Власна розробка h0st.pro Захист активний 24/7

h0st Shield - захист ігрових серверів від DDoS-атак

Дворівнева система фільтрації: магістральна мережа дата-центру поглинає об'ємні атаки до 2 Тбіт/с, а наш фільтр на вузлі перевіряє ігрові пакети й пропускає до сервера лише гравців, що пройшли з ним рукостискання.

Обрати сервер Як це працює
  • Без доплат
  • Без налаштувань
Схема: атаки зупиняються в дата-центрі й у фільтрі h0st Shield, гравці проходять до сервера Інтернет Дата-центр L3 / L4 · 2 Тбіт/с h0st Shield L4 / L7 · протокол гри Ваш сервер онлайн
Об'ємна атака Атака на протокол гри Гравці
  • 2 Тбіт/сємність мережі очищення трафіку
  • 908 Гбіт/снайбільша відбита атака в мережі дата-центру за вересень 2026
  • L3 → L7фільтрація від мережевого рівня до протоколу гри
  • 24/7виявлення й відбиття атак без участі людини
Наживо

Що h0st Shield відкинув за останню добу

Сумарно по всіх ігрових серверах і VPS h0st.pro: пакети, які фільтр зупинив на вузлі перед серверами. Графік оновлюється щохвилини.

Заблоковано пакетів / хв

· пакети, які фільтр відкинув за хвилину; за 7 днів - сума по 10 хвилин

  • серверів під захистом зараз
Архітектура

Три рівні захисту між атакою і вашим сервером

Кожен пакет, що прямує до сервера, проходить послідовну перевірку. Те, що пропустив один рівень, зупиняє наступний.

  1. 01L3 / L4

    Магістральне очищення трафіку

    Мережа дата-центру безперервно аналізує потоки трафіку (flow-аналіз). Великі атаки автоматично перенаправляються на кластер очищення ємністю до 2 Тбіт/с, а дрібніші, нижче порогу спрацювання, відсікає обладнання дата-центру - атака не доходить до каналу сервера.

    • UDP- і TCP-флуд, SYN/ACK-флуд
    • Атаки підсилення: DNS, NTP, SSDP, Memcached, CLDAP
    • Фрагментація IP і підроблені адреси
    • Постійна фільтрація - і атак нижче порогу спрацювання
  2. 02L4 / L7

    h0st Shield Edge - фільтр ігрового протоколу

    Наша розробка, що працює на кожному вузлі на рівні ядра Linux (eBPF): пакет перевіряється ще до мережевого стеку системи й до фаєрвола. Фільтр знає формат протоколів GoldSrc і Source, відповідає моніторингам замість сервера й відрізняє справжнього гравця від бота чи підробленого запиту - без навантаження на ігрові сервери.

    • Перевірка формату кожного ігрового пакета
    • Кеш відповідей A2S для моніторингів
    • Адаптивні ліміти й пріоритет перевірених гравців
  3. 03Сервер

    Ізоляція кожного сервера

    Кожен ігровий сервер працює у власному ізольованому контейнері з окремими лімітами процесора й пам'яті та власними мережевими правилами. Навіть якщо атакують сусідній сервер, він не може забрати ресурси вашого.

    • Окремі ліміти CPU і RAM для кожного сервера
    • Відкриті лише порти вашого сервера
    • Атака на сусіда не забирає процесор і пам'ять вашого сервера
Крок за кроком

Шлях пакета до вашого сервера

Уявіть, що до сервера одночасно стукають троє: гравець, моніторинг і атака. Пакети кожного проходять ті самі чотири станції - ось що з ними стається на кожній.

Гравецьзаходить пограти Моніторингпитає: хто онлайн, яка карта? Атакафлуд, боти, підроблені адреси
  1. 1

    Дата-центр у Києві

    мережа · L3 / L4

    Простими словами: охорона на в'їзді в місто. Колони вантажівок зі сміттям - мільйони пакетів за секунду - розвертають ще тут, до нашого вузла вони не доїжджають.

    • Об'ємний UDP- і TCP-флуд, SYN-флуд
    • Атаки підсилення: DNS, NTP, Memcached, CLDAP
    • Очищення трафіку до 2 Тбіт/с
    • Працює постійно, не лише під час великих атак
    Гравець → далі Моніторинг → далі Об'ємна атака ✕ зупинено тут
  2. 2

    Вузол h0st: фільтр h0st Shield Edge

    ядро Linux (eBPF) · протокол гри

    Простими словами: консьєрж у під'їзді. Перший, хто бачить пакет на вузлі - ще до операційної системи й фаєрвола. Знає мову гри (GoldSrc і Source), сам відповідає на питання «хто тут грає?» і впізнає своїх.

