درخواست های نامعتبر حذف می شوند.
- ارسال ترافیک سالم: ترافیک پاک از مسیر شبکه، تونل یا پروکسی به Origin می رسد.
- ثبت و هشدار: نوع حمله، حجم، مدت، اقدام دفاعی و تاثیر روی سرویس گزارش می شود.
در سرویس های وب، CDN و Reverse Proxy می توانند IP اصلی را پنهان کنند و ترافیک HTTP و HTTPS را در لبه شبکه جذب کنند. برای پروتکل های غیر وب، محافظت شبکه مبتنی بر BGP، GRE یا سرویس های مخصوص TCP و UDP لازم است.
سه سطح مهم حمله DDoS
حملات حجمی
هدف حمله حجمی، اشباع ظرفیت اینترنت یا شبکه است. UDP Flood، ICMP Flood و حملات تقویتی از نمونه های رایج هستند. ظرفیت دفاع باید بیشتر از لینک ورودی Origin باشد و ارائه دهنده بتواند ترافیک را قبل از رسیدن به سرور پاک کند.
حملات پروتکلی و نرخ بسته
در این گروه، نرخ زیاد Packet یا سوء استفاده از وضعیت اتصال، تجهیزات شبکه و جدول های ارتباطی را درگیر می کند. SYN Flood نمونه شناخته شده است. برای این حملات، عدد Gbps به تنهایی کافی نیست و ظرفیت Packet Per Second یا Mpps اهمیت دارد.
حملات لایه 7
در حمله Application Layer، درخواست ممکن است از نظر پروتکل معتبر به نظر برسد اما صفحه سنگین، جستجو، ورود، API یا سبد خرید را بارها اجرا کند. حجم پهنای باند شاید کم باشد، ولی CPU، PHP Worker، دیتابیس و حافظه را مصرف می کند. WAF، Rate Limiting، Bot Management، کش و طراحی درست برنامه در این سطح نقش اصلی دارند.
چرا سخت افزار قوی به تنهایی کافی نیست؟
افزایش CPU و RAM می تواند تحمل سرویس را در برابر جهش واقعی کاربران یا حملات کوچک بیشتر کند، اما جلوی اشباع لینک را نمی گیرد. اگر حمله 20 گیگابیت بر ثانیه به پورتی با ظرفیت 1 گیگابیت برسد، منابع پردازشی سرور فرصت دفاع پیدا نمی کنند.
همچنین بعضی حملات لایه 7 با تعداد درخواست کمتر، مسیرهای سنگین برنامه را هدف می گیرند. در این حالت، خرید CPU بیشتر بدون کش، محدودیت نرخ، WAF و اصلاح Endpoint آسیب پذیر فقط هزینه را افزایش می دهد. معماری وب سرور، Reverse Proxy و Load Balancing باید بخشی از برنامه دفاع باشد.
معیارهای واقعی انتخاب سرور ضد DDoS
ظرفیت پاک سازی بر حسب Gbps و Tbps
این عدد حداکثر حجم ترافیکی است که شبکه محافظتی می تواند در شرایط مشخص پردازش کند. عدد بزرگ مفید است، اما باید مشخص شود ظرفیت کل شبکه است یا سهم قابل استفاده برای یک مشتری. همچنین ظرفیت در همه لوکیشن ها یکسان نیست.
ظرفیت PPS یا Mpps
حمله دارای بسته های کوچک ممکن است حجم گیگابیتی متوسط ولی نرخ بسته بسیار بالایی داشته باشد. تجهیزات شبکه می توانند پیش از پر شدن پهنای باند از نظر PPS اشباع شوند. ظرفیت نرخ بسته را جداگانه بپرسید.
محافظت لایه 7
عبارت Anti-DDoS گاهی فقط محافظت لایه 3 و 4 را پوشش می دهد. برای سایت، فروشگاه و API باید WAF، HTTP DDoS Protection، Rate Limiting و مدیریت Bot نیز بررسی شوند. مستندات Cloudflare محافظت مجزا برای لایه شبکه و لایه کاربرد را توضیح می دهد.
زمان تشخیص و Mitigation
زمان واکنش از شروع ناهنجاری تا اعمال فیلتر اهمیت زیادی دارد. محافظت Always-On معمولا ترافیک را پیوسته بررسی می کند؛ در مدل On-Demand، انتقال مسیر پس از تشخیص یا اعلام رخداد انجام می شود. مدل دوم ممکن است تا فعال شدن کامل، اختلال کوتاهی ایجاد کند.
سیاست Null Route
بعضی ارائه دهندگان هنگام عبور حمله از آستانه مشخص، IP را موقتا از دسترس خارج می کنند تا شبکه حفظ شود. این اقدام از زیرساخت محافظت می کند، اما سرویس مشتری قطع می شود. آستانه، مدت و روش خروج از Blackhole یا Null Route را پیش از خرید بپرسید.
