Хостинг с защитой от DDoS: VPS и выделенные серверы с фильтром до 200 Гбит/с и безлимитным трафиком

У netwall.host фильтрация до 200 Гбит/с заложена в цену каждого VPS и выделенного сервера: VPS стоит от $40 в месяц, выделенный сервер от $145. Фильтр включён постоянно и работает на уровне сети и на уровне приложения, причём сертификат с закрытым ключом для этого передавать не требуется. Трафик не лимитирован, серверы стоят в пяти странах, аккаунт открывается без KYC, оплата принимается в криптовалюте.

На стороне хостинга это предел возможного. Всё, что провайдер успевает сделать с атакой до вашего сервера, уже входит в тариф и работает без дополнительных условий: очищенные мегабиты отдельно не оплачиваются, доступа к ключам и перехода на особый план защита не требует. Дальше начинается зона клиента, и ниже она очерчена так же прямо.

Что входит в защиту от DDoS

В тариф любого VPS и любого выделенного сервера netwall.host входит фильтрация DDoS ёмкостью до 200 Гбит/с. Она включена постоянно, отсекает и объёмный флуд по каналу, и HTTP-флуд по страницам сайта, а для работы с HTTPS ей не нужен ваш сертификат с закрытым ключом. Рядом в том же тарифе идут безлимитный трафик и порт сервера шириной до 1 Гбит/с, а у каждого VPS свой выделенный статический IPv4. Площадку выбирают из пяти стран: Нидерланды, Германия, Чехия, Великобритания, США. Отдельного защищённого тарифа, на который нужно переходить ради фильтра, здесь нет, доплаты за очищенные мегабиты тоже нет: защита одинакова на VPS за $40 и на выделенном сервере за $145. Аккаунт открывается без KYC и без документов, платят в Bitcoin, Ethereum или USDT. По умолчанию ставится Ubuntu, другой дистрибутив Linux или Windows Server устанавливают по запросу.

Граница проходит там, где заканчивается путь трафика до вашего сервера. Как сайт переживёт тяжёлые запросы, похожие на живой трафик, решает уже его конфигурация, и этому ниже отведён отдельный раздел с примером для nginx. Перебор паролей к админке и уязвимый плагин CMS закрываются обновлениями. Сайту на чужом хостинге защита netwall.host не достаётся, она привязана к серверу. Доплатой ни одна из этих границ не снимается: тариф уже содержит всё, что против DDoS вообще продаётся на стороне хостинга.

Меньше всего очевиден риск во второй строке таблицы. Сетевой фильтр пропускает HTTP-флуд, потому что каждый его запрос корректен, и сайт перестаёт отвечать при спокойном графике канала. Выглядит это как проблема с сервером, хотя сервер просто обрабатывает запросы атакующих вместо запросов покупателей.

У провайдера полезно заранее спросить, что станет с IP, если атака превысит порог. Ответ «IP отключат на сутки» тоже ответ, просто слышать его лучше до атаки.

Проекты казино, беттинга и арбитража трафика замечают разницу быстрее остальных. Атаки на такие проекты приходятся на пики настоящей аудитории: вечер матча, запуск акции, рассылку. При помегабитной оплате именно такой вечер оказывается самым дорогим в месяце.

Масштаб здесь давно рутинный. В 2025 году Cloudflare отражала в среднем 5 376 DDoS-атак в час. В IV квартале 78% всех атак пришлись на сетевой уровень, то есть били ниже уровня приложения. Фильтр, который включают по запросу, опаздывает ровно на время реакции дежурного, а атаке этого времени хватает, чтобы сайт стал недоступен.

Отсюда рабочее правило. Пик легитимного трафика должен помещаться в 1 Гбит/с с запасом. Смотрят график полосы в самый загруженный час месяца: среднее за сутки здесь ничего не говорит. Если не помещается, помогает второй сервер, мощность фильтра тут уже ни при чём.

