DDoS на игровой сервер: признаки и что делать в первые минуты

Игроки пишут, что сервер «зависает», вылетают все сразу, а консоль отвечает с задержкой. Это может быть лаг, а может быть атака, при которой сеть сервера забивают мусорными пакетами. Перепутать одно с другим легко, а реакция нужна разная. В этой статье разберём признаки, которые помогут отличить DDoS от обычных проблем, и порядок действий в первые минуты.

Коротко

DDoS — это попытка перегрузить сервер или канал огромным потоком запросов, так что настоящим игрокам не хватает ресурса. Признаки: резкий рост входящего трафика без роста онлайна, одновременные вылеты многих игроков, задержка консоли при нормальной нагрузке процессора. Первым делом зафиксируйте время и данные, напишите в поддержку EGN, не меняйте адрес и не перезапускайте сервер по кругу. Защита зависит от локации и тарифа, уточните её у поддержки.

Шаги

Зафиксируйте время и признаки. Запишите, когда начались проблемы, сколько игроков было онлайн и что вы видели: вылеты, задержку, пустую консоль. Сделайте скриншот графиков из «Консоли». Эти данные нужны поддержке, чтобы понять картину.
Сравните трафик с онлайном. Откройте графики на странице «Консоль» (процессор, память, сеть). Они показывают текущую картину, а не историю, поэтому скриншот делайте сразу. Если трафик резко вырос, а онлайн остался прежним или упал, это подозрительно. Нормальный трафик растёт вместе с игроками и идёт волнами.

Схема выше — иллюстрация признака, не реальные данные. Важна картина: всплеск появляется без входа новых игроков.
Проверьте консоль и вылеты. Если вылетают все разом, а процессор и память в норме, причина может быть в сети. Если вылетают по одному и у всех разные провайдеры, это больше похоже на обычные сетевые проблемы. Ориентируйтесь на совокупность признаков, а не на один.
Напишите в поддержку. Сообщите название сервера, локацию, время начала, наблюдаемые признаки и скриншот. Поддержка подскажет, что делать в вашем случае. На сайте EGN заявлена защита от DDoS, но её пределы зависят от локации и тарифа, поэтому не обещайте игрокам конкретного эффекта, пока не уточнили это в обращении.
Не меняйте адрес сгоряча. Если ваш адрес уже опубликован (в мониторингах, на сайте, в DNS), смена порта не поможет, а игроки потеряют подключение. Меняйте адрес только по совету поддержки.
Не публикуйте IP. Не выкладывайте адрес сервера в открытых чатах и на форумах. Скриншоты с адресом тоже лучше обрезать.
Не перезапускайте по кругу. Каждый перезапуск сбрасывает состояние и добавляет нагрузку на старте. Если сервер уже работает, оставьте его и соберите данные. Перезапускайте, только если поддержка попросила или сервер не отвечает вовсе.

Эти пять шагов повторяют порядок выше. Первые минуты важнее всего: спокойный сбор данных помогает поддержке быстрее.

Условный пример: как отличить атаку от лагов

Сервер стал тормозить вечером. Смотрите график: процессор 60 %, память в норме, онлайн 30 человек. Трафик вырос в три раза, хотя новых игроков не было. Вылеты у половины игроков, у всех разные провайдеры. Это уже сильный признак атаки. Фиксируете время и пишете в поддержку. Адрес не меняете. Через полчаса трафик вернулся к норме, и вы сравниваете его с журналом.

Противоположный случай: лаги и вылеты только у двух игроков, трафик ровный, в консоли Can't keep up!. Здесь проблема в процессоре или связи этих игроков. Статья про Timed out и про лаги поможет разобраться дальше.

Как отличить DDoS от перегрузки сервера

Оба случая дают похожую картину: лаги, вылеты, тормозящая консоль. Различаются они тем, на чём сервер «застрял». При перегрузке сервера растёт нагрузка на процессор и память, появляются Can't keep up! и OOM. При атаке на сеть графики процессора и памяти могут быть спокойными, а трафик растёт резко и без связи с онлайном. Проверяйте эти графики рядом.

Таблица для быстрой проверки:

процессор и память высокие, трафик обычный — похоже на перегрузку сервера;
процессор и память спокойные, трафик резко вырос — похоже на атаку на сеть;
оба графика высокие и растёт трафик — нужно разбираться с обоими, начните с поддержки.

