Je me souviens que l'\u00e9t\u00e9 dernier, j'aidais un studio de jeu ind\u00e9pendant \u00e0 g\u00e9rer une panne de serveur, et c'\u00e9tait un casse-t\u00eate. Les joueurs se plaignaient de lagages et d'abandons, et les journaux du serveur \u00e9taient remplis de connexions \u00e0 moiti\u00e9 ouvertes, de sorte qu'il semblait que SYN Flood \u00e9tait derri\u00e8re tout \u00e7a. Ces pirates sont vraiment dou\u00e9s pour choisir le bon moment, le jeu vient juste d'\u00eatre en ligne pour en arriver \u00e0 une telle main, presque le travail acharn\u00e9 de l'\u00e9quipe \u00e0 ruiner. J'ai d\u00e9couvert que ce type d'attaque est particuli\u00e8rement insidieux, contrairement \u00e0 l'\u00e9puisement de la bande passante qui est \u00e9vident, mais qui consomme discr\u00e8tement les ressources du serveur, de sorte que vous ne pouvez pas vous d\u00e9fendre.<\/p>\n
L'attaque SYN Flood est, pour le dire cr\u00fbment, une exploitation de la vuln\u00e9rabilit\u00e9 des trois \u201chandshakes\u201d de TCP. Lors d'une connexion normale, le client envoie un paquet SYN, le serveur r\u00e9pond au SYN-ACK, puis attend l'ACK pour terminer la poign\u00e9e de main. Mais l'attaquant envoie sauvagement des paquets SYN mais ne renvoie pas l'ACK, de sorte que le serveur doit attendre une stupide file d'attente de connexion pleine. Les serveurs de jeux sont les plus effray\u00e9s par cette situation, car TCP est l'\u00e9pine dorsale de la communication du jeu, une fois que le pool de connexions est plein, les joueurs l\u00e9gitimes ne pourront pas se glisser dans la file d'attente, la latence montera en fl\u00e8che ou ils seront m\u00eame d\u00e9connect\u00e9s. Ne croyez pas ceux qui disent \"ajoutez un pare-feu sur la ligne\", j'ai vu trop de cas, les pare-feu ordinaires ne peuvent pas g\u00e9rer l'inondation SYN \u00e0 grande \u00e9chelle, en particulier les jeux tels que les sc\u00e9narios en temps r\u00e9el.<\/p>\n
La racine du probl\u00e8me r\u00e9side dans la na\u00efvet\u00e9 de la conception traditionnelle des serveurs, qui suppose que toutes les connexions sont bien intentionn\u00e9es. Mais la r\u00e9alit\u00e9 est que l'internet est plein de m\u00e9chants, et que le SYN Flood peut non seulement faire tomber un seul serveur, mais aussi amplifier l'attaque par r\u00e9flexion, en doublant le trafic. J'ai analys\u00e9 les donn\u00e9es, une attaque de taille moyenne peut g\u00e9n\u00e9rer des centaines de milliers de paquets SYN par seconde, le CPU du serveur monte directement \u00e0 100%, la m\u00e9moire est \u00e9puis\u00e9e, le monde du jeu est instantan\u00e9ment bloqu\u00e9 dans le PPT. De nos jours, m\u00eame le CDN doit \u00eatre \u2018teammate-proof\", car certaines des attaques proviennent m\u00eame des n\u0153uds de joueurs pirat\u00e9s.<\/p>\n
Pour faire face au SYN Flood, il est essentiel d'optimiser le traitement des connexions TCP. Je pr\u00e9f\u00e8re utiliser un CDN \u00e0 haute d\u00e9fense pour transporter, parce que son architecture distribu\u00e9e peut disperser le trafic d'attaque. Par exemple, CDN5 est un fournisseur de services, et j'ai test\u00e9 son m\u00e9canisme de cookie SYN. Le principe est que le serveur ne sauvegarde pas l'\u00e9tat de la connexion semi-ouverte, mais crypte le num\u00e9ro de s\u00e9quence dans le SYN-ACK, puis v\u00e9rifie l'ACK lorsqu'il revient, ce qui r\u00e9duit efficacement la consommation de ressources. La configuration est simple, dans la console CDN5 il suffit d'ajouter une r\u00e8gle sur la ligne :<\/p>\n
L'avantage de CDN5 est la faible latence, les n\u0153uds globaux, l'optimisation de l'acheminement des paquets de jeu, la valeur ping mesur\u00e9e peut \u00eatre stable dans les 20 ms en dessous, que la protection auto-construite pour \u00e9conomiser beaucoup d'inqui\u00e9tude.<\/p>\n
Une autre option est d'optimiser avec le pooling de connexion. 08Host joue avec cela, leur couche proxy TCP nettoie automatiquement les connexions inactives et r\u00e9duit le backlog SYN. J'ai aid\u00e9 un projet MMORPG \u00e0 migrer vers 08Host, et le taux d'\u00e9chec des connexions pendant les attaques est pass\u00e9 de 501 TP3T \u00e0 moins de 51 TP3T. Exemple de configuration :<\/p>\n
Ne sous-estimez jamais ces param\u00e8tres. tcp_max_syn_retries de 5 \u00e0 2 par d\u00e9faut peut raccourcir consid\u00e9rablement la fen\u00eatre d'attaque. 08Host est rentable avec des frais mensuels peu \u00e9lev\u00e9s mais une couverture de n\u0153uds l\u00e9g\u00e8rement inf\u00e9rieure pour les \u00e9quipes disposant d'un budget serr\u00e9.<\/p>\n