HTTP-флуд без передачи ключа

На уровне сети HTTP-флуд выглядит как обычный посетитель. TCP-соединение устанавливается, TLS-рукопожатие проходит, внутри лежит корректный зашифрованный запрос к странице. Многие сервисы защиты для фильтрации HTTPS просят загрузить сертификат вместе с закрытым ключом, а часть без ключа работает с зашифрованным трафиком только до транспортного уровня.

Здесь сертификат передавать не нужно: HTTP-флуд фильтруется, а закрытый ключ хранится только на вашем сервере, копии у третьей стороны нет. Для high-risk-проекта это вопрос безопасности. Провайдер с вашим ключом расшифровывает на своих узлах весь трафик посетителей, включая логины и платёжные формы, а утечка ключа с его стороны позволяет подделать ваш сайт.

Ключ, однажды отданный подрядчику, при смене подрядчика разумно считать скомпрометированным: сертификат перевыпускают с новым ключом, старый отзывают, а заодно проверяют, не осталась ли копия в панели прежнего сервиса или в его бэкапах.

Второй рубеж: что настроить на своём сервере

Фильтр снимает атаку. Дальше дело за конфигурацией сервера, и на VPS и выделенном сервере у вас root-доступ, так что этот рубеж ставится за вечер. Минимальный набор для nginx и Linux:

1. Лимит частоты запросов с одного адреса с запасом на кратковременный всплеск (в nginx за него отвечает параметр burst). Поиску, логину и корзине нужна отдельная зона со строгим лимитом.
2. Кэш страниц для неавторизованных посетителей хотя бы на несколько секунд (microcaching через fastcgi_cache или proxy_cache). Флуд по главной тогда отдаётся из кэша, а PHP и база его не видят.
3. Закрыть снаружи всё, кроме 80 и 443: базу данных, Redis, панели управления. SSH пускать только по ключу и с известных адресов.
4. Вынести админку на отдельный адрес или открыть её только для списка IP.
5. Проверять доступность с внешней точки. Мониторинг на том же сервере во время атаки показывает зелёный статус, пока посетители получают таймаут.

Пример первых двух правил лимита для nginx:

limit_req_zone $binary_remote_addr zone=site:10m rate=10r/s;
limit_req_zone $binary_remote_addr zone=heavy:10m rate=2r/s;
location / { limit_req zone=site burst=40 nodelay; }
location /search { limit_req zone=heavy burst=10; }

Значения rate и burst условные: их подбирают по логам обычного пикового дня, считая, сколько запросов в секунду делает один живой клиент, плюс запас. Отказы nginx пишет в error.log строкой «limiting requests» и по умолчанию отвечает таким клиентам кодом 503. Если в этих строках появились адреса постоянных посетителей, лимит слишком жёсткий. С установкой и настройкой сервера помогает поддержка netwall.host.

Где лимиты отсекают своих посетителей

Трансляция матча, старт акции или упоминание у крупного блогера дают на графике ту же картину, что и атака: число запросов в секунду вырастает в десятки раз за пару минут. Слишком жёсткий лимит в такой момент отсекает настоящих посетителей, и для людей сайт падает, хотя сервер работает. Порог стоит проверить до пика нагрузочным тестом с нескольких адресов: на какой нагрузке начинаются 503.

Чаще всего ошибаются в двух местах:

• Мобильный интернет. Операторы выпускают множество абонентов в сеть через один публичный IP (CGNAT). Лимит «20 запросов в секунду с адреса» задевает сразу сотни людей за этим адресом. В логах такой адрес выдают сотни разных User-Agent и нормальная загрузка CSS и картинок.
• Уведомления платёжных систем и партнёров. Запросы от платёжного шлюза или API партнёра приходят сериями с немногих адресов. Под лимитом они теряются, депозиты или заказы зависают без видимой ошибки, и первым сигналом становятся тикеты от клиентов. Адреса таких сервисов вносят в белый список: в nginx это делают через geo и map, которые отдают для них пустой ключ зоны, а запросы с пустым ключом лимит не считает.

