Хостинг із захистом від DDoS: VPS і виділені сервери з фільтром до 200 Гбіт/с та безлімітним трафіком

У netwall.host фільтрація до 200 Гбіт/с закладена в ціну кожного VPS і виділеного сервера: VPS коштує від $40 на місяць, виділений сервер від $145. Фільтр увімкнено постійно, він працює на рівні мережі та на рівні застосунку, причому сертифікат із закритим ключем для цього передавати не потрібно. Трафік не обмежений, сервери стоять у п’яти країнах, акаунт відкривається без KYC, оплата приймається в криптовалюті.

На боці хостингу це межа можливого. Усе, що провайдер встигає зробити з атакою до вашого сервера, уже входить у тариф і працює без додаткових умов: очищені мегабіти окремо не оплачуються, доступу до ключів і переходу на особливий план захист не вимагає. Далі починається зона клієнта, і нижче вона окреслена так само прямо.

Що входить у захист від DDoS

У тариф будь-якого VPS і будь-якого виділеного сервера netwall.host входить фільтрація DDoS ємністю до 200 Гбіт/с. Вона ввімкнена постійно, відсікає і об’ємний флуд по каналу, і HTTP-флуд по сторінках сайту, а для роботи з HTTPS їй не потрібен ваш сертифікат із закритим ключем. Поряд у тому самому тарифі йдуть безлімітний трафік і порт сервера шириною до 1 Гбіт/с, а кожен VPS має власну виділену статичну IPv4-адресу. Майданчик обирають із п’яти країн: Нідерланди, Німеччина, Чехія, Велика Британія, США. Окремого захищеного тарифу, на який треба переходити заради фільтра, тут немає, доплати за очищені мегабіти теж немає: захист однаковий на VPS за $40 і на виділеному сервері за $145. Акаунт відкривається без KYC і без документів, платять у Bitcoin, Ethereum або USDT. За замовчуванням ставиться Ubuntu, інший дистрибутив Linux чи Windows Server встановлюють на запит.

Межа проходить там, де закінчується шлях трафіку до вашого сервера. Як сайт переживе важкі запити, схожі на живий трафік, вирішує вже його конфігурація, і цьому нижче відведено окремий розділ із прикладом для nginx. Перебір паролів до адмінки та вразливий плагін CMS закриваються оновленнями. Сайту на чужому хостингу захист netwall.host не дістається, він прив’язаний до сервера. Доплатою жодна з цих меж не знімається: тариф уже містить усе, що проти DDoS взагалі продається на боці хостингу.

Хто платить за сміттєвий трафік

Коли на сайт іде DDoS-атака, у власника на думці два питання: чи підніметься сайт і в що це обійдеться. Друге звучить рідше, хоча саме за ним провайдери й різняться. Частина з них рахує захист за обсягом очищеного трафіку і виставляє доплату за кожен мегабіт понад пакет. Інші фільтрують мережевий флуд безкоштовно, а захист самого сайту від HTTP-флуду продають окремою підпискою.

Хостер без фільтрації вирішує питання простіше. При великій атаці він нерідко відводить атаковану адресу в блекхол, тобто в «чорну діру» маршрутизації: увесь трафік на цю IP, разом із відвідувачами, відкидається, зате сусіди по мережі не страждають. Сайт після цього недоступний уже за рішенням провайдера, а власнику лишається чекати, доки адресу повернуть у маршрутизацію.

Модель оплати захисту звіряють до замовлення. Посеред атаки змінити її не можна, а переїжджати на інший хостинг під флудом доводиться в найнезручніший момент. Сума в рахунку в netwall.host однакова у тиждень атаки і в тиждень рекордної відвідуваності.

Найменш очевидний ризик у другому рядку таблиці. Мережевий фільтр пропускає HTTP-флуд, бо кожен його запит коректний, і сайт перестає відповідати при спокійному графіку каналу. Виглядає це як проблема із сервером, хоча сервер просто обробляє запити атакуючих замість запитів покупців.

У провайдера корисно заздалегідь запитати, що станеться з IP, якщо атака перевищить поріг. Відповідь «IP вимкнуть на добу» теж відповідь, просто чути її краще до атаки.

