Собственная разработка h0st.pro Защита активна 24/7

h0st Shield - защита игровых серверов от DDoS-атак

Двухуровневая система фильтрации: магистральная сеть дата-центра поглощает объёмные атаки до 2 Тбит/с, а наш фильтр на узле проверяет игровые пакеты и пропускает к серверу только игроков, прошедших с ним рукопожатие.

Выбрать сервер Как это работает
  • Без доплат
  • Без настроек
Схема: атаки останавливаются в дата-центре и в фильтре h0st Shield, игроки проходят к серверу Интернет Дата-центр L3 / L4 · 2 Тбит/с h0st Shield L4 / L7 · протокол игры Ваш сервер онлайн
Объёмная атака Атака на протокол игры Игроки
  • 2 Тбит/сёмкость сети очистки трафика
  • 908 Гбит/скрупнейшая отражённая атака в сети дата-центра за сентябрь 2026
  • L3 → L7фильтрация от сетевого уровня до протокола игры
  • 24/7обнаружение и отражение атак без участия человека
Вживую

Что h0st Shield отбросил за последние сутки

Суммарно по всем игровым серверам и VPS h0st.pro: пакеты, которые фильтр остановил на узле перед серверами. График обновляется ежеминутно.

Заблокировано пакетов / мин

· пакеты, которые фильтр отбросил за минуту; за 7 дней - сумма по 10 минут

  • серверов под защитой сейчас
Архитектура

Три уровня защиты между атакой и вашим сервером

Каждый пакет, идущий к серверу, проходит последовательную проверку. То, что пропустил один уровень, останавливает следующий.

  1. 01L3 / L4

    Магистральная очистка трафика

    Сеть дата-центра непрерывно анализирует потоки трафика (flow-анализ). Крупные атаки автоматически перенаправляются на кластер очистки ёмкостью до 2 Тбит/с, а более мелкие, ниже порога срабатывания, отсекает оборудование дата-центра - атака не доходит до канала сервера.

    • UDP- и TCP-флуд, SYN/ACK-флуд
    • Атаки усиления: DNS, NTP, SSDP, Memcached, CLDAP
    • Фрагментация IP и поддельные адреса
    • Постоянная фильтрация - в том числе атак ниже порога срабатывания
  2. 02L4 / L7

    h0st Shield Edge - фильтр игрового протокола

    Наша разработка, которая работает на каждом узле на уровне ядра Linux (eBPF): пакет проверяется ещё до сетевого стека системы и до файрвола. Фильтр знает формат протоколов GoldSrc и Source, отвечает мониторингам вместо сервера и отличает настоящего игрока от бота или поддельного запроса - без нагрузки на игровые серверы.

    • Проверка формата каждого игрового пакета
    • Кеш ответов A2S для мониторингов
    • Адаптивные лимиты и приоритет проверенных игроков
  3. 03Сервер

    Изоляция каждого сервера

    Каждый игровой сервер работает в собственном изолированном контейнере с отдельными лимитами процессора и памяти и собственными сетевыми правилами. Даже если атакуют соседний сервер, он не может забрать ресурсы вашего.

    • Отдельные лимиты CPU и RAM для каждого сервера
    • Открыты только порты вашего сервера
    • Атака на соседа не забирает процессор и память вашего сервера
Шаг за шагом

Путь пакета к вашему серверу

Представьте, что к серверу одновременно стучатся трое: игрок, мониторинг и атака. Пакеты каждого проходят те же четыре станции - вот что с ними происходит на каждой.

Игрокзаходит поиграть Мониторингспрашивает: кто онлайн, какая карта? Атакафлуд, боты, поддельные адреса
  1. 1

    Дата-центр в Киеве

    сеть · L3 / L4

    Простыми словами: охрана на въезде в город. Колонны грузовиков с мусором - миллионы пакетов в секунду - разворачивают ещё здесь, до нашего узла они не доезжают.

    • Объёмный UDP- и TCP-флуд, SYN-флуд
    • Атаки усиления: DNS, NTP, Memcached, CLDAP
    • Очистка трафика до 2 Тбит/с
    • Работает постоянно, не только во время больших атак
    Игрок → дальше Мониторинг → дальше Объёмная атака ✕ остановлено здесь
  2. 2

    Узел h0st: фильтр h0st Shield Edge

    ядро Linux (eBPF) · протокол игры

    Простыми словами: консьерж в подъезде. Первый, кто видит пакет на узле - ещё до операционной системы и файрвола. Знает язык игры (GoldSrc и Source), сам отвечает на вопрос «кто здесь играет?» и узнаёт своих.

