--- title: 'Защита DDoS-Guard' sidebar_label: 'Защита DDoS-Guard' sidebar_position: 3 description: 'Защита от партнера DDoS‑Guard на уровнях L3, L4, L7' --- import Tabs from '@theme/Tabs'; import TabItem from '@theme/TabItem'; import MoreVerticalIcon from '@selectel/docux/icons/more-vertical'; import EditIcon from '@selectel/docux/icons/edit'; import ShieldOkIcon from '@selectel/docux/icons/shield-ok'; import { TabItemLabel } from '@selectel/docux/components'; import Formbricks from '@theme/MDXComponents/Formbricks'; # Защита DDoS-Guard Защита DDoS-Guard — решение на базе партнерского продукта от компании [DDoS-Guard](https://ddos-guard.ru/). Доступны услуги: * [Защита DDoS-Guard L3-L4](#ddos-guard-l3-l4) — действует на сетевом (L3) и транспортном (L4) уровнях. Защищает от DDoS-атак, которые эксплуатируют слабые места протоколов TCP/IP и направлены на исчерпание полосы трафика и нарушение работы сетевой инфраструктуры; * [Защита и ускорение веб-сайтов DDoS-Guard](#ddos-guard-l7) — действует на уровне приложений (L7). Позволяет блокировать атаки на веб-приложения и сайты, ускоряет приложение или сайт с помощью CDN и балансировки нагрузки. Услугу можно подключить в комплексе с услугой Защита DDoS-Guard L3-L4 или отдельно. ## Защита DDoS-Guard L3-L4 \{#ddos-guard-l3-l4} ### Принцип работы \{#principle-of-operation-l3-l4} :::info Услуга защищает только IP-адреса, которые назначены на оборудование в инфраструктуре Selectel. Услугу можно подключить только для адресов из [публичной выделенной подсети](/dedicated/networks/public-networks-and-subnets.mdx#order-dedicated-subnet) или [публичной подсети](/cloud-servers/cloud-networks/public-subnets.mdx). Для адресов из общей подсети (`/32`) или публичных IP-адресов подключение недоступно. ::: Вы получаете защищенный публичный IPv4-адрес и настраиваете через него прием трафика на сервере. Адрес нужно назначить на сетевой интерфейс публичной сети в качестве дополнительного. По умолчанию с услугой предоставляется один защищенный IP-адрес. Если вам нужно защитить несколько серверов в пуле — для них нужно заказать дополнительные защищенные IP-адреса. Входящий трафик, который направляется на защищенный адрес, проходит через узлы фильтрации в разных точках мира, где проводится его анализ и очистка. Фильтруется каждый входящий пакет. Очищенный трафик направляется на основной адрес сервера. ### Стоимость \{#price-l3-l4} Стоимость услуги складывается: * из выбранного тарифа услуги Защита DDoS-Guard L3-L4 с необходимой пропускной способностью — 10, 20, 50 или 100 Мбит/с; * стоимости дополнительных защищенных IPv4-адресов. Первый защищенный адрес предоставляется бесплатно, для каждого дополнительного сервера в пуле нужно заказать дополнительный защищенный адрес; * стоимости новой подсети, если она нужна для подключения услуги. Посмотреть цены на тарифы услуги Защита DDoS-Guard L3-L4 можно на [selectel.ru](https://selectel.ru/services/additional/ddos-protection/?section=prices). Услуга оплачивается ежемесячно, при заказе услуги платеж за первый месяц списывается с баланса, далее платежи списываются автоматически в начале каждого следующего периода. Для оплаты услуги в зависимости от типа баланса в аккаунте используется [единый баланс](/balance-and-payments/balance.mdx#united-balance) или [основной баланс](/balance-and-payments/balance.mdx#balances-by-service-type). ### Подключить услугу \{#enable-service} 1. Если на вашем сервере есть только публичный общий адрес либо публичный IP-адрес или ваши серверы уже под атакой, [закажите и настройте новую подсеть](#order-and-configure-new-subnet-l3-l4). 