Protecciones
La pestaña Protections del Edge Firewall tiene 16 protecciones listas. Cada una tiene un interruptor para activarla o desactivarla, y algunas tienen ajustes. Están agrupadas en Network, TCP, Rate limits, Access y Payload.
Ábrela desde Security > Firewalls, pulsa el firewall y abre Protections.
Al activar una protección, las reglas que necesita aparecen en la lista de Rules, bloqueadas y marcadas con “From” y el nombre de la protección. Se gestionan aquí, no desde la lista. Las reglas de las protecciones cuentan para el límite de 50 reglas por firewall.
Network
| Protección | Qué hace | Ajustes (por defecto) |
|---|---|---|
| Bogon sources | Descarta el tráfico que viene de direcciones privadas y reservadas | Ninguno |
| IP fragments | Descarta los paquetes IP fragmentados | Ninguno |
| Invalid packets | Descarta los paquetes mal formados y los que no pertenecen a ninguna conexión | Ninguno |
| ICMP rate limit | Limita el ping y el resto del tráfico ICMP | Rate (1/s), Burst (5) |
TCP
| Protección | Qué hace | Ajustes (por defecto) |
|---|---|---|
| TCP flags | Descarta paquetes con combinaciones de flags TCP imposibles | Ninguno |
| New without handshake | Descarta las conexiones TCP nuevas que no empiezan con un handshake | Ninguno |
| Suspicious MSS | Descarta intentos de conexión con un tamaño de segmento poco habitual o sin él | Minimum MSS (536), Maximum MSS (65535) |
| RST rate limit | Limita los resets TCP | Rate (2/s), Burst (2) |
| SYN proxy | Responde a los handshakes de conexión en nombre de tu servidor durante los SYN floods | Ninguno |
SYN proxy y New TCP connections no pueden estar activadas a la vez.
Rate limits
| Protección | Qué hace | Ajustes (por defecto) |
|---|---|---|
| Connections per IP | Limita las conexiones TCP abiertas por dirección de origen | Max connections (111) |
| New TCP connections | Limita cuántas conexiones TCP nuevas llegan por segundo | Rate (60/s), Burst (20) |
| UDP rate limit | Limita los paquetes UDP entrantes | Rate (100/s), Burst (200) |
Pon el límite UDP por encima del tráfico de tu juego
Access
| Protección | Qué hace | Ajustes (por defecto) |
|---|---|---|
| Close access | Solo tu propia IP y tu lista de permitidas pueden llegar al servidor | Tu IP y la lista de permitidas (ver abajo) |
| SSH brute force | Bloquea las direcciones que insisten en iniciar sesión por SSH | Attempts (10), Window (60 segundos) |
| Port scans | Frena y bloquea los escaneos de puertos | Ninguno |
Close access
Al activar Close access, tu IP actual se añade sola. Si tu IP cambia, pulsa Use my current IP para actualizarla. Puedes añadir más IP o rangos, por ejemplo la oficina de alguien de tu equipo. Todo lo demás se descarta.
Payload
| Protección | Qué hace | Ajustes (por defecto) |
|---|---|---|
| Payload match | Descarta los paquetes cuyo contenido incluye un texto que tú eliges | Protocol (UDP o TCP), Port, Text to match, Action (Drop o Allow) |
Ajustes y tasas
- Las tasas se escriben como un número por segundo, minuto u hora:
10/s,100/mo5/h. - Al cambiar los ajustes de una protección y guardar, se vuelve a aplicar.
Igual que con las reglas, cada cambio se aplica al servidor al momento, y el panel muestra Applying hasta que el servidor lo confirma. Si algo falla, ves el error y un botón Try again; lo que ya estaba funcionando sigue funcionando.
Dónde funcionan las protecciones
Cada regla que crea una protección muestra una pequeña etiqueta XDP o Kernel en la lista de Rules, para que veas dónde funciona. moat sigue las conexiones por sí mismo, así que las protecciones funcionan en XDP, dentro del driver de red, antes de la pila de red de Linux. El SYN proxy es el que funciona en el kernel, justo después de moat.