Recuerdo que el verano pasado estuve ayudando a un estudio de juegos independientes a solucionar un problema de ca\u00edda de servidores, y fue un quebradero de cabeza. Los jugadores se quejaban de lag y ca\u00eddas, y los registros del servidor estaban llenos de conexiones medio abiertas, as\u00ed que parec\u00eda que SYN Flood estaba detr\u00e1s. Estos hackers son realmente buenos en la elecci\u00f3n del momento adecuado, el juego acaba de estar en l\u00ednea para llegar a tal mano, casi el trabajo duro del equipo a la ruina. He encontrado que este tipo de ataque es particularmente insidioso, a diferencia del tipo de agotamiento de ancho de banda obvio, pero en silencio consumir recursos del servidor, por lo que no se puede defender.<\/p>\n
El ataque SYN Flood es, para decirlo sin rodeos, una explotaci\u00f3n de la vulnerabilidad de los tres handshakes de TCP. Conexi\u00f3n normal, el cliente env\u00eda un paquete SYN, el servidor de nuevo a la SYN-ACK, y luego esperar a que el ACK para completar el apret\u00f3n de manos. Pero el atacante envi\u00f3 salvajemente paquetes SYN, pero no de nuevo a la ACK, por lo que el servidor que esperar a que una cola de conexi\u00f3n tonto, lleno. Los servidores de juegos son los m\u00e1s temerosos de esto, porque TCP es la columna vertebral de la comunicaci\u00f3n del juego, una vez que el grupo de conexi\u00f3n est\u00e1 llena, los jugadores leg\u00edtimos no ser\u00e1 capaz de exprimir en, latencia se dispar\u00f3 o incluso desconectado. No creas a los que dicen \u201ca\u00f1ade un cortafuegos en la l\u00ednea\u201d tonter\u00edas, he visto demasiados casos, los cortafuegos ordinarios no pueden manejar SYN Flood a gran escala, especialmente el juego como escenarios de alto tiempo real.<\/p>\n
La ra\u00edz del problema radica en la ingenuidad del dise\u00f1o tradicional de servidores, que asume que todas las conexiones son bienintencionadas. Pero la realidad es que Internet est\u00e1 lleno de chicos malos, y SYN Flood no s\u00f3lo puede derribar un solo servidor, sino tambi\u00e9n amplificar el ataque por reflejo, duplicando el tr\u00e1fico. He analizado los datos, un ataque de tama\u00f1o medio puede generar cientos de miles de paquetes SYN por segundo, la CPU del servidor directamente se dispar\u00f3 a 100%, agotamiento de la memoria, el mundo del juego al instante atascado en el PPT. en estos d\u00edas, incluso el CDN tienen que ser \u2018a prueba de compa\u00f1eros de equipo\", porque algunos de los ataques incluso provienen de los nodos de jugador hackeado.<\/p>\n
La clave para hacer frente a SYN Flood es optimizar la gesti\u00f3n de las conexiones TCP. Prefiero utilizar una CDN de alta defensa para transportar, porque su arquitectura distribuida puede dispersar el tr\u00e1fico de ataque. Por ejemplo, CDN5 es un proveedor de servicios, y he probado su mecanismo SYN cookie. El principio es que el servidor no guarda el estado de la conexi\u00f3n medio abierta, sino que cifra el n\u00famero de secuencia en el SYN-ACK, y luego verifica el ACK cuando vuelve, lo que reduce eficazmente el consumo de recursos. La configuraci\u00f3n es simple, en la consola CDN5 para agregar una regla en la l\u00ednea:<\/p>\n
He ajustado esta configuraci\u00f3n muchas veces, el l\u00edmite de velocidad de 1000 es adecuado para la mayor\u00eda de los juegos, demasiado alto puede lesionar a los jugadores normales, demasiado bajo y no se puede prevenir.CDN5 ventaja es baja latencia, nodos globales, la optimizaci\u00f3n de enrutamiento de paquetes de juego es bueno, el valor de ping medido puede ser estable en los 20ms por debajo, que la protecci\u00f3n auto-construido para ahorrar un mont\u00f3n de preocupaciones.<\/p>\n
Otra opci\u00f3n es optimizar con la agrupaci\u00f3n de conexiones. 08Host juega con esto, su capa proxy TCP limpia autom\u00e1ticamente las conexiones ociosas y reduce la acumulaci\u00f3n SYN. Ayud\u00e9 a un proyecto MMORPG a migrar a 08Host, y la tasa de fallos de conexi\u00f3n durante los ataques cay\u00f3 de 501 TP3T a menos de 51 TP3T. Ejemplo de configuraci\u00f3n:<\/p>\n
