Zwei Wörter, zwei entgegengesetzte Verhaltensweisen
Es gibt zwei Dinge, die ein Hoster tun kann, wenn eine Flut eintrifft, und die Branche verkauft beide als „DDoS-Schutz“. Das erste ist Absorption: Der Traffic wird in eine Scrubbing-Schicht vor Ihrem Server gezogen, Angriffspakete werden dort verworfen, legitime Pakete laufen weiter, und Ihr Dienst bleibt die ganze Zeit erreichbar. Das zweite ist Blackholing — auch Null-Routing genannt, oder RTBH nach RFC 5635 — wobei Ihre IP-Adresse aus der Routing-Tabelle entfernt wird, sodass sie gar nicht mehr erreichbar ist. Die Flut trifft nicht mehr im Rechenzentrum ein. Ebenso wenig Ihre Nutzer, Ihr Monitoring und Ihre SSH-Sitzung. Der Angreifer bekommt genau das Ergebnis, für das er bezahlt hat.
Beide sind echtes Engineering, und keines der beiden ist für sich genommen unehrlich. Blackholing existiert, weil das Absorbieren einer großen Flut echtes Geld kostet — Transit wird nach Verbrauch abgerechnet, Scrubbing-Kapazität wird eingekauft und bereitgestellt —, und ein Billig-Hoster, der einen Kunden null-routet, um vierhundert andere online zu halten, trifft eine vertretbare Entscheidung. Der Trick liegt im Pronomen. „DDoS-Schutz“ stimmt in beiden Fällen; was sich unterscheidet, ist, wessen Dienst geschützt wird. Lesen Sie jede Tarifkarte mit dieser Frage im Hinterkopf.
| Reaktion | Angriffsverkehr | Ihr Dienst | Üblicherweise beschrieben als |
|---|---|---|---|
| Scrubbing / Absorption | Wird stromaufwärts gefiltert, am Edge verworfen | Bleibt online, meist ohne sichtbare Veränderung | „Always-on Mitigation“, „Anycast-Scrubbing“ |
| Blackhole / Null-Route | Wird zusammen mit Ihrem legitimen Traffic verworfen | Für die Dauer offline — üblicherweise 1–24 h | „Schutz bis zu X Gbps“, „vorübergehende IP-Sperre“ |
| Nur Edge-Rate-Limit | Teilweise verworfen, teils zufällig | Beeinträchtigt — echte Nutzer sehen Paketverlust | „Basisschutz inbegriffen“ |
| Nichts (der Carrier entscheidet) | Erreicht das Rack, bis ein vorgelagerter Netzbetreiber das Präfix blackholet | Offline, ebenso Ihre Rack-Nachbarn | „DDoS-Schutz verfügbar“ |
Das Kleingedruckte lesen, bevor Sie zahlen
Das Vokabular verrät es. „Schutz bis zu 10 Gbps“ ist eine Obergrenze, und der Satz direkt danach — der über Traffic jenseits dieses Limits — ist die Null-Route-Klausel. „Geschützte IP als Zusatzoption erhältlich“ bedeutet, dass die Adresse, die Sie standardmäßig bekommen, nicht geschützt ist. „Pro Vorfall“ bedeutet, dass nach dem Angriff eine Rechnung folgt. „Fair Use“ im Zusammenhang mit Mitigation bedeutet ein Kontingent an Angriffen pro Monat, danach sind Sie auf sich gestellt. Keiner dieser Sätze ist gelogen; sie sind nur so geschrieben, dass man beim Überfliegen daran vorbeiliest.
Ein konkretes, öffentlich dokumentiertes Beispiel, weil es belegte Richtlinie ist und kein Gerücht: BuyVM verkauft DDoS-gefilterte Adressen als separate Zusatzoption für $3/Monat pro IP, und ungefilterte Adressen werden während eines laufenden Angriffs null-geroutet. Wir beschreiben das ohne große Wertung auf unserer BuyVM-Vergleichsseite, denn eine günstige ungefilterte IP ist ein völlig vernünftiges Produkt, wenn man weiß, dass man genau das gekauft hat. Der Fehlerfall ist, es um 03:00 Uhr herauszufinden, während ein Booter läuft.