2. [Закажите услугу Защита DDoS-Guard L3-L4](#order-service-l3-l4). 3. Если вам нужно защитить больше одного сервера в пуле, [закажите дополнительные защищенные IP-адреса](#order-additional-protected-ip-addresses-l3-l4). 4. [Настройте защищенный IP-адрес на сервере](#configure-secure-ip-on-server-l3-l4). 5. Если вы подключаете защиту для облачного сервера, [добавьте защищенный IP-адрес как разрешенный IP-адрес на порт](#add-secure-ip-as-allowed-ip-on-port-l3-l4). #### 1. Заказать и настроить новую подсеть \{#order-and-configure-new-subnet-l3-l4} Новая подсеть требуется, если: * на вашем сервере есть только публичный общий адрес (`/32`); * или ваши серверы под атакой и целевой IP-адрес уже известен злоумышленникам. Закажите подсеть и настройте адрес из нее на сервере: * для выделенного сервера используйте подраздел [Подключить дополнительные публичные IP-адреса⁠](/dedicated/networks/public-networks-and-subnets.mdx#add-additional-ips) инструкции [Публичные сети и подсети выделенного сервера](//dedicated/networks/public-networks-and-subnets.mdx); * для облачного сервера используйте подраздел [Настроить доступ в интернет и из интернета через публичную подсеть](/cloud-servers/cloud-networks/configure-access-to-internet.mdx#internet-access-via-public-subnet) инструкции [Настроить доступ в интернет и из интернета](/cloud-servers/cloud-networks/configure-access-to-internet.mdx). #### 2. Заказать услугу \{#order-service-l3-l4} Если вам нужно защитить оборудование в разных [пулах](/infrastructure/locations.mdx#pool), для каждого пула подключите отдельную услугу защиты. Перед подключением услуги [пополните баланс](/balance-and-payments/manage/top-up-balance.mdx) на [необходимую сумму](#price-l3-l4). 1. В [панели управления](https://my.selectel.ru/network/antiddos) в верхнем меню нажмите **Продукты** и выберите **Защита от DDoS**. 2. Перейдите в раздел **Защита от DDoS**. 3. Нажмите **Заказать услуги**. 4. В строке услуги **Защита DDoS-Guard от DDoS (L3-L4)** с необходимой пропускной способностью (10, 20, 50, 100 Мбит/с) нажмите **Оплатить**. 5. Проверьте данные и нажмите **Оплатить услугу**. 6. Мы создадим [тикет](https://my.selectel.ru/tickets/) на подключение услуги. 7. В этом тикете отправьте нам: * IP-адрес, который нужно поставить под защиту; * email для регистрации в личном кабинете DDoS-Guard. Данные для входа в личный кабинет будут отправлены на этот email. 8. Мы сообщим о подключении в тикете. #### 3. Заказать дополнительные защищенные IP-адреса \{#order-additional-protected-ip-addresses-l3-l4} С услугой защиты предоставляется один защищенный IP-адрес. Если вам нужно защитить больше одного сервера в пуле, для каждого из них закажите дополнительный защищенный адрес. 1. В [панели управления](https://my.selectel.ru/network/antiddos) в верхнем меню нажмите **Продукты** и выберите **Защита от DDoS**. 2. Перейдите в раздел **Защита от DDoS**. 3. Нажмите **Заказать услуги**. 4. В строке услуги **Защита DDoS-Guard от DDoS (L3-L4) — дополнительный IP-адрес** нажмите **Оплатить**. 5. Нажмите **Оплатить услугу**. #### 4. Настроить защищенный IP-адрес на сервере \{#configure-secure-ip-on-server-l3-l4} Ubuntu 1. [Подключитесь к серверу по SSH](/dedicated/manage/connect-to-server.mdx#connect-via-ssh) или через [KVM-консоль](/dedicated/manage/connect-to-server.mdx#connect-via-kvm-console). 2. Откройте конфигурационный файл утилиты `netplan` текстовым редактором `vi`: ```bash vi /etc/netplan/50-cloud-init.yaml ``` или ```bash vi /etc/netplan/01-netcfg.yaml ``` 3. Добавьте после содержимого файла данные дополнительного адреса: ```yaml :0: addresses: [/32] ``` Укажите: * `` — имя сетевого интерфейса, на который нужно добавить дополнительный адрес; * `` — защищенный IP-адрес, который получили в тикете. 