DDoS-Schutz für Gameserver und UDP-Dienste: Ein praktischer Abnahmecheck

Ein Gameserver kann auf einen einfachen Erreichbarkeitstest antworten, während Spieler nicht beitreten können. Bei Sprach- und anderen Echtzeitdiensten kann eine Sitzung bestehen bleiben und trotzdem kaum nutzbar sein. Die Abnahme von DDoS-Schutz sollte deshalb die tatsächlichen Nutzerabläufe prüfen.

UDP erklärt noch nicht das Verhalten der Anwendung

UDP übernimmt selbst weder zuverlässige Zustellung noch die richtige Reihenfolge der Nachrichten. Benötigt eine Anwendung solche Eigenschaften, muss sie geeignete Mechanismen darüber bereitstellen. RFC 8085 erläutert diese Aufgaben sowie den Umgang mit Paketgrößen und Netzüberlastung. Zwei Dienste über UDP können sich dadurch im Betrieb deutlich unterscheiden.

RFC 8085: Leitlinien für Anwendungen über UDP

Für die Planung genügt daher die Angabe eines Ports nicht. Beschreiben Sie, wie eine Sitzung beginnt, welche weiteren Systeme beteiligt sind und was bei einer kurzen Unterbrechung geschieht. Ein Spiel kann beispielsweise vom Anmeldedienst erreichbar sein, aber beim Wechsel auf einen Spielserver scheitern. Dieser Übergang gehört in den Test.

Ein Dienstblatt als gemeinsame Grundlage

• Anwendung und Version: welche Spiele, Sprachdienste oder eigenen Protokolle eingesetzt werden.
• Erreichbare Endpunkte: IP-Adressen oder Präfixe, Transportprotokolle und benötigte Ports.
• Nutzerprofil: wichtige Regionen, übliche Spitzenzeiten und erwartete gleichzeitige Sitzungen.
• Abhängigkeiten: Anmeldung, Serverliste, Matchmaking, Sprachkanäle oder andere Dienste, die für den Nutzerablauf nötig sind.
• Betrieb: verantwortliche Kontaktperson, geplante Änderungen und vorhandene Beobachtungen aus früheren Störungen.

Fehlende Messwerte müssen die erste Beratung nicht verhindern. Kennzeichnen Sie Schätzungen und beschreiben Sie einen typischen Nutzungstag. Für kaufmännische Entscheider ergänzt ein Satz die Technik: Welcher Teil des Angebots wäre bei einer Störung nicht nutzbar, und welche Kunden wären betroffen?

Diese Abläufe gehören in die Abnahme

1. 1Neue Sitzung: Eine Person ohne bestehende Verbindung findet den Dienst, meldet sich an und startet die Nutzung.
2. 2Laufende Sitzung: Bereits verbundene Nutzer führen eine repräsentative Aktion aus; Abbrüche und Verzögerungen werden festgehalten.
3. 3Wiederverbindung: Nach einer normalen kurzen Unterbrechung kann der Client zurückkehren, ohne manuelle Freischaltung.
4. 4Gemeinsamer Internetzugang: Mehrere berechtigte Nutzer hinter derselben öffentlichen Adresse können gleichzeitig teilnehmen.
5. 5Relevante Varianten: Die tatsächlich angebotenen IP-Versionen, Clientversionen und Nutzerregionen werden berücksichtigt.

Diese Liste ist ein Vorschlag für funktionale Prüffälle, kein Nachweis einer bestimmten Filtertechnik. Sie hilft auch, Fehlalarme zu erkennen: Ein legitimer Nutzer wird abgewiesen, obwohl sein Ablauf im vereinbarten Nutzungsprofil liegt.

Vergleichen Sie mit einem nachvollziehbaren Normalbetrieb

Erfassen Sie vor Änderungen dieselben Abläufe unter normalen Bedingungen. Dokumentieren Sie den Ort des Testclients, Zeitpunkt, Clientversion, erfolgreiche Versuche und Fehler. Für jede spätere Wiederholung müssen diese Angaben wieder verfügbar sein. Andernfalls kann eine Veränderung des Heimnetzes oder der Anwendung fälschlich dem Schutzdienst zugeschrieben werden.

Bei Echtzeitdiensten sind Paketverlust und schwankende Verzögerung oft zusätzlich zur mittleren Antwortzeit relevant. Der Begriff Jitter wird für unterschiedliche Berechnungen verwendet. Halten Sie deshalb das verwendete Messverfahren fest, bevor Sie Zahlen vergleichen; RFC 5481 erläutert diese Unterschiede.

RFC 5481: Verzögerungsschwankungen und ihre Messung

Eine Abnahme braucht vorher vereinbarte Grenzen

Legen Sie pro Ablauf fest, welches Ergebnis akzeptabel ist, wer es prüft und wann eine Wiederholung nötig wird. Ein schlichtes Protokoll mit Testfall, Umgebung, Ergebnis und Entscheidung reicht als Ausgangspunkt. Vermeiden Sie ein pauschales bestanden, wenn nur ein Client oder ausschließlich eine laufende Sitzung beobachtet wurde.

Das Ergebnis sollte eine kurze Liste freigegebener Nutzerabläufe und offener Punkte sein. Nutzen Sie dieses Dienstblatt auch für das Gespräch mit AS51202. Die passende Schutzstufe und der vereinbarte Umfang werden anhand Ihres Anwendungsfalls besprochen.