Auf dieser Seite
Das Wichtigste
- UDP liefert wenig KontextUDP ist schnell, bietet aber weniger Verbindungssignale als TCP. Filterung muss präzise sein.
- Volumen trifft vor der AppWenn Link oder Port gesättigt sind, helfen Regeln auf dem Ursprungsserver nicht mehr.
- UDP pauschal blockieren ist riskantGaming, VoIP, DNS, Tunnel und Echtzeitdienste können UDP benötigen.
Problemdefinition: warum ein UDP-Flood kein normaler Traffic-Peak ist
Ein UDP-Flood sendet große Mengen UDP-Pakete an ein Ziel. Da UDP keine etablierte Sitzung wie TCP nutzt, müssen Netzwerkgeräte mit weniger Signalen entscheiden. Traffic kann legitim aussehen, wenn der Dienst UDP verwendet, oder klar bösartig, wenn Ports, Größen, TTL oder Raten nicht passen.
Das eigentliche Ziel ist oft nicht der Server. Häufig werden zuerst Transit-Port, Cross-Connect, Router, Firewall, Scrubbing-Kapazität, PPS oder Buffer angegriffen. Der Server kann gesund sein und trotzdem unerreichbar werden, weil sauberer Traffic nicht mehr ankommt.
Moderne UDP-Floods sind oft Multi-Vektor: zufälliger UDP-Lärm, amplifizierter Traffic und Pakete, die ein Spielprotokoll imitieren. Deshalb reichen Gbps nicht aus; wichtig sind PPS, Ports, Paketlängen, Quellen, Verlust, Symmetrie und erzeugte Antworten.
- Direkter Flood
- Viele UDP-Pakete werden direkt an Ziel-IP oder Ziel-Port gesendet.
- Reflexion/Amplification
- Falsch konfigurierte Drittdienste senden verstärkten Traffic an das Opfer.
- Protokollmissbrauch
- Traffic versucht wie Gaming, VoIP, DNS, VPN oder ein echter UDP-Dienst auszusehen.
Warum das für Verfügbarkeit und Vertrieb wichtig ist
Für Nutzer ist ein UDP-Flood kein Diagramm, sondern ein unerreichbarer Server, getrennte Spieler, abgehackte Sprache oder Timeouts. Wenige Minuten reichen, um Vertrauen und Umsatz zu verlieren.
Wer Online-Sichtbarkeit, LinkedIn oder Vertrieb nutzt, braucht Verfügbarkeit als Conversion-Faktor. Ein Interessent sieht im Ausfall keinen DDoS, sondern einen Anbieter, der nicht antwortet.
UDP macht die Verteidigung schwieriger, weil viele latenzkritische Dienste grobe Filterung nicht tolerieren. Gute Mitigation muss Kapazität, Präzision und niedrige Latenz gleichzeitig erhalten.
| Signal | Schlechte Reaktion | Richtige Priorität |
|---|---|---|
| Port ist voll | Lokale Serverregel hinzufügen | Vor Sättigung upstream filtern |
| PPS explodiert | Nur Gbps betrachten | PPS, Größen, Ports und Muster messen |
| UDP ist erforderlich | Alles UDP blockieren | Nach Protokoll, Quelle, Rate und Kontext filtern |
| Dienst bleibt langsam | Volumenabfall als gelöst ansehen | Latenz, Verlust, MTU, False Positives und Handoff prüfen |
Mögliche Lösungen für UDP-Flood-Mitigation
Die erste Lösung ist Upstream-Schutz. Wenn der Angriff den Kundenlink sättigen kann, muss Filterung davor stattfinden: geschützter IP-Transit, Netzwerk-Scrubbing oder L3/L4-Regeln weit genug oben im Pfad.
Die zweite Lösung ist sauberer Handoff. Nach der Reduktion des Lärms muss nützlicher Traffic per BGP, GRE, IPIP, VXLAN, Cross-Connect oder Router-VM zurück. Schlechter Handoff erzeugt Verlust, MTU-Probleme, Asymmetrie oder unnötige Latenz.
Die dritte Lösung ist spezialisierte Logik. Für Gaming, VoIP oder UDP-Anwendungen muss man manchmal mehr als den Port verstehen: Join-Phase, normale Rate pro Client, Bots und verdächtige Muster. Diese Ebene ergänzt den Upstream-Schutz.
- Geschützter IP-Transit
- Für Netze, Hoster und Unternehmen, die Präfixe mit BGP und Upstream-Kapazität schützen.
