--- title: "Dostrajanie ochrony Anty-DDoS za pomocą profilowania" description: "Przypisz swoim adresom IP profil ruchu sieciowego i poziom czułości, aby dostroić ochronę Anty-DDoS VAC" url: https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/anti-ddos-vac-profiling lang: pl lastUpdated: 2026-11-02 --- > For AI agents: the complete documentation index is available at https://docs.ovhcloud.com/pl/llms.txt, the full documentation bundle is available at https://docs.ovhcloud.com/pl/llms-full.txt. # Dostrajanie ochrony Anty-DDoS za pomocą profilowania **Ostrzeżenie:** Funkcja profilowania jest w fazie **beta**. Zakres funkcji, nazwy profili i limity mogą jeszcze nieznacznie się zmienić przed jej ogólnym udostępnieniem. ## Wprowadzenie Ochrona Anty-DDoS VAC domyślnie chroni każdą usługę OVHcloud, bez konfiguracji i bez dodatkowych kosztów. VAC jest kluczowym elementem [infrastruktury Anty-DDoS](https://www.ovhcloud.com/pl/security/anti-ddos/) OVHcloud: zestawu technologii stale rozwijanych przez OVHcloud, który filtruje ruch przychodzący tak, aby do Twojego serwera docierały wyłącznie prawidłowe pakiety. Wykrywanie opiera się na charakterystyce Twojego ruchu — liczbie pakietów na sekundę, rotacji połączeń, nagłych zmianach wolumenu lub znanych sygnaturach ruchu. Ogólne mechanizmy wykrywania sprawdzają się w przypadku większości chronionych aplikacji, ale nadal mogą błędnie interpretować niektóre bardziej specyficzne, choć prawidłowe, obciążenia robocze: intensywnie używany tunel WireGuard wygląda jak atak typu UDP flood, a nagłe skoki liczby odbiorców podczas wydarzeń na żywo wyglądają jak atak wolumetryczny. Funkcja profilowania pozwala precyzyjniej opisać takie usługi, zamiast obchodzić ochronę. Wybierz profil z katalogu, ustaw poziom czułości i przypisz swoje usługi. Jedna zmiana w polityce ponownie dostraja wszystkie przypisane do niej adresy. Jeśli Twoje obciążenie robocze się zmieni, zmień profil lub dostosuj czułość. **Z tego przewodnika dowiesz się, jak:** - rozpoznać, kiedy Twoje obciążenie robocze wymaga profilu. - aktywować profilowanie na swoim koncie i utworzyć politykę. - przypisać politykę do swoich adresów IP i zrozumieć jej status. - dostosować, wyłączyć lub usunąć politykę oraz ocenić jej efekt. ## Wymagania początkowe - Co najmniej jedna usługa OVHcloud z publicznym adresem IPv4. - Dostęp do „konsoli OVHcloud”. ## W praktyce **Spis treści:** - [Dlaczego ochrona może wymagać dostrojenia](#why) - [Jak działa profilowanie](#concepts) - [Krok 1 — Aktywacja profilowania](#activate) - [Krok 2 — Tworzenie polityki](#create) - [Krok 3 — Dodawanie adresów IP](#targets) - [Odczytywanie statusów](#statuses) - [Zarządzanie politykami](#manage) - [Monitorowanie efektu polityki](#monitoring) - [Ograniczenia](#limitations) - [Rozwiązywanie problemów](#troubleshooting) ### Dlaczego ochrona może wymagać dostrojenia Istnieją dwie główne sytuacje, w których warto dostroić ustawienia domyślne: | | Co się dzieje | Co obserwujesz | | --------------------------- | -------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------- | | **Wynik fałszywie dodatni** | Prawidłowy ruch zostaje uznany za atak i poddany mitygacji. | Zerwane sesje, przerwane tunele, odłączeni użytkownicy podczas szczytu ruchu, mimo że w rzeczywistości nie ma żadnego ataku. | | **Wynik fałszywie ujemny** | Ruch ataku nie jest wystarczająco agresywny, aby przekroczyć ogólne progi. | Pogorszenie działania usługi podczas ataku, który nigdy nie został w pełni poddany mitygacji. | Wyniki fałszywie dodatnie występują częściej, a większość z nich dotyczy kilku typów obciążeń roboczych: tuneli VPN, w których liczba pakietów UDP na sekundę jest wysoka; węzłów Blockchain/Solana, które korzystają z szerokich zakresów portów przy ciągłej rotacji peerów; transmisji strumieniowych na żywo i usług głosowych, narażonych na