4. Нажмите клавишу `ESC`. 5. Выйдите из текстового редактора `vi` с сохранением изменений: ```bash :wq ``` 6. Примените конфигурацию: ```bash netplan apply ``` 7. Опционально: перезагрузите сервер. 8. Настройте все серверные приложения на работу с защищенным IP-адресом. Debian 1. [Подключитесь к серверу по SSH](/dedicated/manage/connect-to-server.mdx#connect-via-ssh) или через [KVM-консоль](/dedicated/manage/connect-to-server.mdx#connect-via-kvm-console). 2. Откройте конфигурационный файл сетевых интерфейсов текстовым редактором `vi`: ```bash vi /etc/network/interfaces/ ``` 3. Добавьте после содержимого данные дополнительного адреса: ```bash auto :0 iface :0 inet static address /32 mtu 1500 ``` Укажите: * `` — имя сетевого интерфейса, на который нужно добавить дополнительный адрес; * `` — защищенный IP-адрес, который получили в тикете. 4. Нажмите клавишу `ESC`. 5. Выйдите из текстового редактора `vi` с сохранением изменений: ```bash :wq ``` 6. Перезапустите сеть: ```bash service networking restart ``` 7. Опционально: перезагрузите сервер. 8. Настройте все серверные приложения на работу с защищенным IP-адресом. CentOS 1. [Подключитесь к серверу по SSH](/dedicated/manage/connect-to-server.mdx#connect-via-ssh) или через [KVM-консоль](/dedicated/manage/connect-to-server.mdx#connect-via-kvm-console). 2. Выведите информацию о сетевых интерфейсах: ```bash ip address ``` 3. Откройте конфигурационный файл сетевого интерфейса текстовым редактором `vi`: ```bash vi /etc/sysconfig/network-scripts/ifcfg-:0 ``` Укажите `` — имя сетевого интерфейса, на который нужно добавить дополнительный адрес. 4. Добавьте в файл данные дополнительного адреса: ```bash DEVICE=:0 ONBOOT=yes BOOTPROTO=static IPADDR= NETMASK=255.255.255.255 ``` Укажите: * `` — имя сетевого интерфейса, на который нужно добавить дополнительный адрес; * `` — защищенный IP-адрес, который получили в тикете. 5. Нажмите клавишу `ESC`. 6. Выйдите из текстового редактора `vi` с сохранением изменений: ```bash :wq ``` 7. Перезапустите сеть: ```bash service network restart ``` 8. Настройте все серверные приложения на работу с защищенным IP-адресом. Windows 1. [Подключитесь к серверу по RDP](/dedicated/manage/connect-to-server.mdx#connect-via-rdp) или через [KVM-консоль](/dedicated/manage/connect-to-server.mdx#connect-via-kvm-console). 2. Перейдите в настройки **Ethernet** → **Change adapter settings**. 3. Откройте настройки соединения и нажмите на нужное устройство правой кнопкой мыши. 4. Выберите пункт **Properties** → в списке дважды кликните на **Internet Protocol Version 4 (TCP/IPv4)**. 5. Убедитесь, что выбрана опция **Use the following IP address**. 6. Нажмите **Advanced**. 7. Нажмите **Add**. 8. В поле **IP address** введите защищенный IP-адрес, который получили в тикете. 9. Нажмите **Add**. 10. Нажмите **OK**. 11. Настройте все серверные приложения на работу с защищенным IP-адресом. #### 5. Добавить защищенный IP-адрес как разрешенный IP-адрес на порт облачного сервера \{#add-secure-ip-as-allowed-ip-on-port-l3-l4} Если вы подключаете защиту для облачного сервера и в его публичной подсети включена [фильтрация трафика (port security)](/cloud-servers/cloud-networks/about-networks.mdx#traffic-filtering-port-security), добавьте защищенный адрес в качестве разрешенного IP-адреса на порт, на котором вы [настроили защищенный адрес](#configure-secure-ip-on-server-l3-l4). 1. Проверьте состояние фильтрации трафика (port security) в сети сервера: 1.1. В [панели управления](https://my.selectel.ru/vpc/default/networks-external) в верхнем меню нажмите **Продукты** и выберите **Облачные серверы**. 