- Saubere Tunnel
- GRE, IPIP oder VXLAN liefern gefilterten Traffic an bestehende Infrastruktur.
- Cross-Connect
- Stabiler kapazitiver Handoff bei passender physischer Interconnection.
- Gaming-Reverse-Proxy
- Nützlich, wenn Protokollverhalten und spielerähnlicher Traffic relevant sind.
- Peeryx geschützter IP-Transit
Präfixe schützen und sauberen Traffic per BGP, Tunnel oder Cross-Connect liefern.
- Peeryx Gaming-Schutz
Für FiveM, Minecraft und UDP- oder applikative Angriffe auf Spieldienste.
Nützliche Mitigation beginnt mit Diagnose, nicht mit generischer Sperre
Zuerst muss der erste Bruchpunkt gefunden werden: Link, Firewall, CPU, Anwendung oder Protokoll. Ist der Transit gesättigt, ist die Antwort netzwerkseitig. Kommt Traffic an und der Dienst fällt trotzdem aus, muss tiefer analysiert werden.
So vermeidet man vage Kapazitätsversprechen und zu breite Regeln, die zwar Diagramme beruhigen, aber den Dienst beschädigen. Ziel ist nicht, UDP verschwinden zu lassen, sondern legitimen UDP passieren zu lassen.
Messen
Gbps, PPS, Ports, Größen, Quellen, Verlust, Latenz und Sättigungspunkt.
Reduzieren
Offensichtlichen Lärm filtern, bevor Kundenlink oder Firewall erschöpft sind.
Liefern
Handoff wählen, der MTU, Latenz und Sichtbarkeit erhält.
Verfeinern
Protokoll- oder Gaming-Logik ergänzen, wenn Traffic legitim wirkt.
Konkretes Beispiel: Gameserver oder Kundennetz unter UDP-Flood
Ein öffentlicher Gameserver empfängt viel legitimes UDP. Während des Angriffs würde ein pauschaler UDP-Block das Spiel abschalten. Eine lokale Firewall hält kurz, sättigt dann in PPS oder CPU.
In einem sauberen Modell landet IP oder Präfix zuerst auf einer geschützten Ebene. Nicht genutzte Ports, inkonsistente Größen, Quellen über Schwellen und unpassende Muster werden entfernt. Der Rest wird per Tunnel oder dediziertem Handoff geliefert.
Für Hoster und Unternehmen ermöglicht geschützter IP-Transit die Ankündigung von Präfixen und Routingkontrolle, während Tunnel oder Cross-Connects sauberen Traffic intern übergeben.
Häufige Fehler
Der erste Fehler ist, nur Gbps zu betrachten. Viele gefährliche UDP-Floods sind PPS-Angriffe und erschöpfen Firewall, NIC, CPU oder Queues.
Der zweite Fehler ist zu spätes Filtern. Eine lokale Regel hilft nicht, wenn der Pfad vor dem Server gesättigt ist. Der dritte Fehler sind False Positives durch zu einfache Regeln.
Der letzte Fehler ist ein vernachlässigter Rückweg: zu kleiner Tunnel, kaputte MTU, unkontrollierte Asymmetrie oder fehlende Logs. Schutz muss vor dem Vorfall getestet werden.
- Gbps und PPS nicht verwechseln.
- Nicht die gesamte Verteidigung auf den Origin legen.
- UDP nicht pauschal blockieren, wenn der Dienst es braucht.
- MTU und sauberen Handoff nicht vergessen.
- Keinen Schutz kaufen, ohne den Filterpunkt zu kennen.
FAQ zur UDP-Flood-Mitigation
Ist ein UDP-Flood immer volumetrisch?
Oft, aber er kann auch PPS, Firewall oder Protokolllogik sättigen.
Kann ich UDP einfach blockieren?
Nur wenn der Dienst UDP nicht nutzt. Gaming, VoIP, DNS, VPN und Echtzeitdienste können sonst brechen.
Hilft geschützter IP-Transit?
Ja, wenn er vor Sättigung des Kundenlinks filtert und sauberen Traffic per BGP, Tunnel oder Cross-Connect liefert.
Ändern GRE, IPIP oder VXLAN die Mitigation?
Sie beeinflussen vor allem die Lieferung des sauberen Traffics und hängen von Topologie, MTU und Routing ab.
Ist zusätzlicher Gaming-Schutz sinnvoll?
Ja, wenn der verbleibende UDP-Traffic wie echte Spieler aussieht und Protokollkontext benötigt.
