DDoS útoky na herní servery: jak fungují a co proti nim pomáhá

Server běží, hráči jsou online, a pak během pár vteřin všichni spadnou s timeoutem. Panel ukazuje, že proces žije, procesor se nudí — a přesto se nikdo nepřipojí. Takhle obvykle vypadá DDoS útok z pohledu správce herního serveru. V článku vysvětlujeme, jak tyto útoky fungují, proč jsou herní servery tak častým cílem a co proti nim reálně pomáhá — včetně toho, co ochrana u hostingu zvládne a co musíte vyřešit sami.

Co je DDoS útok

DDoS (Distributed Denial of Service) je pokus vyřadit službu tím, že se na ni pošle víc provozu nebo požadavků, než dokáže zpracovat. „Distribuovaný“ znamená, že provoz nepřichází z jednoho počítače, ale z velkého množství zdrojů najednou — typicky z botnetu složeného z napadených zařízení nebo ze zneužitých veřejných služeb. Proto nestačí zablokovat jednu IP adresu. Dobrý přehled nabízí Cloudflare Learning Center.

Cílem útoku není ukrást data, ale znepřístupnit službu. U herního serveru to znamená, že se hráči nepřipojí nebo mají takové zpoždění, že se hrát nedá.

Tři hlavní typy útoků

Útoky se obvykle dělí podle vrstvy síťového modelu, na kterou míří. Rozdíl je důležitý, protože každý typ se brání jinde.

Volumetrické útoky (L3/L4) se snaží zahltit linku. Patří sem UDP floody, kdy na server míří obrovské množství UDP paketů, a hlavně amplifikační (reflexní) útoky: útočník pošle malý dotaz s podvrženou zdrojovou adresou na veřejně dostupnou službu (například špatně nastavený DNS, NTP nebo memcached server) a ta pošle mnohem větší odpověď na adresu oběti. Server pak nemusí nic zpracovávat — stačí, že je jeho přípojka plná.

Protokolové útoky (L3/L4) zneužívají způsob, jakým fungují síťové protokoly. Klasikou je SYN flood: útočník otevírá velké množství TCP spojení, která nikdy nedokončí, a vyčerpává tím tabulky spojení na serveru nebo síťových prvcích před ním.

Útoky na aplikační vrstvě (L7) vypadají jako běžný provoz. U Minecraftu to může být záplava dotazů na seznam serverů (server list ping) nebo tzv. bot joins — stovky falešných hráčů, kteří se připojují, spamují chat nebo zatěžují login. U webu kolem serveru jde typicky o HTTP flood na obchod nebo fórum. Tyto útoky nemusí mít velký objem, ale zatíží samotnou aplikaci.

Proč jsou herní servery častým cílem

• Citlivost na výpadky. Hra potřebuje nepřetržité spojení. I krátké zahlcení odpojí všechny hráče, takže útok je okamžitě vidět.
• Rivalita a osobní spory. Mezi komunitami serverů se útoky objevují jako „odplata“ za ban nebo jako snaha odlákat hráče ke konkurenci.
• Nízká cena útoku. Tzv. booter nebo stresser služby nabízejí útoky levně, takže je zvládne objednat i člověk bez technických znalostí.
• Veřejně známá adresa. Adresa herního serveru je z principu veřejná — hráči ji potřebují, aby se připojili.
• UDP protokoly. Řada her (například FiveM nebo Minecraft Bedrock) komunikuje přes UDP. Minecraft Java používá TCP, ale volumetrický útok zahltí linku bez ohledu na to, jaký protokol hra používá.

Proč server doma útok nevydrží

Domácí připojení má zlomek kapacity, kterou dokáže vygenerovat i levný útok. Zahltí se celá přípojka, takže nejde jen server, ale i internet celé domácnosti. Poskytovatel připojení může navíc vaši adresu dočasně odříznout, aby ochránil zbytek sítě. A protože se hráči připojují na vaši domácí IP, dostane se k ní každý, kdo na server jednou přišel. Víc o tomto srovnání najdete v článku Minecraft server doma, nebo na hostingu?.

Co proti DDoS pomáhá

Žádné jedno opatření nestačí. Ochrana funguje ve vrstvách a každá řeší jiný typ útoku.

• Trvalé filtrování u poskytovatele. Volumetrické a protokolové útoky se musí zachytit dřív, než dorazí na vaši linku — to zvládne jen síť s dostatečnou kapacitou. Důležité je, aby filtr běžel trvale (always-on), ne až po ručním zapnutí při útoku.
• Neukazovat domácí IP. Neprovozujte veřejný server z domova a nepřipojujte se k podezřelým hlasovým službám nebo odkazům, které mohou vaši adresu odhalit.
• Nevyzradit adresy backend serverů. U sítě serverů za proxy by backendy neměly být dostupné přímo. Pozor na staré DNS záznamy, zapomenuté subdomény a pluginy, které adresu vypisují.
• Omezení počtu spojení v serverovém softwaru. Například connection-throttle v bukkit.yml, rate-limit v server.properties nebo login-ratelimit ve Velocity.
• Proxy pro Minecraft sítě. Velocity (nebo starší BungeeCord) stojí před backend servery, sjednocuje přihlašování a dovoluje backendy skrýt. Backend má přijímat spojení jen z proxy.
• Anti-bot pluginy a whitelist. Proti bot joins pomáhají pluginy s ověřováním nových hráčů, online-mode=true a u soukromých serverů whitelist.
• Aktualizovaný software. Nové verze Paperu, Velocity nebo FiveM artefaktů opravují chyby, které by šlo zneužít k přetížení serveru malým množstvím paketů.

Praktické tipy k nastavení Minecraft serveru najdete v návodech na pluginy a na výkon serveru.

Co zvládne ochrana u BlazeHostu

Naše herní servery chrání 7,4 Tbps DDoS ochrana od Dataforest. Filtrování je trvale zapnuté, je součástí ceny a nic nenastavujete. Běží na síťové vrstvě (L3/L4): zachytává volumetrické a protokolové útoky dřív, než dorazí k našemu hardwaru v datacentru firstcolo FRA4 ve Frankfurtu.

Stejně otevřeně ale říkáme, co ochrana nedělá: nefiltruje útoky na aplikační vrstvě. Falešní hráči, spam připojení nebo záplava dotazů přes herní protokol vypadají pro síťový filtr jako běžný provoz. Ty je potřeba řešit navíc v konfiguraci serveru, pluginech nebo proxy — viz předchozí sekce. Totéž platí pro web nebo obchod, který běží mimo herní server.

Shrnutí

• DDoS útoky na herní servery jsou běžné, levné na objednání a v Česku trestné.
• Volumetrické a protokolové útoky (L3/L4) patří k poskytovateli sítě — bez trvalého filtrování se proti nim bránit nedá.
• Útoky na aplikační vrstvě (L7), například bot joins, se řeší v nastavení serveru, pluginech a proxy.
• Neprovozujte veřejný server z domácí IP a nevyzraďte adresy backendů.
• U BlazeHostu je 7,4 Tbps DDoS ochrana od Dataforest v ceně a trvale zapnutá na síťové vrstvě; aplikační vrstvu si zabezpečíte v konfiguraci serveru.

Přehled našich služeb najdete na stránce herní servery, konkrétní tarify pro Minecraft a FiveM.