Własne rozwiązanie h0st.pro Ochrona aktywna 24/7

h0st Shield - ochrona serwerów gier przed atakami DDoS

Dwupoziomowy system filtracji: sieć szkieletowa centrum danych pochłania ataki wolumetryczne do 2 Tbit/s, a nasz filtr na węźle sprawdza pakiety gry i przepuszcza do serwera tylko graczy, którzy przeszli z nim handshake.

Wybierz serwer Jak to działa
  • Bez dopłat
  • Bez ustawień
Schemat: ataki zatrzymują się w centrum danych i w filtrze h0st Shield, gracze przechodzą do serwera Internet Centrum danych L3 / L4 · 2 Tbit/s h0st Shield L4 / L7 · protokół gry Twój serwer online
Atak wolumetryczny Atak na protokół gry Gracze
  • 2 Tbit/sprzepustowość sieci oczyszczania ruchu
  • 908 Gbit/snajwiększy odparty atak w sieci centrum danych we wrześniu 2026
  • L3 → L7filtracja od poziomu sieci do protokołu gry
  • 24/7wykrywanie i odpieranie ataków bez udziału człowieka
Na żywo

Co h0st Shield odrzucił w ciągu ostatniej doby

Łącznie dla wszystkich serwerów gier i VPS h0st.pro: pakiety, które filtr zatrzymał na węźle przed serwerami. Wykres odświeża się co minutę.

Zablokowano pakietów / min

· pakiety, które filtr odrzucił w ciągu minuty; za 7 dni - suma z 10 minut

  • serwerów pod ochroną teraz
Architektura

Trzy poziomy ochrony między atakiem a Twoim serwerem

Każdy pakiet kierowany do serwera przechodzi kolejne sprawdzenia. To, co przepuścił jeden poziom, zatrzymuje następny.

  1. 01L3 / L4

    Szkieletowe oczyszczanie ruchu

    Sieć centrum danych nieustannie analizuje przepływy ruchu (flow-analiza). Duże ataki są automatycznie przekierowywane do klastra oczyszczania o przepustowości do 2 Tbit/s, a mniejsze, poniżej progu zadziałania, odcina sprzęt centrum danych - atak nie dociera do łącza serwera.

    • UDP i TCP flood, SYN/ACK flood
    • Ataki wzmacniające: DNS, NTP, SSDP, Memcached, CLDAP
    • Fragmentacja IP i sfałszowane adresy
    • Stała filtracja - także ataków poniżej progu zadziałania
  2. 02L4 / L7

    h0st Shield Edge - filtr protokołu gry

    Nasze rozwiązanie, które działa na każdym węźle na poziomie jądra Linux (eBPF): pakiet jest sprawdzany jeszcze przed stosem sieciowym systemu i przed firewallem. Filtr zna format protokołów GoldSrc i Source, odpowiada monitoringom zamiast serwera i odróżnia prawdziwego gracza od bota albo sfałszowanego zapytania - bez obciążania serwerów gier.

    • Sprawdzanie formatu każdego pakietu gry
    • Cache odpowiedzi A2S dla monitoringów
    • Adaptacyjne limity i priorytet zweryfikowanych graczy
  3. 03Serwer

    Izolacja każdego serwera

    Każdy serwer gier działa we własnym izolowanym kontenerze z osobnymi limitami procesora i pamięci oraz własnymi regułami sieciowymi. Nawet jeśli atakowany jest sąsiedni serwer, nie może on zabrać zasobów Twojego.

    • Osobne limity CPU i RAM dla każdego serwera
    • Otwarte są tylko porty Twojego serwera
    • Atak na sąsiada nie zabiera procesora i pamięci Twojego serwera
Krok po kroku

Droga pakietu do Twojego serwera

Wyobraź sobie, że do serwera jednocześnie pukają trzej: gracz, monitoring i atak. Pakiety każdego przechodzą te same cztery stacje - oto co się z nimi dzieje na każdej.

