Un ataque de denegación de servicio no es sutil. El objetivo no es entrar, sino ahogar tu servidor con tanta basura que los visitantes reales no logren pasar. En el momento en que tu VDS recibe una IP pública, se suma a una lista que las herramientas automatizadas sondean constantemente, y tarde o temprano algo le arrojará tráfico. Lo tranquilizador: la mayor parte de ese tráfico nunca llega a tu servidor, porque lo filtramos aguas arriba antes de que toque tu máquina. Este artículo explica exactamente qué cubre el “hasta 10 Gbps”, qué hace por sí sola la mitigación base y dónde todavía debes poner de tu parte.
La protección DDoS y un cortafuegos resuelven problemas distintos. El cortafuegos decide *qué* tiene permitido conectarse; la mitigación DDoS decide *cuánto* tráfico es lo suficientemente legítimo como para reenviarlo. Conviene tener ambos.
Las tres familias de ataques DDoS
Casi todos los ataques que verás caen en uno de tres grupos, y cada uno hace fallar tu servidor de una manera diferente.
Las inundaciones volumétricas son el extremo de fuerza bruta del espectro. El atacante simplemente envía más bits por segundo de los que tu enlace puede transportar: inundaciones UDP, reflexión amplificada de DNS o NTP, ese tipo de cosas. Tu servidor podría estar perfectamente sano, pero la tubería que llega a él está llena, así que nada legítimo logra entrar. Esto es lo que la gente suele imaginar, y se mide en gigabits por segundo.
Los ataques de protocolo y de agotamiento de estado son más astutos. En lugar de inundar el ancho de banda, agotan un recurso cuyo seguimiento es costoso. Una clásica inundación SYN abre miles de conexiones TCP a medio terminar, llenando la tabla que el kernel usa para recordarlas. El volumen de tráfico puede ser modesto, pero el servidor se queda sin espacios de conexión y deja de responder a todos.
Los ataques a la capa de aplicación (capa 7) parecen usuarios reales. Envían solicitudes HTTP válidas por miles a tus endpoints más lentos: una consulta de búsqueda, un formulario de inicio de sesión, una página que exige mucho a la base de datos. Cada solicitud es legítima por sí sola, así que desde el punto de vista de la red no hay nada raro. Es tu aplicación la que cede.
Los ataques volumétricos llenan la tubería, los ataques de protocolo llenan la tabla y los ataques de aplicación llenan tu CPU. Problemas distintos, defensas distintas.
Qué significa realmente “hasta 10 Gbps”
La cifra de 10 Gbps es la capacidad de nuestra capa de depuración (scrubbing) aguas arriba para absorber y filtrar el tráfico de ataque entrante hacia tu servidor: el tamaño de inundación que podemos absorber y limpiar antes de que llegue a ti. No es la velocidad de tu VDS, ni es una promesa de que cualquier ataque vaya a tener exactamente ese tamaño.
Cuando llega una inundación, el tráfico destinado a tu IP se inspecciona en el borde de la red. La basura evidente —fuentes falsificadas, paquetes malformados, firmas de reflexión conocidas, inundaciones que no coinciden con ninguna sesión real— se descarta allí. Lo que queda, el tráfico limpio, se reenvía a tu servidor. Desde dentro del VDS, un ataque volumétrico de varios gigabits a menudo parece que no hubiera pasado nada.
Este nivel base está incluido en cada VDS sin costo adicional. Si tu carga de trabajo atrae habitualmente ataques mayores de lo que el nivel base puede absorber, hay niveles superiores disponibles a pedido.
Qué filtra el nivel base automáticamente
La depuración aguas arriba maneja bien las dos primeras familias, porque ambas son visibles en las capas de red y de transporte:
- Inundaciones volumétricas — absorbidas y descartadas en el borde, hasta la capacidad del nivel, de modo que tu enlace sigue utilizable.
- Ataques de protocolo / agotamiento de estado — las inundaciones SYN, las inundaciones ACK, los trucos de fragmentación y la reflexión se reconocen por patrón y se filtran antes de que lleguen a tu tabla de conexiones.
No configuras nada de esto, y no hay ningún agente que instalar. Funciona delante de tu IP de forma continua.
Nota. El nivel base es genuinamente automático para las inundaciones volumétricas y de protocolo, pero no puede leer tu aplicación. Los ataques de capa 7 que envían solicitudes de apariencia válida pasarán directo hasta tu servidor. Esos te toca manejarlos a ti.
Los límites, dichos con claridad
Dos advertencias honestas.
Primero, la capacidad de depuración es finita. “Hasta 10 Gbps” significa que las inundaciones que superen esa cifra aún pueden saturar el enlace. Si eres un blanco probable —videojuegos, cripto, un sitio de alto perfil—, avísanos y dimensionaremos un nivel superior antes de que lo necesites.
Segundo, y más importante para la mayoría: los ataques a la capa de aplicación requieren defensas a nivel de aplicación. Como el tráfico de capa 7 es indistinguible de los usuarios reales en el borde de la red, ninguna cantidad de depuración aguas arriba arregla un endpoint de inicio de sesión que está siendo machacado. Esa defensa tiene que vivir donde se entienden las solicitudes: en tu aplicación y delante de ella.
Qué deberías seguir haciendo tú mismo
Trata el nivel base como tu muro exterior y luego construye los interiores:
- Limita la tasa (rate limiting) de los endpoints costosos y de autenticación. Un simple límite por IP impide que una sola fuente monopolice tu servidor.
- Cachea de forma agresiva. Las respuestas estáticas y cacheables servidas desde caché cuestan casi nada bajo carga.
- Pon un WAF / CDN delante de las aplicaciones web públicas para filtrar patrones de bots y absorber los picos de solicitudes más cerca del visitante.
- Configura tiempos de espera razonables. No dejes que las conexiones lentas o estancadas retengan recursos indefinidamente.
Una limitación de tasa mínima en nginx cubre una cantidad sorprendente de terreno:
# 10 solicitudes/seg por IP de cliente, se permite una pequeña ráfaga
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
server {
location /login {
limit_req zone=api burst=20 nodelay;
}
}# recargar después de editar # nginx -t && systemctl reload nginx
La red mantiene las inundaciones fuera de tu tubería; la limitación de tasa, el caché y un WAF mantienen las solicitudes astutas fuera de tu CPU. Entre los dos, la inmensa mayoría de los intentos de denegación de servicio simplemente dejan de ser tu problema. Y si aparece algo más grande, el soporte humano 24/7 está a un mensaje de distancia, respaldado por un SLA del 99,999 %, para que la protección esté ahí cuando realmente la necesites.