Проєкти казино, беттингу та арбітражу трафіку помічають різницю швидше за інших. Атаки на такі проєкти припадають на піки справжньої аудиторії: вечір матчу, запуск акції, розсилку. За помегабітної оплати саме такий вечір виявляється найдорожчим у місяці.

200 Гбіт/с і 1 Гбіт/с: ємність фільтра і порт сервера

В описі тарифу дві швидкості, і їх треба розвести одразу. Цифра «до 200 Гбіт/с» показує, скільки сміття фільтр відсікає, перш ніж воно дістанеться сервера. «До 1 Гбіт/с» стосується порту самого сервера: через нього він віддає відвідувачам легітимний трафік.

Без фільтра гігабітному порту вистачило б флуду в пару гігабіт. Канал забитий, сайт не відкривається, а load average на сервері близький до нуля: машина справна, до неї просто нічого не доходить. Відображені атаки через DNS або memcached набирають такі обсяги легко, бо маленький запит із підміненою адресою повертається багаторазово збільшеною відповіддю.

Масштаб тут давно рутинний. У 2025 році Cloudflare відбивала в середньому 5 376 DDoS-атак на годину. У IV кварталі 78% усіх атак припали на мережевий рівень, тобто били нижче за рівень застосунку. Фільтр, який вмикають на запит, запізнюється рівно на час реакції чергового, а атаці цього часу вистачає, щоб сайт став недоступним.

Звідси робоче правило. Пік легітимного трафіку має вміщатися в 1 Гбіт/с із запасом. Дивляться графік смуги в найзавантаженішу годину місяця: середнє за добу тут нічого не каже. Якщо не вміщається, допомагає другий сервер, потужність фільтра тут уже ні до чого.

HTTP-флуд без передачі ключа

На рівні мережі HTTP-флуд виглядає як звичайний відвідувач. TCP-з’єднання встановлюється, TLS-рукостискання проходить, усередині лежить коректний зашифрований запит до сторінки. Багато сервісів захисту для фільтрації HTTPS просять завантажити сертифікат разом із закритим ключем, а частина без ключа працює із зашифрованим трафіком лише до транспортного рівня.

Тут сертифікат передавати не потрібно: HTTP-флуд фільтрується, а закритий ключ зберігається тільки на вашому сервері, копії у третьої сторони немає. Для high-risk-проєкту це питання безпеки. Провайдер із вашим ключем розшифровує на своїх вузлах увесь трафік відвідувачів, включно з логінами й платіжними формами, а витік ключа з його боку дозволяє підробити ваш сайт.

Ключ, одного разу відданий підряднику, при зміні підрядника розумно вважати скомпрометованим: сертифікат перевипускають із новим ключем, старий відкликають, а заразом перевіряють, чи не лишилася копія в панелі попереднього сервісу або в його бекапах.

Другий рубіж: що налаштувати на своєму сервері

Фільтр знімає атаку. Далі справа за конфігурацією сервера, і на VPS та виділеному сервері у вас root-доступ, тож цей рубіж ставиться за вечір. Мінімальний набір для nginx і Linux:

1. Ліміт частоти запитів з однієї адреси із запасом на короткочасний сплеск (у nginx за нього відповідає параметр burst). Пошуку, логіну та кошику потрібна окрема зона зі суворим лімітом.
2. Кеш сторінок для неавторизованих відвідувачів хоча б на кілька секунд (microcaching через fastcgi_cache або proxy_cache). Флуд по головній тоді віддається з кешу, а PHP і база його не бачать.
3. Закрити ззовні все, крім 80 і 443: базу даних, Redis, панелі керування. SSH пускати лише за ключем і з відомих адрес.
4. Винести адмінку на окрему адресу або відкрити її тільки для списку IP.
5. Перевіряти доступність із зовнішньої точки. Моніторинг на тому самому сервері під час атаки показує зелений статус, поки відвідувачі отримують тайм-аут.