False Positive و امکان تنظیم Rule
فیلتر سخت گیرانه ممکن است کاربر واقعی، موتور جستجو، API شریک یا درگاه پرداخت را مسدود کند. امکان مشاهده Log، Allowlist، تنظیم حساسیت، استثنا برای مسیرها و Rollback سریع Rule اهمیت دارد.
گزارش و پشتیبانی رخداد
داشبورد باید زمان حمله، Vector، مقصد، حجم، PPS و اقدام دفاعی را نشان دهد. برای سرویس حساس، مسیر تماس فوری با NOC یا SOC، زمان پاسخ و روش Escalation را نیز بررسی کنید.
تفاوت فایروال با Anti-DDoS
فایروال سیستم عامل یا سخت افزار شبکه دسترسی پورت، IP و پروتکل را کنترل می کند. WAF درخواست HTTP را بر اساس Rule و رفتار برنامه بررسی می کند. سامانه Anti-DDoS برای مقابله با سیل ترافیک و توزیع گسترده حمله در مقیاس شبکه طراحی می شود. این ابزارها مکمل هم هستند و هیچ کدام به تنهایی همه تهدیدها را پوشش نمی دهند.
برای سرور cPanel، تنظیم CSF یا nftables، محدود کردن پورت های مدیریتی، ModSecurity، Fail2ban و به روزرسانی منظم همچنان لازم است. راهنمای کانفیگ حرفه ای سرور cPanel لایه های امنیتی داخل سرور را تشریح می کند.
پنهان کردن IP اصلی سرور
اگر دامنه پشت CDN قرار بگیرد ولی IP اصلی از DNS قدیمی، رکورد ایمیل، زیر دامنه، گواهی، سرویس دیگر یا اسکن اینترنتی آشکار باشد، مهاجم می تواند CDN را دور بزند و مستقیم به Origin حمله کند.
- رکوردهای DNS قدیمی و زیر دامنه های بدون پروکسی را بازبینی کنید.
- روی فایروال Origin فقط IP Rangeهای سرویس محافظتی را برای وب مجاز کنید.
- ایمیل و سرویس های غیر وب را در صورت امکان روی IP جدا قرار دهید.
- پس از تغییر IP، رکوردهای لو رفته و Cacheهای قدیمی را بررسی کنید.
- دسترسی مدیریتی را به VPN یا IPهای مورد اعتماد محدود کنید.
Cloudflare نیز در راهنمای دفاع پیشگیرانه بر جلوگیری از دسترسی مستقیم به Origin تاکید می کند. این کار باید با دقت انجام شود تا مانیتورینگ، درگاه پرداخت یا سرویس مجاز مسدود نشود.
سرور مجازی، ابری یا اختصاصی ضد DDoS؟
| نوع زیرساخت | مزیت | محدودیت |
|---|---|---|
| VPS ضد DDoS | هزینه کمتر و راه اندازی سریع | CPU و دیسک ممکن است اشتراکی باشند |
| سرور ابری | امکان مقیاس پذیری و طراحی توزیع شده | هر سرویس با نام Cloud واقعا مقاوم نیست |
| سرور اختصاصی | کنترل کامل منابع و شبکه | هزینه بیشتر و نیاز به مدیریت تخصصی |
برای شناخت مدل ابری، مقاله رایانش ابری چیست را بخوانید. اگر بار کاری سنگین و ثابت دارید، سرور اختصاصی ایران یا سرور اختصاصی آمریکا را همراه با ظرفیت واقعی محافظت مقایسه کنید. لوکیشن به تنهایی تعیین کننده امنیت نیست؛ شبکه بالادستی و سیاست Mitigation مهم تر هستند.
محافظت DDoS برای وردپرس و ووکامرس
در WordPress و WooCommerce، صفحه ورود، جستجو، XML-RPC، REST API، سبد خرید و Checkout می توانند هدف درخواست های پرهزینه قرار گیرند. کش کامل صفحه برای محتوای عمومی مفید است، اما صفحات پویا را نمی توان بدون توجه به Session و Cookie کش کرد.
- از CDN و کش برای فایل های ثابت و صفحات عمومی استفاده کنید.
- روی wp-login.php و مسیرهای حساس Rate Limit منطقی بگذارید.
- XML-RPC را فقط در صورت نیاز فعال نگه دارید.
- WAF را با تست مرحله ای تنظیم کنید تا کاربر و ربات پرداخت مسدود نشوند.
- PHP Worker، صف درخواست و Queryهای کند دیتابیس را مانیتور کنید.
- Origin IP را پنهان و دسترسی مستقیم را محدود کنید.
انتخاب هاست وردپرس مناسب و هاست ووکامرس با منابع پایدار، کش درست و لایه امنیتی مدیریت شده می تواند برای تیم بدون مدیر سرور، از VPS خام کم ریسک تر باشد.
برنامه واکنش هنگام حمله
- رخداد را با نمودار ترافیک، Log و مانیتور خارجی تایید کنید.
- زمان شروع، IP یا دامنه هدف، پروتکل، پورت و نشانه های برنامه را ثبت کنید.
- با NOC یا سرویس محافظتی تماس بگیرید و مسیر Escalation را فعال کنید.
