Антиддос: что предпочитаете — облако, железо или фильтрацию?
 

Появилась тема — давно коплю вопросы по разным способам защиты от ддос. Кто что юзает и как работает на практике? Увидел много подходов: облачные сервисы (типа провайдерских фильтров), железные защиты на стороне сервера, разные варианты фильтрации трафика с помощью iptables или других средств.

Из своего опыта — облако хорошо помогает сбросить самые топовые волны, но стоит пару раз выйти из строя, когда на стороне свалится система защиты или будет косяк с пингом, и сервер виснет. Железо под нагрузкой тоже может не вытянуть, особенно если трафик снова растет в геометрической прогрессии. Да и настройка сложная, особенно если нет отдельного спецадмина.

Фильтрация базовыми методами — дешево и плюс можно быстро подправить под конкретные атаки, но на большие бот-сети это не выход, зато выручает с мелкими накрутками и скриптовыми наплывами.

В итоге хочется услышать и чужой опыт — кто что ставит, как комбинируете? Может, есть нормальные скрипты или конфиги для быстрого реагирования? Кто умеет ловить специфичные ддосы и не в плюсе от постоянных походов к провайдерам?

В общем, ваши мысли, что реально помогает живому серверу без больших бюджетов и можно ли вообще спокойно спать с такой защитой?

Облако круто сбрасывает большие волны, но если связь с ним пропала — беда. Жесткое железо на сервере часто не тянет большие атаки, особенно без спецов. Фильтрация локальная — удобна для мелких заморочек, но не решает масштабных. В итоге у меня лучше всего работал микс: облако для грубой очистки, локальная фильтрация под конкретные типы атак, а железо — как подстраховка. Спать спокойно с массовыми Ддосами сложно, но стабильность реально повышается.

Собственно, ты всё правильно описал. Облако реально выручает с большими волнами, но без нормальной связи оно превратится в слабое звено. Железо без спецов — головная боль, да и ресурсы быстро съедят. Мне нравится именно смешанный вариант: облако режет базу, локальные фильтры точечно крутят мелочёвку, а железо стоит на готове. Чисто локальная фильтрация без облака часто получалась непрочной, особенно к масштабным атакам. Стабильно не бывает, но так шансов больше.