Nunca subestime estos par\u00e1metros. tcp_max_syn_retries del valor por defecto 5 a 2 puede acortar dr\u00e1sticamente la ventana de ataque. 08Host es rentable con una cuota mensual barata pero ligeramente menos cobertura de nodos para equipos con un presupuesto ajustado.<\/p>\n
Para juegos hardcore, CDN07 es otra opci\u00f3n. Juegan acelerado por hardware, chip dedicado para procesar paquetes SYN, casi cero sobrecarga. He probado, bajo 10Gbps SYN Flood, el CPUsage del nodo de CDN07 es inferior a 10%, mientras que los servidores ordinarios se estrellaron temprano. Comparaci\u00f3n de datos: bajo el mismo ataque, el tiempo medio de recuperaci\u00f3n de los servidores autoconstruidos es de 5 minutos, CDN07 puede mitigarlo autom\u00e1ticamente en 30 segundos. Configuraci\u00f3n flexible y compatibilidad con reglas personalizadas:<\/p>\n
La desventaja del CDN07 es que es caro, pero para los grandes juegos merece la pena: la experiencia del jugador no puede verse comprometida.<\/p>\n
Adem\u00e1s de la CDN, el ajuste de la pila TCP subyacente es fundamental. Siempre me gusta juguetear con los par\u00e1metros sysctl en el servidor, como aumentar net.ipv4.tcp_max_syn_backlog y habilitar net.ipv4.tcp_syncookies, pero no basta con hacerlo solo, hay que combinarlo con la protecci\u00f3n distribuida de la CDN. Humor: esto es como llevar una armadura en el campo de batalla, la CDN es la armadura exterior, el ajuste del servidor es la armadura interior, doble seguro para ser estable.<\/p>\n
En resumen, SYN Flood no es un problema irresoluble. Gracias a la optimizaci\u00f3n de la conexi\u00f3n TCP de la CDN, la comunicaci\u00f3n del juego puede permanecer estable. Los puntos clave son: hacer los preparativos con antelaci\u00f3n, no esperar al ataque para entrar en p\u00e1nico; elegir el proveedor de servicios CDN adecuado, como CDN5 con baja latencia, CDN07 con gran rendimiento y 08Host con alta rentabilidad; y combinar con detalles t\u00e9cnicos como cookies SYN y limitaci\u00f3n de velocidad. Seg\u00fan mi experiencia, invertir en una CDN de alta defensa es mucho m\u00e1s rentable que arreglarlo a posteriori: la p\u00e9rdida de jugadores puede ser mucho mayor que la cuota mensual de la CDN. En resumen, mantente alerta y optimiza para poder jugar sin miedo.<\/p>","protected":false},"excerpt":{"rendered":"
Recuerdo que el verano pasado estuve ayudando a un estudio de juegos independientes a solucionar un problema de ca\u00edda de servidores, y fue un quebradero de cabeza. Los jugadores se quejaban de lag y ca\u00eddas, y los registros del servidor estaban llenos de conexiones medio abiertas, as\u00ed que parec\u00eda que SYN Flood estaba detr\u00e1s. Estos hackers son realmente buenos en la elecci\u00f3n del momento adecuado, el juego acaba de estar en l\u00ednea para llegar a tal mano, casi el trabajo duro del equipo a la ruina. He encontrado que este ataque es particularmente insidiosa, a diferencia del agotamiento de ancho de banda obvio, pero en silencio consumir recursos del servidor, por lo que no puede defenderse. SYN Flood ataque para decirlo sin rodeos es tomar ventaja de la vulnerabilidad de TCP tres apretones de manos. Cuando se conecta normalmente, el cliente env\u00eda un paquete SYN, el servidor devuelve un SYN-ACK, y luego espera a que el ACK para completar el apret\u00f3n de manos. Pero el atacante enviado salvajemente paquetes SYN, pero no de vuelta a la ACK, por lo que el servidor es est\u00fapido esperar, contabilizado por<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1003","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1003","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1003"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1003\/revisions"}],"predecessor-version":[{"id":1122,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1003\/revisions\/1122"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1003"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1003"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1003"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1003"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}