1.2. Перейдите в раздел **Сеть** → вкладка **Публичные сети**. 1.3. Посмотрите карточку публичной подсети, IP-адрес из которой вы [настроили на сервере](#configure-secure-ip-on-server-l3-l4). Если подсеть отмечена , в сети включена фильтрация трафика (port security). 2. Если фильтрация трафика в подсети выключена, дополнительные настройки не требуются. Если фильтрация включена, добавьте защищенный IP-адрес в качестве разрешенного IP-адреса на порт облачного сервера: Панель управления 2.1. В [панели управления](https://my.selectel.ru/vpc/default/networks/) в верхнем меню нажмите **Продукты** и выберите **Облачные серверы**. 2.2. Откройте страницу сервера → вкладка **Порты**. 2.3. В строке порта, на который вы назначили защищенный адрес, в поле **Группы безопасности** нажмите . 2.4. Нажмите **Добавить пару IP/MAC**. 2.5. Введите защищенный IP-адрес, который получили в тикете. 2.6. Введите MAC-адрес, который соответствует IP-адресу, или оставьте MAC-адрес порта по умолчанию. Не используйте адреса из диапазона `00:00:5e:00:01:82` – `00:00:5e:00:01:c6`. Эти MAC-адреса зарезервированы сетевым оборудованием Selectel, их использование приведет к блокировке трафика на интерфейсе облачного сервера. 2.7. Нажмите **Сохранить**. OpenStack CLI 2.1. [Откройте OpenStack CLI](/cloud-servers/tools/openstack-cli/). 2.2. Добавьте разрешенный адрес: ```bash openstack port set \ --allowed-address ip-address=[,mac-address=] \ ``` Укажите: * `` — защищенный IP-адрес, который получили в тикете; * опционально: `,mac-address=` — MAC-адрес, соответствующий IP-адресу. Параметр `` — значение MAC-адреса. Не используйте адреса из диапазона `00:00:5e:00:01:82` – `00:00:5e:00:01:c6`. Эти MAC-адреса зарезервированы сетевым оборудованием Selectel, их использование приведет к блокировке трафика на интерфейсе облачного сервера. Если не указать MAC-адрес, будет использоваться основной MAC-адрес порта; * `` — ID порта, на который вы назначили защищенный IP-адрес. Список портов можно посмотреть с помощью команды `openstack port list`. ### Посмотреть статистику \{#view-statistics-l3-l4} 1. Перейдите в [личный кабинет DDoS-Guard](https://netguard.selectel.ru/cabinet/login). Данные для входа в кабинет можно посмотреть в тикете о подключении услуги. 2. Откройте вкладку **IP-транзит**. Здесь отображается статистика по общему трафику до очистки фильтрами. Графики строятся на основе пятиминутных замеров трафика, поэтому пики могут быть сглажены. ### Отключить услугу \{#disable-service-l3-l4} 1. Убедитесь, что вы перенастроили прием трафика на адрес из вашей подсети. Защищенный адрес, который вы получили при заказе услуги, будет отключен вместе с защитой. 2. В [панели управления](https://my.selectel.ru/network/antiddos) в верхнем меню нажмите **Продукты** и выберите **Защита от DDoS**. 3. Перейдите в раздел **Защита от DDoS**. 4. В меню услуги выберите **Отключить ежемесячный платеж**. Услуга проработает до конца оплаченного периода. 5. Мы отключим услугу после окончания оплаченного периода. ## Защита и ускорение веб-сайтов DDoS-Guard \{#ddos-guard-l7} ### Принцип работы \{#principle-of-operation-l7} После заказа услуги вы получаете защищенный адрес, на который нужно перенаправить свой трафик. Весь трафик на защищенный адрес отправляется на узлы фильтрации DDoS-Guard, где анализируется и проходит очистку, а затем перенаправляется на защищенный сервер в инфраструктуре Selectel. Защита работает с HTTP- и HTTPS-запросами только на порты 80 и 443, запросы на другие порты не обрабатываются. Подключение услуги