Graczwchodzi pograć Monitoringpyta: kto jest online, jaka mapa? Atakflood, boty, sfałszowane adresy
  1. 1

    Centrum danych w Kijowie

    sieć · L3 / L4

    Prostymi słowami: ochrona przy wjeździe do miasta. Kolumny ciężarówek ze śmieciami - miliony pakietów na sekundę - zawracają już tutaj, do naszego węzła nie dojeżdżają.

    • Wolumetryczny UDP i TCP flood, SYN flood
    • Ataki wzmacniające: DNS, NTP, Memcached, CLDAP
    • Oczyszczanie ruchu do 2 Tbit/s
    • Działa stale, nie tylko podczas dużych ataków
    Gracz → dalej Monitoring → dalej Atak wolumetryczny ✕ zatrzymano tutaj
  2. 2

    Węzeł h0st: filtr h0st Shield Edge

    jądro Linux (eBPF) · protokół gry

    Prostymi słowami: portier w klatce schodowej. Pierwszy, kto widzi pakiet na węźle - jeszcze przed systemem operacyjnym i firewallem. Zna język gry (GoldSrc i Source), sam odpowiada na pytanie «kto tu gra?» i rozpoznaje swoich.

    • Monitoringowi odpowiada sam, z cache - serwer tych zapytań nawet nie widzi
    • Nowego gracza wpuszcza tylko po handshake z serwerem (challenge) - sfałszowany adres go nie przejdzie
    • Zapytania o wejście - nie częściej niż 4 na 2 sekundy z jednego adresu
    • Uszkodzone pakiety, niepodobne do gry, - precz
    • Pakiety gry - tylko od tych, z którymi serwer już gra, albo po handshake
    Gracz → dalej Monitoring ✓ otrzymał odpowiedź tutaj Bot bez handshake ✕ zatrzymano tutaj
  3. 3

    Węzeł h0st: firewall węzła

    nftables · limity

    Prostymi słowami: bramka z licznikiem. Liczy, ile pakietów na sekundę idzie z każdego adresu, i nie wpuszcza więcej, niż potrzeba do gry. Graczowi wystarcza około 100 na sekundę - limit jest kilka razy większy.

    • 400-800 pakietów/s z jednego adresu (zależnie od gry)
    • 100 zapytań o status/s i 30 nowych połączeń RCON/s z adresu
    • Sfałszowane źródło, fragmenty, znane amplifikacje, ICMP flood
    • Bezpiecznik: 20 000 pakietów/s na serwer łącznie
    Gracz → dalej Flood z jednego adresu ✕ zatrzymano tutaj
  4. 4

    Twój serwer we własnym kontenerze

    izolacja

    Prostymi słowami: osobne mieszkanie z własnym licznikiem: własny procesor, pamięć i porty. Atakują sąsiada - u Ciebie światło nie mruga.

    • Do gry docierają tylko prawdziwe pakiety gry
    • Osobne limity CPU i RAM dla każdego serwera
    • Otwarte są tylko porty Twojego serwera
    Gracz ✓ gra

A w drodze powrotnej? Filtr Edge patrzy też na odpowiedzi serwera: zapamiętuje, komu serwer odpowiedział na handshake i z kim prowadzi grę. Właśnie tak zna «swoich» podczas ataku - bez żadnego pluginu na Twoim serwerze.

Zasięg

Przed jakimi atakami chroni h0st Shield

Od masowych ataków sieciowych po precyzyjne ataki na serwer gry, których nie widzi zwykła ochrona.

L3/L4

UDP flood

Strumienie śmieciowych pakietów UDP, które zapychają łącze. Pochłania je sieć oczyszczania centrum danych.

L3/L4

Ataki wzmacniające

Odbite i wzmocnione odpowiedzi z cudzych serwerów: DNS, NTP, SSDP, Memcached, CLDAP, Chargen.