Vier Fragen, die sich lohnen, vor der ersten Rechnung an den Vertrieb zu schicken. Wie hoch ist die Mitigation-Kapazität, und ist diese Zahl die aggregierte oder die an einem einzelnen Point of Presence verfügbare? Ein „2-Tbps-Netzwerk“, das in einem einzigen Scrubbing-Center endet, hat nur eine Leitung zu füllen. Ist Mitigation im Tarif enthalten oder eine Zusatzoption? Gibt es eine Gebühr pro Vorfall oder ein monatliches Kontingent an mitigierten Vorfällen? Ab welchem Schwellenwert null-routen Sie, und für wie lange? Ein Hoster, der die letzte Frage mit einer Zahl beantwortet, ist mehr wert als einer, der sie mit Adjektiven beantwortet.
Die drei Layer, und warum der Layer entscheidet, wer das Problem beheben kann
Layer 3/4 volumetrisch. SYN-Floods, UDP-Floods sowie Reflection oder Amplification über offene NTP-, DNS-, Memcached-, CLDAP- und SSDP-Dienste. Der Angreifer setzt ein wenig eigene Bandbreite ein und bekommt ein Vielfaches davon zurück, gegen Sie gerichtet. Das ist ein Bandbreiten- und Pakete-pro-Sekunde-Problem, und es ist kategorisch nicht auf Ihrem Server lösbar: Bis Ihr Kernel das Paket verwerfen könnte, ist die Leitung, die es trägt, bereits voll. Nichts in nftables rettet Sie hier. Nur Kapazität oberhalb von Ihnen tut das.
Layer-4-Zustandserschöpfung. SYN-, ACK- und Verbindungsfluten, die nicht darauf ausgelegt sind, die Leitung zu füllen, sondern eine Tabelle — den SYN-Backlog des Kernels, die Conntrack-Tabelle, die Accept-Queue Ihrer Anwendung. Die Bandbreite kann trivial sein: Ein paar hundert Mbps legen eine ungetunte Box lahm, während der Graph auf Seiten des Hosters wie ein ruhiger Nachmittag aussieht. Dieser Layer gehört wirklich zur Hälfte Ihnen: Er ist überlebbar mit tcp_syncookies, einem passend dimensionierten nf_conntrack_max und Limits pro Quelle — und ohne sie nicht überlebbar.
Layer-7-Anwendung. HTTP-Fluten aus einzeln validen Requests — echte TLS-Handshakes, glaubwürdige User-Agent-Strings, manchmal echte Browser — gerichtet auf das, was auf Ihrer Seite teuer ist: Suche, Login, Warenkorb, eine datenbankgestützte Listing-Seite. Die HTTP/2-Rapid-Reset-Klasse zeigte, wie wenige Megabit nötig sind, wenn jeder Request den Server mehr kostet als den Client. Eine Scrubbing-Appliance kann nicht in eine TLS-Sitzung hineinsehen, die sie nicht selbst terminiert, daher wird dieser Layer entweder durch Regeln am Edge oder durch Ihren eigenen Reverse-Proxy behandelt — niemals durch reine volumetrische Kapazität.
| Layer | Typischer Angriff | Typische Größe | Wo er gestoppt werden muss | Auf der eigenen Box behebbar? |
|---|---|---|---|---|
| L3/L4 volumetrisch | UDP-Flood, DNS/NTP/Memcached-Amplification | 5 Gbps – 1+ Tbps | Stromaufwärts, am Edge | Nein — die Leitung füllt sich zuerst |
| L4-Zustandserschöpfung | SYN-/ACK-Flood, Conntrack-Erschöpfung | 0.1 – 10 Gbps | Edge, plus Kernel-Tuning | Teilweise — Syncookies, Conntrack-Dimensionierung |
| L7-Anwendung | HTTP(S)-Request-Flood, Slow POST, Rapid Reset | Oft unter 1 Gbps | Edge-Regeln oder eigener Reverse-Proxy | Ja — Rate-Limiting, Challenge, Caching |
Wie groß ist ein echter Angriff wirklich?
Etwa neun von zehn Angriffen, die einen kleinen Offshore-Server treffen, stammen von einem Booter oder Stresser — einem Abo-Dienst für $10 bis $30 im Monat, der Amplification-Kapazität minutenweise weiterverkauft. Sie liefern etwas zwischen 5 und 50 Gbps in Schüben von wenigen Minuten, und genau damit haben es ein Minecraft-Server, ein IRC-Netzwerk, ein Tor-Relay, ein Forum mit einem verärgerten Ex-Moderator oder eine kompetitive Game-Lobby tatsächlich zu tun. Dieses Band ist vollständig überlebbar, und es reicht auch vollkommen aus, um einen ungeschützten $5-VPS umzuwerfen.