не защитит от DDoS-атаки, если злоумышленникам известен целевой IP-адрес. Перед подключением необходимо убрать с внешних ресурсов упоминания всех IP-адресов, которые вы хотите защитить. Если IP-адреса уже под атакой, необходимо заказать новую подсеть и настроить ее на своих серверах. ### Стоимость \{#price-l7} Для заказа услуги доступны тарифы: Normal, Medium, Premium, Enterprise. Их основные отличия: * количество защищенных доменов; * количество серверов для балансировки нагрузки; * количество правил для ограничения доступа по IP-адресам. К любому тарифу можно приобрести дополнительный пакет правил через [тикет](https://my.selectel.ru/tickets/create); * возможность гибкой настройки правил фильтрации. Полоса фильтрации и объем трафика, включая легитимный, не ограничены. Посмотреть подробное сравнение тарифов и их стоимость можно на [selectel.ru](https://selectel.ru/services/additional/ddos-protection/?section=prices). Услуга оплачивается ежемесячно, при заказе услуги платеж за первый месяц списывается с баланса, далее платежи списываются автоматически в начале каждого следующего периода. Для оплаты услуги в зависимости от типа баланса в аккаунте используется [единый баланс](/balance-and-payments/balance.mdx#united-balance) или [основной баланс](/balance-and-payments/balance.mdx#balances-by-service-type). ### Подключить услугу \{#enable-service-l7} Минимальный срок подключения — 1-2 дня. Если подключение защиты требуется срочно — [создайте тикет](https://my.selectel.ru/tickets/create), в нем укажите домен и IP-адрес, которые нужно поставить под защиту, и email для регистрации в личном кабинете DDoS-Guard. После создания тикета [позвоните нам](https://selectel.ru/about/contacts/). 1. Если IP-адрес домена уже известен злоумышленникам, [закажите и настройте новую подсеть](#order-and-configure-new-subnet-l7). 2. [Закажите услугу Защита и ускорение веб-сайтов DDoS-Guard](#order-service-l7). 3. [Укажите защищенный адрес в A-записи домена](#specify-protected-ip-in-a-record-l7). 4. Опционально: [ограничьте подключение к серверу с IP-адресов](#prohibit-ip-adresses-connection-l7). 5. Опционально: [настройте дополнительную защиту](#make-additional-configurations-l7). #### 1. Заказать и настроить новую подсеть \{#order-and-configure-new-subnet-l7} Новая подсеть требуется, если ваши серверы под атакой и целевой IP-адрес уже известен злоумышленникам. Закажите подсеть и настройте адрес из нее на сервере: * для выделенного сервера используйте подраздел [Подключить дополнительные публичные IP-адреса⁠](/dedicated/networks/public-networks-and-subnets.mdx#add-additional-ips) инструкции [Публичные сети и подсети выделенного сервера](/dedicated/networks/public-networks-and-subnets.mdx); * для облачного сервера используйте подраздел [Создать публичную подсеть](/cloud-servers/cloud-networks/public-subnets.mdx#create-public-subnet) инструкции [Публичные подсети](/cloud-servers/cloud-networks/public-subnets.mdx). #### 2. Заказать услугу \{#order-service-l7} Перед подключением услуги [пополните баланс](/balance-and-payments/manage/top-up-balance.mdx) на [необходимую сумму](#price-l7). 1. В [панели управления](https://my.selectel.ru/network/antiddos) в верхнем меню нажмите **Продукты** и выберите **Защита от DDoS**. 2. Перейдите в раздел **Защита от DDoS**. 3. Нажмите **Заказать услуги**. 4. В строке нужного тарифа **DDoS-Guard. Защита и ускорение веб-сайтов** (Normal, Medium, Premium, Enterprise) нажмите **Оплатить**. 5. Проверьте данные и нажмите **Оплатить услугу**. 6. Мы создадим [тикет](https://my.selectel.ru/tickets/) на подключение услуги и уточним дату подключения. 