L4

SYN / ACK / TCP flood

Masowe żądania nawiązania połączenia, które wyczerpują zasoby stosu sieciowego.

L3

Fragmentacja IP

Pofragmentowane i nieprawidłowo złożone pakiety, obliczone na przeciążenie przetwarzania.

L7

Flood zapytaniami A2S

Tysiące zapytań A2S_INFO, A2S_PLAYER i A2S_RULES na sekundę. Odpowiedzi wydaje cache h0st Shield - proces gry ich nie widzi.

L7

Fałszywe połączenia

Boty, które masowo imitują wejście gracza (getchallenge / connect). Są sprawdzane odpowiedzią challenge i limitowane.

L7

Uszkodzone pakiety gry

Pakiety z naruszonym formatem GoldSrc / Source, za duże albo ze sfałszowanymi nagłówkami - są odrzucane na wejściu.

L4

Ataki ze sfałszowanym adresem

Pakiety gry od adresów, które nie przeszły handshake z serwerem, do niego nie docierają.

L4/L7

Ataki poniżej progu

Drobne ataki, których nie zauważa większość systemów ochrony, ale które wystarczą, żeby serwer gry lagował. Odcina je sprzęt centrum danych, a resztki łapie filtr węzła.

Poziom gry

Stworzone specjalnie dla Counter-Strike

h0st Shield rozumie, jak «rozmawiają» serwery CS 1.6 (GoldSrc), CS:Source v34 i CS:Source (Source Engine), i chroni dokładnie te miejsca, w które uderzają ataki na serwery gier.

Cache zapytań A2S

Monitoringi, lista serwerów w grze i strony stale pytają o nazwę, mapę i graczy. h0st Shield odpowiada na te zapytania ze swojego cache, który jest regularnie odświeżany, - więc flood zapytaniami o status nie zabiera serwerowi ani taktu procesora.

Priorytet zweryfikowanych graczy

Pakiety gry docierają do serwera tylko od graczy, z którymi już się komunikuje, i od nowych połączeń po handshake - zawsze, nie tylko podczas ataku. Wszystko inne jest odrzucane w jądrze węzła. Ci, którzy już grają, grają dalej, dopóki atak nie przekracza przepustowości łącza.

Walidacja protokołu

Każdy pakiet na porty gier jest sprawdzany pod kątem zgodności z formatem GoldSrc albo Source: nagłówek, typ polecenia, długość. Wszystko, co nie wygląda na prawdziwą grę, jest odrzucane, zanim dotrze do serwera.

Adaptacyjne limity

Ograniczenie szybkości zapytań i połączeń z jednego adresu, niezauważalne dla graczy. A pakietów gry od adresów, z którymi serwer się nie komunikuje, filtr w ogóle nie przepuszcza - więc podczas ataku nic nie trzeba włączać.

Porównanie

Dlaczego zwykła ochrona DDoS nie wystarcza

Większość hostingów polega wyłącznie na ochronie centrum danych. Jest skuteczna przeciw dużym atakom, ale ślepa na ataki na sam serwer gry.

Typ ataku Zwykła ochrona h0st Shield
Wolumetryczny UDP / TCP flood
Ataki wzmacniające (DNS, NTP, Memcached…)
Flood zapytaniami o status serwera (A2S)
Fałszywe połączenia graczy
Uszkodzone pakiety protokołu gry
Drobne ataki poniżej progu zadziałania
Priorytet prawdziwych graczy podczas ataku
Scenariusz

Co się dzieje, gdy serwer jest atakowany

Cały cykl - od wykrycia do powrotu do normalnego trybu - odbywa się automatycznie, bez udziału administratora.

  1. 1

    Wykrywanie

    Analiza ruchu wykrywa anomalię: gwałtowny wzrost pakietów na sekundę albo nietypowy profil zapytań.