Die nächste Stufe darüber — 100 bis 400 Gbps von einem gemieteten Botnet — kommt, wenn jemand einen konkreten Groll und ein Budget hat. Sie ist gegen kleine Ziele selten und gegen Glücksspiel-, Streaming- und Erwachsenenangebote Routine. Darüber liegen die Rekordklasse-Ereignisse, über die die großen Mitigation-Anbieter berichten, inzwischen gemessen in mehreren Terabit pro Sekunde und hunderten Millionen Requests pro Sekunde; die Quartalszahlen auf Cloudflare Radar sind die übliche öffentliche Referenz. Sie sind mit ziemlicher Sicherheit nicht das beabsichtigte Ziel eines solchen Angriffs.
Trotzdem können Sie zum Kollateralschaden werden, und das ist der Teil, den niemand auf eine Tarifkarte druckt: Kollateralschaden reist über das Präfix. Wenn ein Hoster mit /24-Granularität blackholet — viele tun das, weil das das kleinste Präfix ist, das die meisten Carrier für RTBH akzeptieren —, legt ein Angriff auf eine einzige Adresse in Ihrem Subnetz jede Adresse darin lahm. Ihre Uptime hängt von den Feinden eines Fremden ab. Kapazitätsspielraum ist es, der dafür sorgt, dass diese Entscheidung nie getroffen werden muss.
Unsere eigenen Zahlen, zur Einordnung und nicht als Angeberei: 1 Tbps Anycast-L3/L4-Scrubbing, verteilt auf vier Points of Presence, jeder für sich in der Lage, rund 300 Gbps zu absorbieren, mit automatischer Erkennung innerhalb von zwei Sekunden. Das größte Ereignis, das wir für einen Kunden absorbiert haben, lag bei über 600 Gbps gegen einen Game-Server, und die Spielerverbindungen brachen nicht ab. Die Architektur ist im Detail auf der Netzwerk-Seite dokumentiert.
Inbegriffen, pro Vorfall oder Kontingent — die kommerzielle Ausgestaltung zählt
Es gibt drei Arten, Mitigation zu verkaufen, und sie führen zu sehr unterschiedlichen Rechnungen. Inbegriffen: Die Kosten sind in den Tarif eingepreist, und ein Angriff ändert nichts an dem, was Sie zahlen. Pro Vorfall: Sie werden für jedes mitigierte Ereignis belastet, manchmal pro Stunde Mitigation. Kontingent: eine bestimmte Anzahl von Ereignissen pro Monat, oder eine „Fair Use“-Klausel, die den Hoster entscheiden lässt, wann es für Sie genug war.
Das Pro-Vorfall-Modell ist kein Betrug. Gescrubbter Traffic durchquert weiterhin den Transit des Hosters, bevor er verworfen wird, und Transit wird nach dem 95. Perzentil oder gegen eine feste Verpflichtungsrate abgerechnet — eine anhaltende Kampagne gegen einen Kunden ist ein realer Posten auf irgendjemandes Rechnung. Das Problem ist nicht Fairness, sondern Vorhersehbarkeit: Bei einer zweiwöchigen Kampagne macht ein Pro-Vorfall-Hoster aus einem Angriff auf Sie eine Rechnung für Sie, was ein zweiter Angriff mit Umweg ist. Fragen Sie, welches Modell gilt, bevor Sie es dringend wissen müssen.
Unsere Position, klar formuliert, damit sie überprüft werden kann: Der Schutz ist standardmäßig auf jedem Tarif aktiv, vom $8.50-Starter bis zur $299.50-Citadel, es gibt kein Opt-in, keine Gebühr pro Vorfall, kein monatliches Kontingent und keine „Fair Use“-Klausel im Zusammenhang mit Mitigation. Es ist dasselbe Fabric auf dem günstigsten VPS wie auf der größten Dedicated-Box — siehe die VPS-Tarife und die Dedicated-Stufen. Was mit der Stufe skaliert, ist der Uplink und das optionale Layer-7-Regelwerk, nicht ob Sie überhaupt geschützt sind.
Anycast-Diffusion, und warum die Erkennungszeit wichtiger ist als die beworbene Kapazität
Ein einzelnes Scrubbing-Center hat eine harte Obergrenze: den Transit in genau dieses eine Gebäude. Es kostet auch Latenz, weil während der Mitigation der gesamte Traffic zuerst zu diesem Gebäude geleitet wird — der Grund, warum manche Hoster für europäische Nutzer spürbar langsamer werden, sobald ein Angriff beginnt, und das bleiben, bis er endet.