    • Моніторингу відповідає сам, з кешу - сервер цих запитів навіть не бачить
    • Нового гравця пускає лише після рукостискання з сервером (challenge) - підроблена адреса його не пройде
    • Запити на вхід - не частіше 4 за 2 секунди з однієї адреси
    • Биті пакети, не схожі на гру, - геть
    • Ігрові пакети - лише від тих, з ким сервер уже грає, або після рукостискання
    Гравець → далі Моніторинг ✓ отримав відповідь тут Бот без рукостискання ✕ зупинено тут
  3. 3

    Вузол h0st: фаєрвол вузла

    nftables · ліміти

    Простими словами: турнікет із лічильником. Рахує, скільки пакетів за секунду йде з кожної адреси, і не пускає більше, ніж потрібно для гри. Гравцеві вистачає близько 100 на секунду - ліміт у кілька разів більший.

    • 400-800 пакетів/с з однієї адреси (залежно від гри)
    • 100 запитів статусу/с і 30 нових з'єднань RCON/с з адреси
    • Підроблене джерело, фрагменти, відомі ампліфікації, ICMP-флуд
    • Запобіжник: 20 000 пакетів/с на сервер разом
    Гравець → далі Флуд з однієї адреси ✕ зупинено тут
  4. 4

    Ваш сервер у власному контейнері

    ізоляція

    Простими словами: окрема квартира з власним лічильником: свої процесор, пам'ять і порти. Сусіда атакують - у вас світло не блимає.

    • До гри доходять лише справжні ігрові пакети
    • Окремі ліміти CPU і RAM для кожного сервера
    • Відкриті лише порти вашого сервера
    Гравець ✓ грає

А на зворотному шляху? Фільтр Edge дивиться і на відповіді сервера: запам'ятовує, кому сервер відповів на рукостискання і з ким веде гру. Саме так він знає «своїх» під час атаки - без жодного плагіна на вашому сервері.

Покриття

Від яких атак захищає h0st Shield

Від масованих мережевих атак до вузьконаправлених атак на ігровий сервер, які не бачить звичайний захист.

L3/L4

UDP-флуд

Потоки сміттєвих UDP-пакетів, що забивають канал. Поглинаються мережею очищення дата-центру.

L3/L4

Атаки підсилення

Відбиті й підсилені відповіді від сторонніх серверів: DNS, NTP, SSDP, Memcached, CLDAP, Chargen.

L4

SYN / ACK / TCP-флуд

Масові запити на встановлення з'єднання, що вичерпують ресурси мережевого стеку.

L3

IP-фрагментація

Фрагментовані й некоректно зібрані пакети, розраховані на перевантаження обробки.

L7

Флуд A2S-запитами

Тисячі запитів A2S_INFO, A2S_PLAYER і A2S_RULES за секунду. Відповіді видає кеш h0st Shield - ігровий процес їх не бачить.

L7

Фальшиві підключення

Боти, що масово імітують вхід гравця (getchallenge / connect). Перевіряються challenge-відповіддю й лімітуються.

L7

Биті ігрові пакети

Пакети з порушеним форматом GoldSrc / Source, завеликі чи з підробленими заголовками - відкидаються на вході.

L4

Атаки з підробленою адресою

Ігрові пакети від адрес, які не проходили рукостискання з сервером, до нього не доходять.

L4/L7

Атаки нижче порогу

Дрібні атаки, яких не помічає більшість систем захисту, але яких вистачає, щоб лагав ігровий сервер. Їх відсікає обладнання дата-центру, а залишки ловить фільтр вузла.

Ігровий рівень

Створено спеціально для Counter-Strike

h0st Shield розуміє, як «розмовляють» сервери CS 1.6 (GoldSrc), CS:Source v34 і CS:Source (Source Engine), і захищає саме ті місця, куди б'ють атаки на ігрові сервери.

Кеш A2S-запитів

Моніторинги, список серверів у грі й сайти постійно запитують назву, карту й гравців. h0st Shield відповідає на ці запити зі свого кешу, який регулярно оновлюється, - тож флуд запитами статусу не забирає в сервера ні такту процесора.

Пріоритет перевірених гравців

Ігрові пакети доходять до сервера лише від гравців, з якими він уже спілкується, і від нових підключень після рукостискання - завжди, не лише під час атаки. Усе інше відкидається в ядрі вузла. Ті, хто вже грає, продовжують гру, поки атака не перевищує ємність каналу.

Валідація протоколу

Кожен пакет на ігрові порти перевіряється на відповідність формату GoldSrc або Source: заголовок, тип команди, довжина. Усе, що не схоже на справжню гру, відкидається ще до того, як дійде до сервера.