  2. 2

    Przekierowanie

    Ruch atakowanego adresu jest automatycznie kierowany przez klaster oczyszczania centrum danych.

  3. 3

    Filtracja

    Śmieciowy ruch jest odrzucany, a h0st Shield Edge przepuszcza do serwera tylko pakiety zweryfikowanych graczy.

  4. 4

    Normalna praca

    Gdy tylko atak ustaje, wszystkie poziomy automatycznie wracają do zwykłego trybu. Gracze grają dalej.

Infrastruktura

Solidna podstawa ochrony

  • Kijówcentrum danych i filtracja na Ukrainie
  • 2 Tbit/sprzepustowość sieci oczyszczania
  • Minimalny pingbez tras przez Europę
  • Do 13 godzinbez prądu: generator i akumulatory
  • SSDszybkie dyski dla serwerów
  • 24/7automatyczne odpieranie ataków
FAQ

Częste pytania

Czy trzeba coś konfigurować?

Nie. h0st Shield działa automatycznie dla każdego serwera gier na węzłach h0st.pro od momentu uruchomienia. Nie włączasz profili, nie piszesz reguł firewalla i nie zwracasz się do wsparcia - ochrona już stoi przed Twoim serwerem. Serwery na Twojej maszynie («Panel gier») nie przechodzą przez nasz węzeł, więc filtr ich nie dotyczy.

Ile kosztuje ochrona?

Nic dodatkowego. h0st Shield jest w cenie serwerów gier - bez dopłat za ruch ataków, bez limitów liczby ataków i bez «płatnych poziomów».

Czy filtracja zwiększa ping?

Nie. Oczyszczanie ruchu odbywa się w sieci centrum danych w Kijowie, bez tras przez inne kraje, a sprawdzenie pakietu w filtrze węzła trwa mikrosekundy. Dla graczy z Ukrainy opóźnienie pozostaje minimalne.

Czy gracze zauważą atak?

W większości przypadków - nie: serwer pozostaje online, gracze grają dalej. Podczas bardzo dużych ataków możliwy jest krótki skok pingu w momencie, gdy sieć przełącza ruch na oczyszczanie.

Czym h0st Shield jest lepszy od zwykłej ochrony DDoS?

Zwykła ochrona centrum danych widzi tylko ilość ruchu i nie rozumie protokołu gry. Ataki, które imitują zapytania do serwera CS albo fałszywych graczy, przepuszcza jako «legalny» UDP. h0st Shield dodaje drugi poziom, który sprawdza każdy pakiet gry i zatrzymuje właśnie takie ataki.

A drobne ataki, poniżej progu zadziałania?

Także są filtrowane. Duże ataki są przekierowywane do klastra oczyszczania, a mniejsze sprzęt centrum danych odcina stale, bez czekania na próg. To, co wygląda jak prawdziwy ruch gry, dodatkowo sprawdza filtr h0st Shield Edge na węźle - więc «ciche» ataki, od których zwykle lagują serwery, też nie przechodzą.

Czy ochrona daje 100% gwarancji?

Szczerze - żadna ochrona na świecie nie daje absolutnej gwarancji. Jeśli atak przekracza przepustowość sieci filtrującej, centrum danych może tymczasowo ograniczyć ruch do atakowanego adresu, aby ochronić resztę sieci. Takie przypadki są rzadkie, a my informujemy o nich i przywracamy działanie jak najszybciej.

Przed czym ochrona DDoS nie chroni?

Przed lukami w pluginach, słabymi hasłami RCON i kradzieżą dostępu do panelu klienta. Używaj silnego hasła RCON, instaluj pluginy ze sprawdzonych źródeł i nie przekazuj dostępu osobom trzecim - resztą zajmie się h0st Shield.

Uruchom serwer pod ochroną h0st Shield

Ochrona włącza się automatycznie od pierwszej minuty pracy serwera - bez dopłat i ustawień.

Wybierz serwer Zadaj pytanie