Anycast verändert die Rechnung, bevor überhaupt Hardware ins Spiel kommt. Dasselbe Präfix wird von jedem Point of Presence angekündigt, sodass ein global verteiltes Botnet allein durch die Internet-Topologie auf diese Punkte aufgeteilt wird: Ein 600-Gbps-Angriff, der von überall kommt, trifft als rund 150 Gbps an vier Orten ein statt als 600 Gbps an einem. Die Diffusion erledigt den größten Teil der Arbeit; das Scrubbing-Equipment muss nur noch behandeln, was übrig bleibt, nachdem die Geografie schon aufgeteilt hat.
Die Erkennungszeit ist die unterschätzte Zahl. Eine Mitigation, die nach zwei Sekunden einsetzt, ist für eine TCP-Sitzung unsichtbar; eine Mitigation, die nach sechzig Sekunden einsetzt, kommt, nachdem Ihre Nutzer zweimal neu geladen und die Seite verlassen haben, und nachdem eine Game-Lobby sich geleert hat. Wenn ein Hoster nur die Kapazität nennt, aber nicht die Erkennungslatenz, fragen Sie nach der zweiten Zahl — sie entscheidet, ob Ihre Nutzer überhaupt etwas gemerkt haben.
Wenn Sie Ihr eigenes Präfix mitbringen, wird Blackholing zum Skalpell in Ihrer Hand statt zu etwas, das Ihnen widerfährt. Unsere BGP-Communities decken De-Preference pro Carrier (cs:100:carrier), regionales Prepending (cs:200:region) und selektives Blackhole (cs:666:prefix) ab, sodass Sie eine einzelne angegriffene Adresse null-routen können, während der Rest Ihrer Allokation weiter bedient. Das ist Blackholing richtig eingesetzt: chirurgisch, kurz, und Ihre Entscheidung.
Die Offshore-Komplikation: Ein US-Proxy davor macht den Sinn zunichte
Der Standardrat in jedem Forum lautet: „Einfach hinter Cloudflare packen, die kostenlose Stufe reicht.“ Für eine gewöhnliche Website ist das guter Rat. Wenn Sie einen Offshore-Hoster aus jurisdiktionellen Gründen gewählt haben, importiert das still alles zurück, was Sie hinter sich lassen wollten: Ein in den USA eingetragenes Unternehmen terminiert nun Ihr TLS und sieht Ihren Klartext, erhält Abuse- und Urheberrechtsbeschwerden und handelt nach seiner eigenen Richtlinie, führt ein Konto, das an eine E-Mail-Adresse und meist ein Zahlungsmittel gebunden ist, und kann mit US-Rechtsverfahren zugestellt werden. Dass Ihr Hoster eine DMCA-Notice ignoriert, ist wenig wert, wenn Ihr CDN sie befolgt — die Mechanik steht in der DMCA-ignored-Erklärung und die jurisdiktionelle Angreifbarkeit im 14-Eyes-Leitfaden.
Ein Proxy verbirgt Ihren Ursprungsserver außerdem nur, wenn Sie den Ursprung per Firewall auf die Präfixe des Proxys beschränken und das dauerhaft so halten. Selbst dann leckt die Adresse über passive DNS-Historie, über Certificate-Transparency-Logs, falls der Ursprung jemals TLS unter eigenem Namen beantwortet hat, über Mail, die direkt von der Box verschickt wird, über einen alten A-Record, der nie entfernt wurde, und über jede Fehlerseite, die den eigenen Hostnamen des Servers preisgibt. Direkte Treffer auf den Ursprung sind, wie „geschützte“ Seiten trotzdem lahmgelegt werden. Das Playbook für anonymes Hosting geht die gesamte Leck-Oberfläche durch.
Wenn Sie eine Proxy-Schicht ohne die jurisdiktionellen Kosten wollen, betreiben Sie sie selbst: eine zweite kleine Instanz in derselben oder einer kompatiblen Jurisdiktion, die TLS unter Ihrem eigenen Schlüssel terminiert, wobei die Firewall des Ursprungs nichts außer dieser Adresse akzeptiert. Sie behalten das Caching und die Request-Filterung, und kein Dritter tritt der Vertrauenskette bei. Beide Maschinen sitzen hinter demselben Scrubbing-Fabric, sodass der Proxy kein neues weiches Ziel ist.
