DDoS Protection

Yandex DDoS Protection — это компонент сервиса VPC для защиты облачных ресурсов от DDoS-атак. DDoS Protection предоставляется в партнерстве с Qrator Labs.

Защита от DDoS применяется к публичным IP-адресам виртуальных машин, сетевых балансировщиков и хостов баз данных. Защиту можно включить только в момент создания облачного ресурса или при резервировании статического адреса. При этом защита не ограничивает работу с IP-адресами: защищенный адрес можно сделать статическим и зарезервировать. Если виртуальную машину с защищенным динамическим адресом остановить, при следующем запуске ее адрес поменяется, но останется под защитой.

Ширина полос пропускания паразитного и очищенного трафика не ограничены. Тарифицируется каждый гигабайт очищенного входящего трафика.

Но защита от DDoS не даёт 100% защиты. Атаки будут пропущены, если:

валидные TCP-соединения;
HTTP и HTTPS-запросы;
узкие места атакуемого приложения.

Иными словами DDoS защита работает на уровне L3, а не на уровне L7. Для обеспечения более высокоуровневой защиты есть более совершенные методы.

При включении ddos защиты в настройках ВМ необходимо поменять настройки MTU/MSS. Разумеется в том случае, если защита устанавливается на ВМ.

ip link set eth0 mtu 1450
ip route add 192.168.1.0/24 dev eth0 advmss 1410

Если создать адрес с защитой, то при его просмотре это будет отражено:

yc vpc address get b0cvc67d49j3k6iv7b81
id: b0cvc67d49j3k6iv7b81
created_at: "2022-08-29T22:55:30Z"
external_ipv4_address:
  address: 51.250.126.225
  zone_id: ru-central1-c
  requirements:
    ddos_protection_provider: qrator
reserved: true
type: EXTERNAL
ip_version: IPV4

Также, информация об установленной защите будет доступна в UI.

Полезные ссылки:

Qrator: https://qrator.net/ru/
Концепции DDoS защиты: https://cloud.yandex.ru/docs/vpc/ddos-protection/
Настройка MTU/MSS: https://cloud.yandex.ru/docs/vpc/concepts/mtu-mss
Включить защиту от DDoS:
https://cloud.yandex.ru/docs/vpc/operations/enable-ddos-protection