    • Мониторингу отвечает сам, из кэша - сервер этих запросов даже не видит
    • Нового игрока пускает только после рукопожатия с сервером (challenge) - поддельный адрес его не пройдёт
    • Запросы на вход - не чаще 4 за 2 секунды с одного адреса
    • Битые пакеты, не похожие на игру, - прочь
    • Игровые пакеты - только от тех, с кем сервер уже играет, или после рукопожатия
    Игрок → дальше Мониторинг ✓ получил ответ здесь Бот без рукопожатия ✕ остановлено здесь
  3. 3

    Узел h0st: файрвол узла

    nftables · лимиты

    Простыми словами: турникет со счётчиком. Считает, сколько пакетов в секунду идёт с каждого адреса, и не пускает больше, чем нужно для игры. Игроку хватает около 100 в секунду - лимит в несколько раз больше.

    • 400-800 пакетов/с с одного адреса (в зависимости от игры)
    • 100 запросов статуса/с и 30 новых соединений RCON/с с адреса
    • Поддельный источник, фрагменты, известные амплификации, ICMP-флуд
    • Предохранитель: 20 000 пакетов/с на сервер вместе
    Игрок → дальше Флуд с одного адреса ✕ остановлено здесь
  4. 4

    Ваш сервер в собственном контейнере

    изоляция

    Простыми словами: отдельная квартира с собственным счётчиком: свои процессор, память и порты. Соседа атакуют - у вас свет не мигает.

    • До игры доходят только настоящие игровые пакеты
    • Отдельные лимиты CPU и RAM для каждого сервера
    • Открыты только порты вашего сервера
    Игрок ✓ играет

А на обратном пути? Фильтр Edge смотрит и на ответы сервера: запоминает, кому сервер ответил на рукопожатие и с кем ведёт игру. Именно так он знает «своих» во время атаки - без единого плагина на вашем сервере.

Покрытие

От каких атак защищает h0st Shield

От массированных сетевых атак до узконаправленных атак на игровой сервер, которых не видит обычная защита.

L3/L4

UDP-флуд

Потоки мусорных UDP-пакетов, забивающие канал. Поглощаются сетью очистки дата-центра.

L3/L4

Атаки усиления

Отражённые и усиленные ответы от сторонних серверов: DNS, NTP, SSDP, Memcached, CLDAP, Chargen.

L4

SYN / ACK / TCP-флуд

Массовые запросы на установку соединения, исчерпывающие ресурсы сетевого стека.

L3

IP-фрагментация

Фрагментированные и некорректно собранные пакеты, рассчитанные на перегрузку обработки.

L7

Флуд A2S-запросами

Тысячи запросов A2S_INFO, A2S_PLAYER и A2S_RULES в секунду. Ответы выдаёт кэш h0st Shield - игровой процесс их не видит.

L7

Фальшивые подключения

Боты, массово имитирующие вход игрока (getchallenge / connect). Проверяются challenge-ответом и лимитируются.

L7

Битые игровые пакеты

Пакеты с нарушенным форматом GoldSrc / Source, слишком большие или с поддельными заголовками - отбрасываются на входе.

L4

Атаки с поддельным адресом

Игровые пакеты с адресов, которые не проходили рукопожатие с сервером, до него не доходят.

L4/L7

Атаки ниже порога

Мелкие атаки, которых не замечает большинство систем защиты, но которых хватает, чтобы лагал игровой сервер. Их отсекает оборудование дата-центра, а остатки ловит фильтр узла.

Игровой уровень

Создано специально для Counter-Strike

h0st Shield понимает, как «разговаривают» серверы CS 1.6 (GoldSrc), CS:Source v34 и CS:Source (Source Engine), и защищает именно те места, куда бьют атаки на игровые серверы.

Кеш A2S-запросов

Мониторинги, список серверов в игре и сайты постоянно запрашивают название, карту и игроков. h0st Shield отвечает на эти запросы из своего кеша, который регулярно обновляется, - поэтому флуд запросами статуса не отнимает у сервера ни такта процессора.

Приоритет проверенных игроков

Игровые пакеты доходят до сервера только от игроков, с которыми он уже общается, и от новых подключений после рукопожатия - всегда, не только во время атаки. Всё остальное отбрасывается в ядре узла. Те, кто уже играет, продолжают игру, пока атака не превышает ёмкость канала.

Валидация протокола

Каждый пакет на игровые порты проверяется на соответствие формату GoldSrc или Source: заголовок, тип команды, длина. Всё, что не похоже на настоящую игру, отбрасывается ещё до того, как дойдёт до сервера.