nagłe, choć prawidłowe, skoki liczby odbiorców; a także usług internetowych podczas premiery lub wyprzedaży. Utwórz politykę, jeśli występuje którakolwiek z poniższych sytuacji: - Prawidłowy ruch jest poddawany mitygacji, a Ty obchodzisz ten problem — wymuszając tryb TCP w VPN, obniżając MTU lub otwierając zgłoszenie serwisowe po każdym incydencie. - Przygotowujesz się na przewidywany skok ruchu, taki jak wydarzenie na żywo lub premiera produktu. - Uruchamiasz aplikację, której ruch jest z natury nietypowy, i wolisz zadeklarować to z wyprzedzeniem, zamiast czekać na pierwszy wynik fałszywie dodatni. - Atak został poddany mitygacji, ale niewystarczająco skutecznie, i chcesz, aby wykrywanie reagowało wcześniej. Jeśli żadna z tych sytuacji Cię nie dotyczy, nie musisz niczego zmieniać: Twoje usługi pozostają domyślnie chronione. ### Jak działa profilowanie Tworzysz **polityki**. Polityka łączy profil ruchu sieciowego z poziomem czułości i ma zastosowanie do publicznych adresów IPv4 lub bloków, które do niej dodasz. #### Profile ruchu sieciowego OVHcloud opracowuje i utrzymuje poszczególne profile ruchu sieciowego: podczas tworzenia polityki wybierz ten, który najlepiej odpowiada Twojemu obciążeniu roboczemu. | Profil ruchu sieciowego | Zastosowanie | | ------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | VPN - WireGuard | Serwery VPN WireGuard. | | VPN - OpenVPN | Serwery OpenVPN działające przez UDP, z TCP jako rozwiązaniem zapasowym. | | Game Server - Generic | Serwery gier korzystające zarówno z TCP, jak i z UDP. Ten profil, bardziej liberalny niż profile gier przeznaczone wyłącznie dla UDP lub wyłącznie dla TCP, zapewnia działanie wszystkich funkcji gry podczas ataku, na przykład pobierania plików przez TCP z serwera, którego ruch gry odbywa się poza tym przez UDP. | | Game Server - Generic UDP | Usługi gier oparte na UDP. Nadaje się również do ruchu TeamSpeak. | | Game Server - Generic TCP | Protokoły gier oparte na TCP. | | VoIP - TeamSpeak | Serwery TeamSpeak. Chroni również większość usług gier opartych na UDP. | | WebServer - Generic | Serwery WWW odbierające wyłącznie ruch HTTP i HTTPS na portach TCP 80 i 443. | | Generic - Proxied TCP | Serwery back-end, których front-end jest hostowany poza OVHcloud, na przykład przez zewnętrznego dostawcę CDN. Hosty, które w uprawniony sposób otwierają wiele połączeń z back-endem, są znacznie rzadziej oznaczane jako atakujące. | | Blockchain - Solana | Węzły Solana, których prawidłowy ruch może mieć bardzo duży wolumen. | | DNS - Server | Serwery DNS. Profil wykorzystuje charakterystyczne wzorce ruchu DNS, aby zablokować jak najwięcej ruchu ataku przy minimalnym wpływie na prawidłowe zapytania. | | Default | Ogólny profil oferujący kilka poziomów czułości. Użyj go, gdy żaden inny profil nie odpowiada Twojemu obciążeniu roboczemu. | **Ostrzeżenie:** Na serwerach Bare Metal Game zalecamy, aby nie łączyć profilowania, w szczególności profili Game Server (Generic, Generic UDP i Generic TCP), z adresami IP chronionymi regułą **Minecraft Java** [ochrony Anty-DDoS Game](https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/firewall-game-ddos.md). Może to obniżyć jakość ochrony jako całości. #### Jak uzyskać najlepsze wyniki z profilu Aby uzyskać najlepsze wyniki w przypadku niektórych profili: - **VPN - WireGuard:** uruchom WireGuard na jego domyślnym porcie, UDP 51820. Pozwala to uniknąć utraty prawidłowego ruchu podczas ataku. - **VPN - OpenVPN:** uruchom OpenVPN na jego domyślnych portach, UDP 1194 i TCP 443. Jeśli nie potrzebujesz zapasowego połączenia przez TCP, zablokuj ten ruch za pomocą [Edge Network Firewall](https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/firewall-network.md). - **WebServer - Generic:** nie używaj tego profilu, jeśli serwer odbiera również ruch UDP. Protokół QUIC (HTTP/3) nie jest jeszcze