Кого атакуют чаще других

В отчёте Cloudflare за IV квартал 2025 года азартные игры и казино заняли третье место среди самых атакуемых отраслей, игровая индустрия четвёртое. Всего за 2025 год сеть Cloudflare отразила 47,1 млн DDoS-атак. Для high-risk-ниш, будь то крипто-проекты или сети сайтов, атака поэтому стоит в плане рисков рядом со сменой платёжной системы и баном рекламного аккаунта.

Флудом неприятности high-risk-проекта редко ограничиваются. Фейковые жалобы в таких нишах netwall.host видит регулярно: их пишут, чтобы помешать конкуренту работать. Провайдер, которому некогда разбираться, отключает сервер уже по жалобам.

Против этого сценария работает AntiDMCA-балансер. Публичным адресом сайта становится он, жалобы приходят на балансер, а IP машины с сайтом наружу не публикуется. Сам балансер тоже стоит за защитой от DDoS. Оплачивается он отдельно: от $5 за сайт в месяц в варианте Shared и $150 за выделенный балансер.

Как балансер обходится с настоящими жалобами правообладателей и как не раскрыть адрес сервера в обход него, разобрано на странице adult-хостинга.

Если аудитория в России, к флуду и жалобам добавляются блокировки. Под них есть AntiRKN-балансер: $10 за сайт в месяц, а для сетей сайтов тарифы Start ($70) и Pro ($250), цена указана за один балансер. Оба балансера подключают к сайту там, где он стоит сейчас, переезжать ради них не нужно.

Сколько стоит хостинг с защитой от DDoS

Тарифы отличаются только ресурсами: фильтрация, безлимитный трафик и порт до 1 Гбит/с входят в каждый. Обычно сервер готов в течение суток, сложную конфигурацию собирают дольше, максимум два рабочих дня.

Для сети сайтов вывод практичный: раз адрес у каждого VPS свой, сеть можно развести по нескольким машинам, и сайты не будут делить один IP.

Страну выбирают по аудитории. Посетителям из Европы и СНГ ближе площадки в Нидерландах, Германии и Чехии, американским логичнее США. Актуальное наличие конфигураций видно в блоке тарифов.

Аптайм: что обычно роняет защищённый сайт

Ориентир доступности, который netwall.host указывает для своей инфраструктуры, составляет 98,9%. Гарантией эту цифру не называют, и она скромнее рекламных 99,99%.

Сайт с фильтрацией на входе чаще уходит в офлайн по другим причинам. Живой пик на тяжёлых страницах занимает все процессы PHP и соединения с базой: nginx отвечает 502 и 504, а в логе php-fpm появляется «server reached pm.max_children». Решается это кэшем и правилами на сервере из раздела выше, отключение по жалобам снимает балансер.

Второй сценарий тише. Логи, раздутые той же атакой, занимают всё место на диске, и база перестаёт записывать данные. Ротация через logrotate и уведомление при заполнении диска на 80% снимают этот риск заранее.

Остаётся единственная точка отказа: один сервер в одной стране. Если час простоя обходится дороже месячной аренды, держите второй сервер в другой из пяти стран и переключайте трафик через DNS с коротким TTL. Мгновенным переключение не будет, потому что часть резолверов держит старую запись дольше, чем указано в TTL.

Регистрация без KYC и оплата криптовалютой

Проверку личности при создании аккаунта не проводят, документы не запрашивают. Платить можно в Bitcoin, Ethereum или USDT, банковские карты не принимаются, поэтому в выписке вашего банка хостинг не появится. Что хостер всё-таки знает о клиенте и где у анонимности пределы, разобрано на странице анонимного хостинга.

При оплате на 3 месяца вперёд действует скидка, на 6 месяцев она больше, точный размер называет менеджер. Вопросы до заказа можно задать в Telegram (@netwall_host) или тикетом из панели.