Адаптивні ліміти

Обмеження швидкості запитів і підключень з однієї адреси, непомітні для гравців. А ігрові пакети від адрес, з якими сервер не спілкується, фільтр не пропускає взагалі - тож під час атаки нічого вмикати не треба.

Порівняння

Чому звичайного DDoS-захисту недостатньо

Більшість хостингів покладаються лише на захист дата-центру. Він ефективний проти великих атак, але сліпий до атак на сам ігровий сервер.

Тип атаки Звичайний захист h0st Shield
Об'ємний UDP / TCP-флуд
Атаки підсилення (DNS, NTP, Memcached…)
Флуд запитами статусу сервера (A2S)
Фальшиві підключення гравців
Биті пакети ігрового протоколу
Дрібні атаки нижче порогу спрацювання
Пріоритет справжніх гравців під час атаки
Сценарій

Що відбувається, коли сервер атакують

Увесь цикл - від виявлення до повернення в нормальний режим - відбувається автоматично, без участі адміністратора.

  1. 1

    Виявлення

    Аналіз трафіку фіксує аномалію: різке зростання пакетів за секунду чи нетиповий профіль запитів.

  2. 2

    Перенаправлення

    Трафік атакованої адреси автоматично спрямовується через кластер очищення дата-центру.

  3. 3

    Фільтрація

    Сміттєвий трафік відкидається, а h0st Shield Edge пропускає до сервера лише пакети перевірених гравців.

  4. 4

    Нормальна робота

    Щойно атака стихає, усі рівні автоматично повертаються у звичайний режим. Гравці продовжують гру.

Інфраструктура

Надійна основа для захисту

  • Київдата-центр і фільтрація в Україні
  • 2 Тбіт/сємність мережі очищення
  • Мінімальний пінгбез маршрутів через Європу
  • До 13 годинбез світла: генератор і акумулятори
  • SSDшвидкі диски для серверів
  • 24/7автоматичне відбиття атак
FAQ

Поширені питання

Чи потрібно щось налаштовувати?

Ні. h0st Shield працює автоматично для кожного ігрового сервера на вузлах h0st.pro з моменту запуску. Ви не вмикаєте профілі, не пишете правила фаєрвола й не звертаєтесь у підтримку - захист уже стоїть перед вашим сервером. Сервери на вашій машині («Ігрова панель») через наш вузол не проходять, тож фільтр їх не стосується.

Скільки коштує захист?

Нічого додатково. h0st Shield входить у вартість ігрових серверів - без доплат за трафік атак, без лімітів на кількість атак і без «платних рівнів».

Чи збільшується пінг через фільтрацію?

Ні. Очищення трафіку відбувається в мережі дата-центру в Києві, без маршрутів через інші країни, а перевірка пакета у фільтрі вузла триває мікросекунди. Для гравців з України затримка лишається мінімальною.

Чи помітять гравці атаку?

У більшості випадків - ні: сервер лишається онлайн, гравці продовжують гру. Під час дуже великих атак можливий короткий стрибок пінгу в момент, коли мережа переводить трафік на очищення.

Чим h0st Shield кращий за звичайний DDoS-захист?

Звичайний захист дата-центру бачить лише об'єм трафіку й не розуміє протокол гри. Атаки, що імітують запити до сервера CS або фальшивих гравців, він пропускає як «легітимний» UDP. h0st Shield додає другий рівень, який перевіряє кожен ігровий пакет і зупиняє саме такі атаки.

А дрібні атаки, нижче порогу спрацювання?

Теж фільтруються. Великі атаки перенаправляються на кластер очищення, а дрібніші відсікає обладнання дата-центру постійно, без очікування порогу. Те, що схоже на справжній ігровий трафік, додатково перевіряє фільтр h0st Shield Edge на вузлі - тож «тихі» атаки, від яких зазвичай лагають сервери, теж не проходять.

Чи дає захист 100% гарантію?

Чесно - жоден захист у світі не дає абсолютної гарантії. Якщо атака перевищує ємність мережі фільтрації, дата-центр може тимчасово обмежити трафік на атаковану адресу, щоб уберегти решту мережі. Такі випадки рідкісні, а ми повідомляємо про них і відновлюємо роботу якнайшвидше.

Від чого DDoS-захист не рятує?

Від уразливостей у плагінах, слабких RCON-паролів і крадіжки доступу до кабінету. Тримайте RCON-пароль складним, ставте плагіни з перевірених джерел і не передавайте доступ стороннім - решту зробить h0st Shield.

Запустіть сервер під захистом h0st Shield

Захист вмикається автоматично з першої хвилини роботи сервера - без доплат і налаштувань.

Обрати сервер Поставити питання