obsługiwany: ruch QUIC jest odrzucany podczas ataku. - **Generic - Proxied TCP:** wybierz ten profil zamiast WebServer - Generic, gdy przed serwerem WWW działającym w OVHcloud znajduje się zewnętrzny CDN lub reverse proxy hostowany poza OVHcloud. Serwer źródłowy otrzymuje wtedy wiele połączeń z niewielkiej puli adresów brzegowych CDN, a ten profil uwzględnia ten wzorzec, zamiast oznaczać te adresy jako atakujące. - **Blockchain - Solana:** podczas ataku mitygacja jest prowadzona tak, aby nie zakłócać prawidłowego ruchu Solana. Ceną za to jest możliwość przedostania się do serwera większej ilości złośliwego ruchu w przypadku silnie ukierunkowanych ataków. #### Czułość Czułość określa, w którym miejscu polityka znajduje się między nadmierną a niewystarczającą mitygacją. Dostępne poziomy zależą od profilu. | Czułość | Efekt | Kiedy ją wybrać | | -------- | ----------------------------------------------------------------------------------- | ----------------------------------------------------------------------------- | | `Low` | Mniej wyników fałszywie dodatnich: największa tolerancja na prawidłowe skoki ruchu. | Dostępność podczas szczytów ruchu jest ważniejsza niż dokładność filtrowania. | | `Medium` | Zrównoważone wykrywanie. Zalecany punkt wyjścia. | Przypisujesz profil po raz pierwszy. | | `High` | Mniej wyników fałszywie ujemnych: najbardziej agresywne filtrowanie. | Ataki przedostają się przez ochronę. | #### Jedna polityka na adres IP Adres IP może być objęty tylko jedną polityką. Jeśli blok jest przypisany do jednej polityki, a adres z tego bloku do innej, pierwszeństwo ma najbardziej szczegółowy wpis. Na przykład jeśli blok `203.0.113.0/24` jest przypisany do polityki WebServer - Generic, a adres `203.0.113.10` do polityki VPN - WireGuard, to `203.0.113.10` korzysta z polityki VPN - WireGuard, a pozostała część bloku z polityki WebServer - Generic. Ustawienia polityki są zachowywane dla adresu Additional IP, gdy przenosisz go między swoimi usługami. Są one resetowane tylko wtedy, gdy adres zmienia właściciela lub gdy jego usługa zostaje zakończona. ### Krok 1 — Aktywacja profilowania Aktywacja jest wymagana tylko raz dla każdego konta. 1. Zaloguj się do „konsoli OVHcloud”. 2. W fazie beta kliknij „Odkryj konsolę >BETA\_” w prawym górnym rogu. 3. W menu bocznym przejdź do sekcji „Bezpieczeństwo” > „Anti-DDoS”, a następnie otwórz kartę „Profiling”. 4. Kliknij „Activate profiling”. Postępuj zgodnie z wyświetlonymi instrukcjami, jeśli się pojawią, aby dokończyć aktywację. Nie jest pobierana żadna opłata. Po zakończeniu aktywacji karta `Profiling ` wyświetla listę zdefiniowanych przez Ciebie polityk. Aktywacja profilowania nie zmienia ustawień ochrony żadnego adresu IP, dopóki nie dodasz go do polityki. ### Krok 2 — Tworzenie polityki 1. Na karcie „Profiling” kliknij „Create a policy”. 2. W polu `Name` wpisz nazwę identyfikującą obciążenie robocze, na przykład `vpn-concentrators`. 3. Na liście `Network traffic profile` wybierz profil odpowiadający Twojemu obciążeniu roboczemu. Jego opis wyświetla się pod listą. 4. Ustaw wartość w polu `Sensitivity`. Zacznij od `Medium`, chyba że już wiesz, w którą stronę należy dostosować ochronę. 5. Kliknij „Create policy”. Adresy IP dodajesz po utworzeniu polityki. Do tego czasu polityka ma status **Not configured**: nie ma jeszcze zastosowania do żadnego adresu. ### Krok 3 — Dodawanie adresów IP 1. Na liście polityk kliknij nazwę polityki lub kliknij przycisk „...” na końcu jej wiersza, a następnie „Edit”. 2. W sekcji `Targets` panelu `Edit policy` kliknij pole `Add an IP…`. Lista zawiera bloki IP i pojedyncze adresy IP dostępne na Twoim koncie. Wpisz początek adresu, aby przefiltrować listę. 3. Wybierz adres lub cały blok. Jeśli Twoje serwery znajdują się w ciągłym bloku, dodaj blok zamiast poszczególnych adresów. 