7. В этом тикете отправьте нам: * домен, который требуется поставить под защиту; * IP-адрес домена. Можно указать несколько IP-адресов, если они указывают на один домен и нужна балансировка нагрузки между ними; * email для регистрации в личном кабинете DDoS-Guard. 8. Мы сообщим о подключении услуги. #### 3. Указать защищенный IP-адрес в A-записи домена \{#specify-protected-ip-in-a-record-l7} 1. Перейдите в [личный кабинет DDoS-Guard](https://my.ddos-guard.net/auth/login). 2. Введите логин и пароль, которые получили на email при [заказе услуги](#order-service-l7). 3. Откройте страницу услуги **Защита и ускорение сайта**. 4. Откройте вкладку **Домены**. 5. Сохраните защищенный IP-адрес, который указан в поле **Защищенный IP**. 6. Перейдите в панель управления доменного регистратора, где хранятся записи вашего домена. 7. В A-записи домена измените значение на защищенный IP-адрес, который скопировали на шаге 5. Не меняйте значение А-записи, предназначенной для трафика почтового сервера или FTP-сервера. 8. Если для домена указаны AAAA-записи, удалите их. DDoS-Guard не работает с IPv6-адресами, их могут атаковать в обход защиты. 9. Если вы хотите защитить поддомены, для каждого добавьте A-запись с защищенным IP-адресом. Можно защитить неограниченное количество поддоменов. #### 4. Опционально: ограничить подключение к серверу с IP-адресов \{#prohibit-ip-adresses-connection-l7} Вы можете ограничить подключение к серверу со всех IP-адресов, кроме доверенных IP-адресов DDoS-Guard. Подробнее о настройке в подразделе [Настройка фаервола](https://ddos-guard.ru/tutorials/general/l7-settings#firewall) инструкции [Настройка защиты на уровне L7](https://ddos-guard.ru/tutorials/general/l7-settings) документации DDoS-Guard. #### 5. Опционально: настроить дополнительную защиту \{#make-additional-configurations-l7} Вы можете настроить дополнительную защиту в [личном кабинете DDoS-Guard](https://my.ddos-guard.net/auth/login). Например, настроить правила фильтрации трафика, включить геоблокировку или другие опции. Полный список опций в разделе [Защита сайта](https://ddos-guard.net/ru/tutorials/website-protection) документации DDoS-Guard. Чтобы настроить дополнительную защиту: 1. Войдите в [личный кабинет](https://my.ddos-guard.net/auth/login). Для входа используйте логин и пароль, которые получили на email при [заказе услуги](#order-service-l7). 2. Выполните настройку по необходимым инструкциям в разделе [Защита сайта](https://ddos-guard.net/ru/tutorials/website-protection) документации DDoS-Guard. ### Посмотреть статистику \{#view-statistics-l7} 1. Перейдите в [личный кабинет](https://my.ddos-guard.net/auth/login). Для входа используйте логин и пароль, которые получили на email при [заказе услуги](#order-service-l7). 2. Посмотрите статистику по инструкции [Атаки L7 и отчеты об атаках](https://ddos-guard.ru/tutorials/website-protection/attacks-period) документации DDoS-Guard. ### Отключить услугу \{#disable-service-l7} 1. Убедитесь, что вы перенастроили прием трафика на адрес из вашей подсети. Защищенный адрес, который вы получили при заказе услуги, будет отключен вместе с защитой. 2. Откройте панель управления доменного регистратора, где хранятся записи вашего домена. 3. В A-записи домена измените значение на адрес из вашей подсети. 4. В [панели управления](https://my.selectel.ru/network/antiddos) в верхнем меню нажмите **Продукты** и выберите **Защита от DDoS**. 5. Перейдите в раздел **Защита от DDoS**. 6. В меню услуги выберите **Отключить ежемесячный платеж**. Услуга будет работать до конца оплаченного периода. 7. Мы отключим услугу после окончания оплаченного периода.