Сканеры и DDoS бьют не по серверу — они бьют по вашей связке

Сканеры и DDoS бьют не по серверу — они бьют по вашей связке

Если лендинг, трекер и клоака торчат в интернет как один голый VPS, это не инфраструктура, а приглашение на стресс-тест. Первый слой защиты — разделение ролей: публично доступен только edge, админки и API живут за VPN, SSH закрыт по ключам и allowlist. В инфраструктуре нет мелочей, есть только точки отказа.

Базовый контур:
— CDN/WAF перед лендами и прелендами;
— rate limit на URL, где нет смысла принимать тысячи запросов;
— отдельный origin без прямого доступа по IP;
— firewall по странам и ASN, если гео кампании ограничено;
— логирование 4xx/5xx и всплесков по User-Agent.

От сканирования помогает не «секретный порт», а скучная гигиена: отключить лишние сервисы, убрать дефолтные страницы, не светить панели трекера, закрыть directory listing, обновлять образы и плагины. Баннеры серверов лучше чистить: чем меньше fingerprint, тем дольше вас будут классифицировать.

Для DDoS важны лимиты и запас по архитектуре: кэшировать статику на краю, тяжелые формы выносить за очередь, базу не открывать наружу, бэкапы держать отдельно. Если атака проходит до origin, значит edge настроен декоративно.

Финальный тест простой: с внешней машины попробуйте найти все входы в систему. Всё, что не нужно покупателю трафика, должно быть невидимым. Стабильность — это фундамент вашего ROI.