4. Po wybraniu bloku IP możesz zmodyfikować wybór w polu wprowadzania: zamiast całego bloku wpisz jedną z jego podsieci lub pojedynczy adres IP z tego bloku. 5. Powtórz te czynności dla każdego adresu lub bloku, a następnie kliknij „Save changes”. Wyświetli się komunikat potwierdzający. Od tej chwili ochrona Anty-DDoS VAC tego adresu jest zgodna z profilem i czułością polityki, a nie z ustawieniami ogólnymi. Zmiana odbywa się w tle: do momentu jej zastosowania adres jest oznaczony jako **Pending**, a następnie oznaczenie znika. Jeśli dodawany adres ma już starsze ustawienia Anty-DDoS, które nie zostały skonfigurowane przez politykę, na przykład niestandardowe ustawienia zastosowane przez zespoły pomocy technicznej OVHcloud, podczas zapisywania otworzy się okno `Legacy Anti-DDoS settings detected` . Aby mimo to zastosować politykę, zaznacz pole `I understand `, a następnie kliknij `Overwrite and save `. W ten sposób przejmujesz kontrolę nad ustawieniami ochrony adresu IP i możesz je zmieniać, korzystając z najnowszych opcji profilowania. **Ostrzeżenie:** Nadpisanie starszych ustawień jest nieodwracalne: nie można ich już przywrócić. Jeśli później wyłączysz politykę, adres powróci do domyślnej ochrony Anty-DDoS VAC, a nie do poprzednich ustawień. ### Odczytywanie statusów Lista polityk pokazuje dla każdej polityki jej profil ruchu sieciowego, czułość, liczbę adresów IP, ostatni wykryty atak i status. Możesz ją filtrować według profilu, czułości i statusu. | Miejsce | Status | Znaczenie | | ---------------- | -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------- | | Lista polityk | **Active** | Polityka włączona, z co najmniej jednym adresem IP. Ochrona jest dostrojona. | | Lista polityk | **Not configured** | Polityka włączona, ale jeszcze bez adresu IP. Dodaj cel. | | Lista polityk | **Disabled** | Polityka wyłączona. Do jej adresów, które pozostają do niej przypisane, ma zastosowanie domyślna ochrona Anty-DDoS VAC. | | Lista polityk | Ikona ostrzeżenia obok `Number of IPs` | Niektóre adresy polityki są wciąż w trakcie stosowania lub usuwania (**Pending** lub **Deleting**). | | Sekcja `Targets` | Brak oznaczenia | Adres jest chroniony przez politykę. | | Sekcja `Targets` | **Pending** | Adres jest synchronizowany z systemem profilowania. Może to potrwać kilka minut. | | Sekcja `Targets` | **Deleting** | Adres jest usuwany z polityki. | ### Zarządzanie politykami Każda polityka ma przycisk akcji (`... `) na końcu swojego wiersza na liście polityk, z następującymi opcjami: | Akcja | Sposób | Efekt | | --------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Zmiana profilu lub czułości | „Edit”, następnie zmień `Network traffic profile` lub `Sensitivity` i kliknij „Save changes”. | Dotyczy jednocześnie wszystkich adresów polityki. Zmieniaj czułość o jeden poziom naraz i obserwuj efekt przed kolejną zmianą. | | Wyłączenie polityki | „Disable”, następnie potwierdź. | Adresy wracają do domyślnej ochrony Anty-DDoS VAC. Pozostają przypisane, a politykę można ponownie włączyć w dowolnym momencie. Korzystaj z tej opcji podczas rozwiązywania problemów, aby potwierdzić lub wykluczyć wpływ profilu, zamiast usuwać politykę. | | Włączenie polityki | „Enable” dla wyłączonej polityki. | Profil jest ponownie stosowany do przypisanych adresów. | | Przeniesienie adresu | „Edit”, usuń adres z sekcji `Targets` jednej polityki i zapisz, a następnie dodaj go do innej. | Adres może należeć tylko do jednej polityki. | | Usunięcie polityki | „Delete”, następnie potwierdź. | Usuwa politykę i wszystkie jej cele. Jej adresy wracają do ochrony domyślnej. Tej operacji nie można cofnąć. | ### Monitorowanie efektu polityki Polityka zmienia to, który ruch jest poddawany mitygacji, dlatego oceniaj ją, porównując aktywność mitygacji przed jej zastosowaniem i po nim. W konsoli OVHcloud (w fazie beta otwórz ją za pomocą przycisku `Odkryj