Sur cette page
À retenir
- UDP est utile mais exposéUn UDP flood envoie de gros volumes ou un très grand nombre de paquets UDP vers une cible.
- Filtrer avant la saturationPour le gaming et les services temps réel, UDP n’est pas optionnel.
- Préserver le trafic temps réel légitimeDes rate limits locaux peuvent aider contre un abus faible, mais ils ne résolvent pas la saturation en amont.
Définition du problème
Un UDP flood envoie de gros volumes ou un très grand nombre de paquets UDP vers une cible. Comme UDP est sans connexion, le serveur ou le firewall ne peut pas s’appuyer sur un handshake pour distinguer facilement les vrais utilisateurs.
L’attaque peut être volumétrique, haute PPS ou imiter un protocole. Certaines attaques utilisent des ports aléatoires ; d’autres ressemblent à une requête de jeu, une charge voix ou des petits paquets répétés qui saturent les files et le CPU.
Pourquoi la protection UDP flood compte
Pour le gaming et les services temps réel, UDP n’est pas optionnel. Bloquer UDP globalement peut garder la machine allumée, mais ruiner l’expérience : timeout, rubber-banding, statut serveur manquant ou connexion impossible.
Pour les clients VPS, serveurs dédiés et transit protégé, le risque est aussi le dommage collatéral. Une seule attaque UDP peut saturer un uplink partagé, stresser les routeurs ou déclencher des règles qui impactent d’autres services.
Les solutions possibles
Des rate limits locaux peuvent aider contre un abus faible, mais ils ne résolvent pas la saturation en amont. Les firewalls cloud et protections génériques ont souvent du mal quand le service légitime utilise un UDP irrégulier.
Le transit IP protégé, la livraison GRE/IPIP/VXLAN, le serveur dédié protégé et le reverse proxy gaming sont plus adaptés quand l’exposition est publique et sensible à la latence. Le choix dépend du contrôle BGP, du besoin serveur ou du besoin proxy managé.
- la protection UDP flood doit distinguer bruit volumétrique, protocole métier et trafic légitime sensible à la latence.
Cas concret
Un serveur FiveM reçoit un UDP flood ressemblant à des requêtes répétées et des payloads aléatoires. Un hébergeur générique peut limiter trop fort et bloquer les vrais joueurs. Un chemin spécialisé filtre les taux anormaux, les formes invalides et les patterns de destination tout en conservant les tentatives légitimes.
Pour une entreprise avec une application UDP, le transit protégé peut retirer le flood en amont et remettre un trafic plus propre au routeur client, sans décision d’urgence de blackhole.
Erreurs fréquentes
La première erreur est de fermer UDP entièrement. Cela peut calmer les graphes, mais casse aussi le service que le client veut vendre ou exploiter.
La deuxième erreur est de tout laisser au CPU du serveur. Une attaque de 10 Gbps en petits paquets peut saturer CPU, files NIC ou logique firewall bien avant de remplir le port physique.