Адаптивные лимиты

Ограничение скорости запросов и подключений с одного адреса, незаметное для игроков. А игровые пакеты с адресов, с которыми сервер не общается, фильтр не пропускает вообще - поэтому во время атаки ничего включать не нужно.

Сравнение

Почему обычной DDoS-защиты недостаточно

Большинство хостингов полагаются только на защиту дата-центра. Она эффективна против крупных атак, но слепа к атакам на сам игровой сервер.

Тип атаки Обычная защита h0st Shield
Объёмный UDP / TCP-флуд
Атаки усиления (DNS, NTP, Memcached…)
Флуд запросами статуса сервера (A2S)
Фальшивые подключения игроков
Битые пакеты игрового протокола
Мелкие атаки ниже порога срабатывания
Приоритет настоящих игроков во время атаки
Сценарий

Что происходит, когда сервер атакуют

Весь цикл - от обнаружения до возвращения в нормальный режим - происходит автоматически, без участия администратора.

  1. 1

    Обнаружение

    Анализ трафика фиксирует аномалию: резкий рост пакетов в секунду или нетипичный профиль запросов.

  2. 2

    Перенаправление

    Трафик атакуемого адреса автоматически направляется через кластер очистки дата-центра.

  3. 3

    Фильтрация

    Мусорный трафик отбрасывается, а h0st Shield Edge пропускает к серверу только пакеты проверенных игроков.

  4. 4

    Нормальная работа

    Как только атака стихает, все уровни автоматически возвращаются в обычный режим. Игроки продолжают игру.

Инфраструктура

Надёжная основа для защиты

  • Киевдата-центр и фильтрация в Украине
  • 2 Тбит/сёмкость сети очистки
  • Минимальный пингбез маршрутов через Европу
  • До 13 часовбез света: генератор и аккумуляторы
  • SSDбыстрые диски для серверов
  • 24/7автоматическое отражение атак
FAQ

Частые вопросы

Нужно ли что-то настраивать?

Нет. h0st Shield работает автоматически для каждого игрового сервера на узлах h0st.pro с момента запуска. Вы не включаете профили, не пишете правила файрвола и не обращаетесь в поддержку - защита уже стоит перед вашим сервером. Серверы на вашей машине («Игровая панель») через наш узел не проходят, поэтому фильтр их не касается.

Сколько стоит защита?

Ничего дополнительно. h0st Shield входит в стоимость игровых серверов - без доплат за трафик атак, без лимитов на количество атак и без «платных уровней».

Увеличивается ли пинг из-за фильтрации?

Нет. Очистка трафика происходит в сети дата-центра в Киеве, без маршрутов через другие страны, а проверка пакета в фильтре узла занимает микросекунды. Для игроков из Украины задержка остаётся минимальной.

Заметят ли игроки атаку?

В большинстве случаев - нет: сервер остаётся онлайн, игроки продолжают игру. Во время очень крупных атак возможен короткий скачок пинга в момент, когда сеть переводит трафик на очистку.

Чем h0st Shield лучше обычной DDoS-защиты?

Обычная защита дата-центра видит только объём трафика и не понимает протокол игры. Атаки, которые имитируют запросы к серверу CS или фальшивых игроков, она пропускает как «легитимный» UDP. h0st Shield добавляет второй уровень, который проверяет каждый игровой пакет и останавливает именно такие атаки.

А мелкие атаки, ниже порога срабатывания?

Тоже фильтруются. Крупные атаки перенаправляются на кластер очистки, а более мелкие отсекает оборудование дата-центра постоянно, не дожидаясь порога. То, что похоже на настоящий игровой трафик, дополнительно проверяет фильтр h0st Shield Edge на узле - поэтому «тихие» атаки, от которых обычно лагают серверы, тоже не проходят.

Даёт ли защита 100% гарантию?

Честно - ни одна защита в мире не даёт абсолютной гарантии. Если атака превышает ёмкость сети фильтрации, дата-центр может временно ограничить трафик на атакуемый адрес, чтобы уберечь остальную сеть. Такие случаи редки, а мы сообщаем о них и восстанавливаем работу как можно быстрее.

От чего DDoS-защита не спасает?

От уязвимостей в плагинах, слабых RCON-паролей и кражи доступа к кабинету. Держите RCON-пароль сложным, ставьте плагины из проверенных источников и не передавайте доступ посторонним - остальное сделает h0st Shield.

Запустите сервер под защитой h0st Shield

Защита включается автоматически с первой минуты работы сервера - без доплат и настроек.

Выбрать сервер Задать вопрос