konsolę >BETA_ ` w prawym górnym rogu) przejdź do sekcji `Bezpieczeństwo ` > `Anti-DDoS `. Karta `Dashboard ` zawiera listę ataków wykrytych na Twoich adresach, a w trakcie zdarzeń wykrywania karta `Ruch ` pokazuje prawidłowy ruch wybranego adresu oraz ruch przefiltrowany podczas ataków poddanych mitygacji. Skuteczna polityka filtruje mniej ruchu podczas szczytów prawidłowego ruchu i nie mniej podczas rzeczywistych ataków. Więcej informacji na temat ataków wykrytych na Twoich usługach znajdziesz w przewodniku [Monitorowanie ataków DDoS za pomocą panelu Anti-DDoS](https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/network-security-dashboard.md) . Jeśli profil nie działa zgodnie z oczekiwaniami, poinformuj nas o tym za pomocą linku `Do you like it? ` u góry strony Profiling. W fazie beta to właśnie dzięki tym opiniom katalog jest ulepszany. ### Ograniczenia | Ograniczenie | Szczegóły | | ------------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Polityki | 20 na konto. | | Region administracyjny (wczesna faza beta) | Polityka może chronić wyłącznie adresy IP znajdujące się w tym samym regionie administracyjnym co Twoja usługa ochrony Anty-DDoS VAC — **Europa** lub **Kanada i APAC**. Dodawanie prefiksu należącego do drugiego regionu nie jest jeszcze obsługiwane. | | Typy celów | Wyłącznie adresy IPv4 i bloki IPv4. Obsługa IPv6 zostanie dodana później. | | Public Cloud | Adresy Floating IP, w tym używane przez Managed Kubernetes, można dodawać pojedynczo. Polityka nie może jeszcze obejmować całego zasobu projektu Public Cloud. | ### Rozwiązywanie problemów | Problem | Możliwa przyczyna | Rozwiązanie | | --------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Prawidłowy ruch jest nadal odrzucany | Czułość jest zbyt wysoka lub profil nie odpowiada obciążeniu roboczemu. | Obniż czułość o jeden poziom i obserwuj efekt. Jeśli problem nie ustępuje przy poziomie `Low`, profil jest najprawdopodobniej niewłaściwy: wypróbuj inny i zgłoś to za pomocą linku do przesyłania opinii. | | Atak nie został w pełni poddany mitygacji | Czułość jest zbyt niska. | Podnieś czułość o jeden poziom i porównaj przefiltrowany ruch przed zmianą i po niej. | | Adres pozostaje w statusie **Pending** lub **Deleting** | Zmiana nie została jeszcze w pełni zastosowana. | Odczekaj kilka minut i odśwież stronę. Jeśli status się nie zmieni, [skontaktuj się z pomocą techniczną](https://www.ovhcloud.com/pl/support-levels/), podając nazwę polityki i adres. | | Dodanie adresu IP zwraca błąd, taki jak `Prefix 192.0.2.0/24 is in region EU. Your VAC service is in region CA and can only protect CA prefixes for now.` | We wczesnej fazie beta Twoja usługa może chronić wyłącznie prefiksy z własnego regionu administracyjnego (Europa lub Kanada i APAC). | Dodaj adres IP należący do tego samego regionu co Twoja usługa. To ograniczenie zostanie zniesione w trakcie fazy beta. | | Ruch jest odrzucany, mimo że adres należy do odpowiedniej polityki | Może go filtrować inna warstwa ochrony, taka jak Edge Network Firewall lub firewall na poziomie aplikacji. Polityka nie ma pierwszeństwa przed tymi warstwami. | Sprawdź reguły [Edge Network Firewall](https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/firewall-network.md) lub specyficzne filtrowanie na poziomie aplikacji. | Jeśli profil jest zastosowany, a problem nie ustępuje, przechwycenie ruchu (pcap) z przepływów, których dotyczy problem, pomoże zespołowi pomocy technicznej go przeanalizować. ## Sprawdź również [Monitorowanie ataków DDoS za pomocą panelu Anti-DDoS](https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/network-security-dashboard.md) [Aktywacja i konfiguracja Edge Network Firewall](https://docs.ovhcloud.com/pl/guides/bare-metal-cloud/dedicated-servers/firewall-network.md) Dołącz do [grona naszych użytkowników](https://community.ovhcloud.com/).