Pour le hardcore gaming, CDN07 est une autre option. Il joue sur l'acc\u00e9l\u00e9ration mat\u00e9rielle, avec une puce d\u00e9di\u00e9e au traitement des paquets SYN, ce qui permet d'\u00e9viter presque toute surcharge. J'ai test\u00e9, sous 10Gbps SYN Flood, le CPUsage du n\u0153ud de CDN07 est inf\u00e9rieur \u00e0 10%, alors que les serveurs ordinaires s'effondrent rapidement. Comparaison des donn\u00e9es : sous la m\u00eame attaque, le temps de r\u00e9cup\u00e9ration moyen des serveurs auto-construits est de 5 minutes, CDN07 peut automatiquement att\u00e9nuer dans les 30 secondes. Configuration flexible et prise en charge de r\u00e8gles personnalis\u00e9es :<\/p>\n
L'inconv\u00e9nient de CDN07 est qu'il est cher, mais pour les jeux de grande envergure, le jeu en vaut la chandelle - l'exp\u00e9rience du joueur ne peut pas \u00eatre compromise.<\/p>\n
Outre le CDN, le r\u00e9glage de la pile TCP sous-jacente est essentiel. J'aime toujours bricoler avec les param\u00e8tres sysctl sur le serveur, comme augmenter net.ipv4.tcp_max_syn_backlog et activer net.ipv4.tcp_syncookies, mais ce n'est pas suffisant de le faire seul, il faut le combiner avec la protection distribu\u00e9e du CDN. Humour : c'est comme porter une armure sur le champ de bataille, le CDN est l'armure ext\u00e9rieure, le r\u00e9glage du serveur est l'armure int\u00e9rieure, la double assurance est stable.<\/p>\n
En r\u00e9sum\u00e9, le SYN Flood n'est pas un probl\u00e8me insoluble. Gr\u00e2ce \u00e0 l'optimisation des connexions TCP du CDN, la communication du jeu peut rester stable. Les points cl\u00e9s sont les suivants : se pr\u00e9parer t\u00f4t, ne pas attendre l'attaque pour paniquer ; choisir le bon fournisseur de services CDN, comme CDN5 avec une faible latence, CDN07 avec une forte performance, et 08Host avec une grande rentabilit\u00e9 ; et combiner avec des d\u00e9tails techniques tels que les cookies SYN et la limitation du taux. D'apr\u00e8s mon exp\u00e9rience, il est beaucoup plus rentable d'investir dans un CDN de haute qualit\u00e9 que de le r\u00e9parer apr\u00e8s coup - la perte de joueurs peut \u00eatre beaucoup plus importante que les frais mensuels du CDN. En r\u00e9sum\u00e9, restez vigilant et optimisez pour que le monde du jeu puisse \u00eatre jou\u00e9 sans crainte.<\/p>","protected":false},"excerpt":{"rendered":"
Je me souviens que l'\u00e9t\u00e9 dernier, j'aidais un studio de jeu ind\u00e9pendant \u00e0 g\u00e9rer une panne de serveur, et c'\u00e9tait un casse-t\u00eate. Les joueurs se plaignaient de lagages et d'abandons, et les journaux du serveur \u00e9taient remplis de connexions \u00e0 moiti\u00e9 ouvertes, de sorte qu'il semblait que SYN Flood \u00e9tait derri\u00e8re tout \u00e7a. Ces pirates sont vraiment dou\u00e9s pour choisir le bon moment, le jeu vient juste d'\u00eatre en ligne pour arriver \u00e0 une telle main, presque le travail acharn\u00e9 de l'\u00e9quipe \u00e0 ruiner. J'ai d\u00e9couvert que cette attaque est particuli\u00e8rement insidieuse, contrairement \u00e0 l'\u00e9puisement \u00e9vident de la bande passante, elle consomme discr\u00e8tement les ressources du serveur, de sorte que vous ne pouvez pas vous d\u00e9fendre. L'attaque SYN Flood, pour le dire cr\u00fbment, consiste \u00e0 tirer parti de la vuln\u00e9rabilit\u00e9 des trois poign\u00e9es de main du protocole TCP. Lors d'une connexion normale, le client envoie un paquet SYN, le serveur renvoie un SYN-ACK, puis attend l'ACK pour terminer la poign\u00e9e de main. Mais l'attaquant a sauvagement envoy\u00e9 des paquets SYN mais n'a pas renvoy\u00e9 l'ACK, de sorte que le serveur est stupide d'attendre, comptabilis\u00e9 comme<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1003","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1003","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1003"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1003\/revisions"}],"predecessor-version":[{"id":1122,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1003\/revisions\/1122"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1003"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1003"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1003"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1003"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}