Приклад перших двох правил ліміту для nginx:

limit_req_zone $binary_remote_addr zone=site:10m rate=10r/s;
limit_req_zone $binary_remote_addr zone=heavy:10m rate=2r/s;
location / { limit_req zone=site burst=40 nodelay; }
location /search { limit_req zone=heavy burst=10; }

Значення rate і burst умовні: їх добирають за логами звичайного пікового дня, рахуючи, скільки запитів на секунду робить один живий клієнт, плюс запас. Відмови nginx пише в error.log рядком «limiting requests» і за замовчуванням відповідає таким клієнтам кодом 503. Якщо в цих рядках з’явилися адреси постійних відвідувачів, ліміт надто жорсткий. Зі встановленням і налаштуванням сервера допомагає підтримка netwall.host.

Де ліміти відсікають своїх відвідувачів

Трансляція матчу, старт акції або згадка у великого блогера дають на графіку ту саму картину, що й атака: кількість запитів на секунду зростає в десятки разів за пару хвилин. Надто жорсткий ліміт у такий момент відсікає справжніх відвідувачів, і для людей сайт падає, хоча сервер працює. Поріг варто перевірити до піку навантажувальним тестом із кількох адрес: на якому навантаженні починаються 503.

Найчастіше помиляються у двох місцях:

• Мобільний інтернет. Оператори випускають безліч абонентів у мережу через одну публічну IP (CGNAT). Ліміт «20 запитів на секунду з адреси» зачіпає одразу сотні людей за цією адресою. У логах таку адресу видають сотні різних User-Agent і нормальне завантаження CSS та картинок.
• Сповіщення платіжних систем і партнерів. Запити від платіжного шлюзу або API партнера приходять серіями з небагатьох адрес. Під лімітом вони губляться, депозити чи замовлення зависають без видимої помилки, і першим сигналом стають тікети від клієнтів. Адреси таких сервісів вносять у білий список: у nginx це роблять через geo і map, які віддають для них порожній ключ зони, а запити з порожнім ключем ліміт не рахує.

Скільки коштує хостинг із захистом від DDoS

Тарифи відрізняються лише ресурсами: фільтрація, безлімітний трафік і порт до 1 Гбіт/с входять у кожен. Зазвичай сервер готовий протягом доби, складну конфігурацію збирають довше, максимум два робочі дні.

Для мережі сайтів висновок практичний: раз адреса в кожного VPS своя, мережу можна розвести по кількох машинах, і сайти не ділитимуть одну IP.

Країну обирають за аудиторією. Відвідувачам з Європи та СНД ближчі майданчики в Нідерландах, Німеччині та Чехії, американським логічніші США. Актуальну наявність конфігурацій видно в блоці тарифів.

Аптайм: що зазвичай кладе захищений сайт

Орієнтир доступності, який netwall.host вказує для своєї інфраструктури, становить 98,9%. Гарантією цю цифру не називають, і вона скромніша за рекламні 99,99%.

Сайт із фільтрацією на вході частіше йде в офлайн з інших причин. Живий пік на важких сторінках займає всі процеси PHP і з’єднання з базою: nginx відповідає 502 і 504, а в лозі php-fpm з’являється «server reached pm.max_children». Вирішується це кешем і правилами на сервері з розділу вище, вимкнення за скаргами знімає балансер.

Другий сценарій тихіший. Логи, роздуті тією самою атакою, займають усе місце на диску, і база перестає записувати дані. Ротація через logrotate і сповіщення при заповненні диска на 80% знімають цей ризик заздалегідь.

Лишається єдина точка відмови: один сервер в одній країні. Якщо година простою обходиться дорожче за місячну оренду, тримайте другий сервер в іншій із п’яти країн і перемикайте трафік через DNS з коротким TTL. Миттєвим перемикання не буде, бо частина резолверів тримає старий запис довше, ніж вказано в TTL.

Реєстрація без KYC і оплата криптовалютою

Перевірку особи при створенні акаунта не проводять, документів не запитують. Платити можна в Bitcoin, Ethereum або USDT, банківські картки не приймаються, тому у виписці вашого банку хостинг не з’явиться. Що хостер усе-таки знає про клієнта і де в анонімності межі, розібрано на сторінці анонімного хостингу.

При оплаті на 3 місяці наперед діє знижка, на 6 місяців вона більша, точний розмір називає менеджер. Питання до замовлення можна поставити в Telegram (@netwall_host) або тікетом із панелі.