Wie funktioniert der DDoS-Schutz?

Ein DDoS-Angriff (Distributed Denial of Service) versucht, ein System unerreichbar zu machen, indem synthetischer Datenverkehr von Tausenden verschiedener IPs gleichzeitig an Ihren Server gesendet wird. In den Server- und VDS-Paketen von Kolan IT filtert eine immer aktive, zweischichtige Schutzarchitektur solche Angriffe, bevor sie Ihren Server erreichen. In diesem Artikel erklären wir, wie der Schutz funktioniert, gegen welche Angriffsarten er schützt und was Sie während eines Angriffs tun können.

1. Was ist ein DDoS-Angriff?

Bei einem DDoS-Angriff koordiniert der Angreifer Tausende/Millionen zuvor kompromittierter Geräte (ein Botnet), um gleichzeitig Anfragen an den Zielserver zu senden. Wenn die Bandbreite oder Verarbeitungskapazität des Servers diesen Datenverkehr nicht bewältigen kann, können legitime Benutzer die Website nicht erreichen. Häufige Angriffsarten:

UDP Flood: Senden sehr volumenstarker UDP-Pakete an zufällige Ports des Ziels.
SYN Flood: TCP-Verbindungen halb offen lassen, um die Verbindungstabelle des Servers zu füllen.
Amplification: Missbrauch von Diensten wie DNS/NTP/Memcached, um aus kleinen Anfragen große Antworten zu erzeugen; Verkehrsvervielfachung.
Botnet-Angriffe: Koordinierte Anfragewellen von Tausenden kompromittierter Geräte.
Volumetrische Angriffe: Datenverkehr im Gbps/Tbps-Bereich, der die Bandbreite vollständig auslastet.
TCP-Flag-Manipulation: Erschöpfung der Serverressourcen mit ungültigen Flag-Kombinationen.

2. Zweischichtige Schutzarchitektur

Der zu unseren Servern fließende Datenverkehr durchläuft zwei getrennte Filterschichten, bevor er an die Serverressource ausgeliefert wird:

Upstream Backbone Filtering — volumenstarker bösartiger Datenverkehr wird im globalen Backbone von G-Core nahe am Ursprungsland absorbiert.
Edge XDP Filtering — am Edge-Router vor dem Server werden Anomalien per Paket mit kernel-level XDP-Technologie erkannt und gefiltert.

Der Zweck dieser beiden Schichten ist nicht, "bei Angriffsbeginn einzuspringen", sondern den Verkehr immer zu säubern. Dadurch arbeitet der Schutz ab der ersten Millisekunde eines Angriffs und Sie sehen auf Ihrer Website keinen sichtbaren Ausfall.

3. Upstream Backbone Filtering — Verkehr am Ursprung absorbieren

Der auf Ihren Server gerichtete Verkehr erreicht zuerst das verteilte PoP-Netzwerk (Point of Presence) von G-Core im globalen Backbone. Die Backbone-Kapazität beträgt 200+ Tbps; diese Zahl entspricht dem Tausendfachen der Kapazität lokaler Anbieter in der Türkei. Vorteile:

Der Angriffsverkehr wird nahe am Ursprungsland absorbiert; gefiltert, bevor er unser Rechenzentrum erreicht.
Dank der enormen Backbone-Kapazität sättigt selbst der größte volumetrische Angriff die Leitung nicht.
Über den Istanbul-PoP wird für den Türkei-Verkehr eine niedrige Latenz (low latency) beibehalten — weil der Schutz nicht "anspringen" muss, kommt es zu keinem Latenzanstieg.

4. Edge XDP Filtering — Paketprüfung vor dem Server

Der durch das Backbone gelangte Verkehr wird unmittelbar vor der Auslieferung an den Server am Edge-Router ein zweites Mal geprüft. Diese Schicht verwendet die Technologie XDP (eXpress Data Path); Pakete werden auf der untersten Ebene des Linux-Kernels erfasst und mit sehr hoher Geschwindigkeit verarbeitet.

Kernel-Level-Verarbeitung: Die Entscheidung wird getroffen, bevor das Paket den Userspace erreicht; niedrige CPU-Last, hoher Durchsatz.
Paket-pro-Sekunde (PPS) basierter Schutz: SYN/UDP-Floods mit hohem PPS-Wert werden auf Paketebene verworfen.
Anomalieerkennung: Ungewöhnliche Paketstrukturen und ungültige TCP-Flag-Kombinationen werden automatisch blockiert.
Dynamische Blacklist: Angreifer-IPs/IP-Blöcke werden automatisch in die Blacklist aufgenommen.
Protokollebenen-Filterung: Ungültiges Protokollverhalten wird abgelehnt.

5. Always-On-Schutz — Warum das wichtig ist

Einige DDoS-Schutzlösungen springen erst nach der Erkennung eines Angriffs ein (on-demand). Bei diesem Ansatz kann die Analyse des Verkehrs nach Beginn des Angriffs, das Hochfahren der Schutzschicht und die Umleitung des Verkehrs Minuten dauern; Ihre Benutzer können während dieser Zeit die Website nicht erreichen.

In unserer Architektur ist der Schutz kontinuierlich aktiv; sowohl normaler als auch Angriffsverkehr durchlaufen dieselben Filterschichten. Ergebnis:

Keine "Einsprung"-Verzögerung bei Angriffsbeginn — der Schutz ist bereits da.
Sie sehen konsistente Latenz sowohl bei normaler Nutzung als auch unter Angriff.
Für die Aktivierung ist kein manueller Eingriff erforderlich; Systeme werden 24/7 überwacht.

6. In welchen Paketen ist er enthalten?

DDoS-Schutz ist in den Server-Paketen VDS, Premium VDS, Germany VDS, Germany EPYC und Dedicated von Kolan standardmäßig enthalten; keine separate Bestellung erforderlich. Bei Hosting-Paketen werden Angriffe auf unsere Server dank dieser Infrastruktur absorbiert. Für vollständige Schutzkapazitätsdetails und das Architekturdiagramm können Sie die Seite kolan.net.tr/de/ddos-schutz besuchen.

7. Wenn Sie denken, dass Sie angegriffen werden

Wenn Sie Zugriffsprobleme auf Ihre Website/Server haben und vermuten, dass es sich um einen DDoS-Angriff handelt:

Prüfen Sie zuerst den Serverstatus (die Website öffnet nicht, Ping ist hoch, ssh/rdp ist langsam).
Notfall-DDoS-Hotline: +90 282 606 08 20 — 24/7 erreichbar.
Öffnen Sie aus dem Kundenbereich ein Support-Ticket und geben Sie Ihre Dienst-ID sowie das beobachtete Verhalten an (wann begann es, welche Dienste waren betroffen).
Wenn möglich, teilen Sie Beispiel-Einträge aus den Apache-/Nginx-Zugriffslogs; Angriffsquellen- und Zielanalyse wird schneller.

Hinweis: Normale Verkehrsspitzen (Kampagne, viraler Inhalt, Werbeschub) können manchmal nicht von einem DDoS-Angriff zu unterscheiden sein. Unser Team stellt per Loganalyse fest, ob es sich um einen echten Angriff handelt, und wendet bei Bedarf zusätzliche Filterregeln an.

Wenn Sie zusätzliche Informationen zu unserer DDoS-Schutzinfrastruktur oder Beratung bei der Paketwahl wünschen, können Sie ein Support-Ticket öffnen, um unser Vertriebsteam zu erreichen.