Что записать для поддержки

Чтобы поддержка быстро поняла картину, соберите одним сообщением: название сервера и локацию, время начала (с часовым поясом), число игроков онлайн, скриншот графика сети и нагрузки, несколько строк консоли вокруг проблем и то, что вы уже делали. Не присылайте пароли и токены и не публикуйте адрес в открытых чатах: в личном обращении в поддержку адрес передавать можно.

Чего не стоит делать

Не запускайте сканеры портов и «проверку» чужих адресов: это может быть расценено как атака, а не диагностика. Не пытайтесь ответить на атаку нагрузкой. Не выкладывайте в публичные чаты скриншоты с адресом сервера. И не обещайте игрокам «скоро всё починим», пока не уверены в причине: лучше написать, что проблема известна и разбирается.

Симптом → причина → решение

Симптом	Вероятная причина	Что делать
Трафик вырос, онлайн тот же, CPU и память спокойные	Похоже на атаку на сеть	Зафиксировать время, написать в поддержку
CPU и память высокие, трафик обычный	Перегрузка сервера	Разбирать лаги и тики
Вылетают все разом, нет лагов в консоли	Проблема сети или атака	Сравнить с графиком трафика, сообщить в поддержку
Вылетают по одному у разных провайдеров	Скорее обычные сетевые проблемы	Попросить игроков проверить связь
Адрес уже известен и идёт поток	Атака на опубликованный адрес	Не менять адрес без совета поддержки

Как сделать в панели EGN

Откройте «Консоль» и посмотрите графики сети и процессора. Сравните трафик с онлайном в «Игроках» или по числу игроков в консоли.
Сделайте скриншот графика и сохраните строки консоли за период проблем.
Напишите в поддержку EGN: название сервера, локацию, время и скриншоты.
Не меняйте адрес и не перезапускайте сервер без совета поддержки.
Если поддержка подтвердит атаку, следуйте её рекомендациям по адресу и тарифу.

Схема: резкий рост трафика при неизменном онлайне

Схема показывает признак, на который стоит смотреть первым: трафик растёт без роста онлайна. Это не реальные данные, а иллюстрация.

Что проверить после атаки

Когда трафик вернулся к норме, не расслабляйтесь сразу. Сравните в кабинете график нагрузки за неделю, если он есть для вашей услуги, и свои записи по дням: если всплески повторяются в одно и то же время, это либо атака по расписанию, либо обычная нагрузка, которую стоит разобрать отдельно. Сохраните журнал событий и скриншоты в одном месте, чтобы при следующем обращении в поддержку не восстанавливать картину по памяти.

Частые ошибки

Считать любой лаг атакой. Лаги чаще связаны с процессором, памятью или сетью игрока. Смотрите совокупность признаков.
Менять адрес сразу. Адрес уже известен атакующему, смена не решает проблему, а вредит игрокам.
Публиковать IP в чатах. Адрес в открытом доступе — лишний повод для атаки.
Перезапускать без причины. Перезапуск не остановит атаку, а данные для поддержки потеряются.
Обещать игрокам защиту, которой нет. Говорите про то, что проверено, и уточняйте у поддержки детали.

Вопросы и ответы

Как понять, что на сервер DDoS?

Главный признак — резкий рост входящего трафика без роста онлайна. Добавьте одновременные вылеты многих игроков и задержку консоли при нормальной нагрузке процессора. Одного признака мало.

Что делать первым?

Зафиксировать время и признаки, сделать скриншот и написать в поддержку EGN. Адрес не меняйте и сервер не перезапускайте без совета поддержки.

Нужно ли менять IP сервера во время атаки?

Нет, без совета поддержки. Смена адреса не защищает, а игроки потеряют подключение. Решение о смене принимает поддержка.

Защищает ли EGN от DDoS?

Что входит в защиту, зависит от локации и тарифа. Уточните это у поддержки, а не полагайтесь на предположения.

Итог

DDoS на игровой сервер выдают резкий рост трафика без онлайна, одновременные вылеты и тормозящая консоль. Зафиксируйте время и данные, напишите в поддержку, не меняйте адрес и не перезапускайте сервер по кругу. Защита зависит от локации и тарифа, её уточняют у поддержки. Смежные статьи: про порты и фаервол, про Timed out и про лаги.

Сервер под игру за пару минут — egnetwork.ru