- از تغییرهای شتاب زده و Ruleهای بسیار گسترده که کاربران واقعی را قطع می کنند پرهیز کنید.
- برای لایه 7، Endpoint سنگین، User-Agent، ASN، کشور و الگوی درخواست را تحلیل کنید.
- پس از Mitigation، خطا، تاخیر، Checkout، API و ورود کاربران را آزمایش کنید.
- گزارش پس از رخداد تهیه و ظرفیت، Rule و Runbook را اصلاح کنید.
مانیتورینگ از چند موقعیت جغرافیایی کمک می کند تفاوت حمله واقعی، مشکل دیتاسنتر، خطای DNS و خرابی برنامه مشخص شود.
آیا بکاپ جلوی DDoS را می گیرد؟
خیر. بکاپ ترافیک مخرب را متوقف نمی کند، اما در برنامه تداوم کسب و کار ضروری است. حمله ممکن است هم زمان با نفوذ، حذف فایل، باج گیری یا تغییر تنظیمات رخ دهد. نسخه های مستقل و آزمایش بازیابی، امکان بازگرداندن سرویس پس از حادثه را افزایش می دهند.
اشتباهات رایج هنگام خرید سرور ضد DDoS
- تکیه بر عبارت «محافظت نامحدود» بدون SLA و سقف فنی
- بررسی Gbps و نادیده گرفتن PPS و لایه 7
- تصور اینکه CPU قوی جای Scrubbing را می گیرد
- باز گذاشتن IP اصلی پشت CDN
- نبود Test IP، گزارش رخداد و دسترسی به Log
- نادیده گرفتن Null Route و سیاست Abuse
- قرار دادن همه سرویس ها روی یک IP
- تنظیم Rate Limit بسیار سخت گیرانه بدون آزمون
چک لیست خرید سرور Anti-DDoS
- لایه های تحت پوشش، از شبکه تا HTTP و API را مشخص کنید.
- ظرفیت Gbps، PPS و درخواست لایه 7 را جداگانه بپرسید.
- مدل Always-On یا On-Demand و زمان فعال سازی را بررسی کنید.
- آستانه و مدت Null Route را مکتوب دریافت کنید.
- لوکیشن Scrubbing Center و مسیر ترافیک سالم را بشناسید.
- امکان WAF، Rate Limiting، Allowlist و Rule سفارشی را بررسی کنید.
- SLA، زمان پاسخ NOC و روش Escalation را بخوانید.
- هزینه حمله، ترافیک پاک و مصرف اضافه را مشخص کنید.
- Test IP و کیفیت شبکه را در ساعات مختلف آزمایش کنید.
- بکاپ مستقل و برنامه بازیابی را جدا از Anti-DDoS تنظیم کنید.
پرسش های متداول
آیا سرور ضد DDoS حمله را کاملا متوقف می کند؟
تضمین مطلق واقع بینانه نیست. سرویس مناسب احتمال و مدت اختلال را کاهش می دهد، اما نتیجه به نوع حمله، ظرفیت دفاع و معماری برنامه وابسته است.
آیا Cloudflare برای همه سرورها کافی است؟
برای وب سایت HTTP و HTTPS بسیار مفید است، اما پروتکل های دیگر، IP آشکار Origin و نیازهای خاص شبکه ممکن است به Spectrum، Magic Transit یا محافظت بالادستی دیگری نیاز داشته باشند.
تفاوت WAF و Anti-DDoS چیست؟
WAF درخواست های وب را بررسی می کند؛ Anti-DDoS حملات حجمی، پروتکلی و برنامه ای را در مقیاس شبکه و سرویس کاهش می دهد. دفاع کامل معمولا به هر دو نیاز دارد.
آیا تغییر IP حمله را رفع می کند؟
ممکن است موقتا موثر باشد، اما اگر IP جدید دوباره افشا شود یا دامنه هدف باشد، حمله بازمی گردد. تغییر IP باید همراه با پنهان سازی Origin و اصلاح معماری انجام شود.
برای فروشگاه اینترنتی چه محافظتی لازم است؟
CDN، WAF، Rate Limiting، کش صحیح، مانیتورینگ PHP و دیتابیس، محافظت شبکه بالادستی و مسیر واکنش سریع لازم هستند. Checkout و درگاه پرداخت باید پس از هر Rule آزمایش شوند.
جمع بندی
سرور ضد DDoS واقعی ترکیبی از شبکه پرظرفیت، تشخیص سریع، Scrubbing، فیلتر لایه 3 و 4، دفاع لایه 7، WAF، پنهان سازی Origin و برنامه واکنش است. هنگام خرید، به جای عبارت های تبلیغاتی، ظرفیت Gbps و PPS، پوشش لایه 7، زمان Mitigation، سیاست Null Route، گزارش رخداد و SLA را بررسی کنید. سخت افزار قوی مفید است، اما بدون دفاع بالادستی نمی تواند حمله حجمی را متوقف کند.
هیچ نظری ثبت نشده است