DDoS-Schutz per Tunnel: geschützte IP für Ihren Server, wo immer er steht

Ihr Server läuft gut, aber bei einem Anbieter, der Angriffe gar nicht oder nicht auf Anwendungsebene filtert. Ein einziger Angriff macht ihn unerreichbar, und oft reagiert der Anbieter damit, die angegriffene Adresse komplett zu sperren (Blackholing). Das löst sein Problem, aber nicht Ihres: Ihr Dienst ist offline, bis der Angriff vorbei ist und die Sperre aufgehoben wird.

Der IP-Tunnel verlegt den Eintrittspunkt. Öffentlicher Verkehr kommt an einer unserer Adressen in Paris an, durchläuft die UnioShield-Filterung, und nur legitimer Verkehr wird durch den Tunnel an Ihre Maschine weitergeleitet. Ihr bisheriger Anbieter sieht nur noch sauberen Verkehr von uns. Unser Netz ist über drei Transit-Anbieter mehrfach angebunden, der Verkehr hängt also nicht an einem einzigen Upstream.

Für Dienste bei Ihnen zu Hause ist der Tunnel oft der einzige saubere Weg nach außen. Ein privater Anschluss hat eine Adresse, die Rückschlüsse auf Ihren Wohnort zulässt, und die gehört nicht in einen öffentlichen DNS-Eintrag. Hinter dem Tunnel taucht sie nicht mehr auf, und ein Angriff trifft unsere Filterung statt Ihres Routers und Ihres Internetzugangs.

GRE ist die Standardwahl. Linux, pfSense, OPNsense und die meisten professionellen Router unterstützen es ohne Zusatzsoftware, und der Rechenaufwand ist kaum messbar. GRE verschlüsselt nicht und braucht auf beiden Seiten eine öffentliche IP-Adresse, durch NAT kommt es in der Regel nicht. Haben Sie keine besonderen Anforderungen und einen Server mit fester IP, nehmen Sie GRE.

VXLAN brauchen Sie, wenn sich Ihre Maschinen verhalten sollen, als hingen sie am selben Switch, etwa bei einem Cluster, der Broadcasts nutzt, oder bei einer IP-Adresse, die zwischen zwei Knoten wandert. Die Einrichtung ist aufwendiger und die Fehlersuche ebenfalls. Nehmen Sie VXLAN nur, wenn Sie Layer 2 tatsächlich brauchen, nicht vorsorglich.

WireGuard verschlüsselt den Tunnel und baut die Verbindung nach einer Unterbrechung fast sofort wieder auf. Baut Ihr Server die Verbindung von sich aus auf, funktioniert WireGuard auch hinter NAT, Carrier-Grade-NAT und DS-Lite. Das ist unsere Empfehlung für Heimanschlüsse, Mobilfunk und alle Leitungen, deren Adresse sich ändert oder die öfter kurz abreißen.

Viele Kabel- und einige Glasfaseranschlüsse in Deutschland laufen mit DS-Lite: Sie bekommen eine eigene IPv6, teilen sich die IPv4 aber mit anderen Kunden Ihres Anbieters. Portweiterleitungen für IPv4 sind damit nicht möglich, Ihr Homeserver ist aus dem IPv4-Internet schlicht nicht erreichbar. Ein WireGuard-Tunnel, den Ihr Server nach außen aufbaut, gibt ihm eine öffentliche IPv4 von uns.

Auch ohne DS-Lite hilft der Tunnel. Ändert sich Ihre Adresse bei jeder Neueinwahl, zeigen DNS-Einträge nach jedem Wechsel kurz ins Leere, und jede neue Adresse verrät erneut, bei welchem Anbieter und in welcher Region Sie surfen. Mit dem Tunnel zeigt Ihr DNS-Eintrag dauerhaft auf unsere feste IP, egal welche Adresse Ihr Anschluss gerade hat.

Eine Grenze bleibt: Der Tunnel vergrößert nicht den Upload Ihres Anschlusses. Was Ihr Homeserver ausliefern kann, hängt weiter von Ihrer Leitung ab. Im Grundpreis sind 5 Mbit/s garantierte Bandbreite enthalten; darüber hinaus fließt Verkehr weiter, ist aber nicht für Sie reserviert. Brauchen Sie dauerhaft mehr, erhöhen Sie die garantierte Bandbreite im Rechner für 0,20 € pro Mbit/s.

Jede Kapselung kostet Platz im Paket. GRE braucht 24 Byte, VXLAN 50 Byte, WireGuard je nach IP-Version 60 bis 80 Byte. Bei einer üblichen MTU von 1500 Byte bleiben im Tunnel also 1476 Byte bei GRE, 1450 bei VXLAN und 1420 bis 1440 bei WireGuard. Mit MSS-Clamping übernehmen TCP-Verbindungen die kleinere Paketgröße automatisch; Dienste, die große UDP-Pakete ohne Fragmentierung senden, stimmen wir bei der Einrichtung mit Ihnen ab.

Der Tunnel fügt außerdem einen Umweg hinzu: Der Verkehr läuft über unseren Eintrittspunkt in Paris, bevor er Ihren Server erreicht. Wie stark sich das auswirkt, hängt von der Entfernung zwischen Ihrem Server und Paris ab. Bei Websites, APIs und den meisten Diensten fällt es nicht auf. Für kompetitive Gameserver, bei denen jede Millisekunde zählt, hosten Sie besser direkt bei uns.

Ein Punkt, den viele übersehen: War die echte IP Ihres Servers schon öffentlich bekannt, etwa aus alten DNS-Einträgen, kann ein Angreifer den Tunnel umgehen und die Maschine direkt angreifen. Lassen Sie öffentliche Dienste am Ursprungsserver deshalb nur noch über den Tunnel zu, sperren Sie die Ports nach außen, oder lassen Sie sich von Ihrem Anbieter eine neue Adresse geben.