Network Protection
Примечание
Network Protection находится на стадии Preview и не тарифицируется.
Network Protection — компонент Smart Web Security для защиты от DDoS-атак на сетевом (L3) и транспортном (L4) уровнях модели OSI. Он помогает сохранить доступность веб-приложения при атаках на канал связи и сетевые ресурсы прокси-сервера.
Защита включается автоматически при создании прокси-сервера Smart Web Security. Фильтрацию выполняет собственная система Yandex Cloud без участия сторонних сервисов.
Network Protection отбрасывает пакеты атак до их поступления на прокси-сервер. На прикладном уровне L7 защиту обеспечивают Smart Protection, WAF и ARL, настроенные в профиле безопасности.
Как работает защита
Входящий трафик проходит следующие этапы проверки:
- Трафик на публичный IP-адрес прокси-сервера поступает на узлы очистки.
- Узел очистки принимает TCP-соединение от клиента, проверяет его и отбрасывает пакеты атак.
- Легитимный трафик передается с узла очистки на прокси-сервер по протоколу PROXY v2. Его заголовок содержит исходный IP-адрес и порт клиента. На сервере приложения настраивать этот протокол не нужно.
- Прокси-сервер проверяет запросы правилами профиля безопасности. Условия по IP-адресам и геолокации, а также группировка по IP-адресу в ARL используют исходный IP-адрес клиента.
От каких атак защищает
- Атаки на TCP — TCP SYN Flood, ACK Flood, SYN/ACK Flood, RST/FIN Flood и TCP Connection Flood. Узел очистки использует SYN cookie и отслеживает состояние соединений, чтобы отбрасывать пакеты атак до передачи трафика на прокси-сервер.
- Флуд по UDP — UDP Flood, DNS Flood, NTP Flood, Portmap Flood, атаки фрагментированными UDP-пакетами и пакетами с медиаданными. Прокси-сервер принимает только TCP-соединения, поэтому весь UDP-трафик отбрасывается на узлах очистки.
- Атаки с отражением и усилением трафика (reflection/amplification) — через DNS, NTP, SNMP, SSDP, CLDAP, Memcached, STUN, QOTD, Echo и RIPv1. UDP-ответы сторонних серверов, используемых в атаке, отбрасываются файрволом.
- Атаки на сетевом уровне — ICMP Flood, Ping Flood, Smurf, Ping of Death, GRE Flood, LAND, IP Null и атаки фрагментированными IP-пакетами.
Метрики
Метрики Network Protection автоматически передаются в Yandex Monium в проект folder__<идентификатор_каталога> каталога с прокси-сервером. Они показывают объем входящего, отброшенного и пропущенного трафика.
Для просмотра метрик выберите сервис __antiddos__.
Порядок просмотра и пример запроса приведены в инструкции, все доступные метрики и их метки — в справочнике.
Ограничения
- На стадии Preview отключить защиту или изменить ее настройки нельзя.
- Защищается только публичный IPv4-адрес прокси-сервера.
OSI (Open Systems Interconnection) — модель сетевого взаимодействия из семи уровней. Она разделяет функции сетевых протоколов: IP относится к сетевому уровню L3, TCP и UDP — к транспортному L4, HTTP — к прикладному L7. Подробнее о модели OSI.
Прокси-сервер Smart Web Security принимает HTTP- и HTTPS-запросы к подключенным доменам и передает их веб-приложениям после проверки правилами защиты. Это позволяет защищать приложения как в Yandex Cloud, так и за его пределами. Подробнее о прокси-серверах Smart Web Security.
SYN cookie — механизм защиты от TCP SYN Flood. Сервер выделяет память для состояния TCP-соединения только после проверки ответа клиента. Это помогает предотвратить исчерпание памяти из-за множества незавершенных соединений при атаке. Подробнее в RFC 4987.