Was auf der Box weiterhin Ihre Aufgabe ist
Vorgelagertes Scrubbing schützt die Leitung. Es tunt nicht Ihren Kernel, und im Bereich der Zustandserschöpfung stirbt ein ungetunter Server an einem Angriff, den das Netzwerk kaum registriert hat. Die Kurzliste, in der Reihenfolge, in der sie sich auszahlt: net.ipv4.tcp_syncookies aktivieren und net.ipv4.tcp_max_syn_backlog erhöhen (die Parameter sind in der ip-sysctl-Referenz des Kernels dokumentiert); nf_conntrack_max auf die tatsächlich erwartete Verbindungszahl dimensionieren, oder notrack für UDP-Game-Traffic mit hoher Rate verwenden, damit die Tabelle nie konsultiert wird; Rate-Limits pro Quelle in nftables ergänzen, statt darauf zu vertrauen, dass der Edge chirurgisch vorgeht.
Auf Anwendungsseite kosten limit_req und limit_conn in nginx nichts und stoppen die meisten L7-Fluten, die nicht gezielt darauf ausgelegt sind, menschlich zu wirken. Cachen Sie, was sich cachen lässt, denn das beste Ziel eines Angreifers ist immer die eine Seite, die Sie bei jedem Request neu aus der Datenbank generieren. Halten Sie SSH und jedes Control Panel von der Adresse fern, die den öffentlichen Workload bedient, oder sichern Sie sie hinter einer Allowlist.
Eine Richtung, die oft vergessen wird: Werden Sie nicht selbst zum Reflektor. Ein offener DNS-Resolver, ein unkonfigurierter NTP-Daemon oder ein exponiertes Memcached auf Ihrer Box macht Sie zum Teil eines fremden Amplification-Angriffs, und ausgehender Abuse wird weit schärfer behandelt als eingehender — die veröffentlichte Reaktionszeit in unserer AUP ist Null-Route und Sperrung innerhalb von zwei Stunden. Eingehende Fluten sind etwas, das Ihnen widerfährt; ausgehende Fluten sind etwas, wofür Sie verantwortlich sind.
Die Checkliste, die sich vor dem Kauf lohnt
Neun Fragen, in der Reihenfolge, die Hoster am schnellsten trennt. Wie hoch ist die Mitigation-Kapazität, und gilt sie pro Point of Presence oder aggregiert? Ist sie im Tarifpreis enthalten oder wird sie pro IP verkauft? Gibt es eine Gebühr pro Vorfall, oder ein Kontingent an mitigierten Ereignissen pro Monat? Wie hoch ist die Erkennungslatenz? Ist Layer-7-Filterung überhaupt verfügbar, und auf welchen Stufen? Ab welchem Schwellenwert und für welche Dauer wird null-geroutet, und werden Sie informiert, wenn es passiert? Ändert Mitigation mein Routing oder meine Latenz, während sie aktiv ist? Liegt der Schutz auf der Adresse, die ich standardmäßig bekomme? Und — die Frage, die fast niemand stellt — was wird über meinen Traffic gespeichert, während Mitigation läuft?
Diese letzte Frage zählt in diesem Markt mehr als in jedem anderen. Scrubbing bedeutet, dass etwas vorgelagert Ihre Pakete betrachtet. Fragen Sie, was das Ereignis überdauert. Unsere Antwort, und sie ändert sich während eines Angriffs nicht: Die Erkennung läuft auf aggregierten Zählern am Edge — Pakete und Bits pro Sekunde, pro Präfix — nicht auf gespeicherten Per-Flow-Datensätzen, und die dauerhafte Position aus kein Netflow, kein PCAP und kein NIC-Mirroring, veröffentlicht in der Datenschutzrichtlinie, gilt während der Mitigation genauso wie zu jeder anderen Zeit. Ein Hoster, der das nicht beantworten kann, sagt Ihnen damit etwas.
Wenn die Antworten dürftig ausfallen, ist die Rückfalloption billig: Buchen Sie einen Monat des kleinsten Tarifs, richten Sie eine Monitoring-Probe darauf und fragen Sie den Support direkt, was passiert, wenn die Box getroffen wird. Hier gibt es keinen Vertrag und keine Einrichtungsgebühr, sodass ein Hoster, der die Frage schriftlich ausweicht, Sie $8.50 kostet, um es herauszufinden. Einen Starter deployen, oder VPS versus Dedicated lesen, falls der Workload groß genug ist, dass die Antwort die Stufe ändert.
