봇인가 DDoS인가
봇 공격에서는 접속이 서버까지 도달합니다. 접속 기록에 새 닉네임이 수백 개 나타나고, 슬롯이 가득 차고, 채팅과 콘솔이 넘쳐 납니다. DDoS에서는 서버에 아예 연결되지 않거나 모두의 핑이 크게 치솟고, 접속 기록에는 새 접속이 거의 없으며, 호스팅 업체에서는 트래픽 급증이 확인됩니다.
DDoS는 호스팅 업체나 서버 앞단의 네트워크 보호가 막습니다. Kordon은 트래픽을 필터링하지 않습니다. 이 가이드의 나머지 내용은 모두 봇 공격에 관한 것입니다.
처음 몇 분
- 패널에서 ‘개요’를 여세요. Kordon이 공격을 감지했다면 이미 ‘봇 공격 진행 중’이 표시됩니다. 공격이 계속되는 동안에는 서버가 관찰 모드였더라도 보호됩니다.
- 관리자와 가장 활발한 플레이어가 화이트리스트에 있는지 확인하세요. 공격 전에 서버가 이미 접속을 허용했던 플레이어에게는 공격 징후 판단이 적용되지 않지만, 화이트리스트가 더 안전합니다. 화이트리스트는 항상 접속을 허용합니다.
- 접속 기록(Basic 요금제부터)을 열어 봇의 닉네임, 국가, 클라이언트 버전을 살펴보세요.
- 그래도 봇이 들어온다면 보호 수준을 ‘엄격’으로 바꾸세요.
- 봇의 패턴으로 ‘닉네임에 허용 안 함’ 규칙을 추가하세요(Basic 요금제부터). 예:
^lobby_[0-9]+$ - 플레이어가 없는 국가에서 봇이 온다면 공격이 계속되는 동안 국가 필터로 그 국가를 막으세요(Basic 요금제부터).
- 모든 봇이 같은 클라이언트 버전을 쓰고 플레이어들은 다른 버전을 쓴다면 버전 필터로 그 버전을 막으세요(Pro 요금제부터).
아무것도 효과가 없다면 점검 모드(Basic 요금제부터)를 켜세요. 별도의 점검 목록에 있는 사람만 접속할 수 있고, 나머지는 모두 연결이 끊깁니다.
대역과 네트워크 차단
봇이 하나의 주소 대역에서 온다면 그 대역을 블랙리스트에 넣거나(Pro 요금제부터), AS 번호로 네트워크 전체를 블랙리스트에 넣을 수 있습니다(Premium 요금제부터). 기간도 함께 정하세요(예: 1d).
/kordon blacklist add 203.0.113.0/24 1d attack가정용 및 모바일 인터넷 제공업체의 네트워크는 조심해서 다루세요. 일반 플레이어도 이 네트워크를 쓰기 때문에, 네트워크 전체를 차단하면 도시 하나의 사람들이 통째로 서버에 들어올 수 없게 됩니다.
하지 말아야 할 일
- 프록시 서버를 계속 재시작하지 마세요. 봇은 1분 안에 돌아오고, 플레이어들은 서버가 내려간 것을 알아챕니다.
- 공격 도중에 ‘검사를 할 수 없을 때’를 ‘모두 접속 허용’으로 바꾸지 마세요.
- ‘Paper 방식’ 닉네임 규칙이 플레이어 한 명에게 걸리더라도 끄지 마세요. 대신 그 플레이어를 화이트리스트에 추가하세요.
- 인터넷 제공업체의 네트워크를 통째로 영구 차단하지 마세요.
공격이 끝나면
‘공격’ 페이지에서 보고서를 여세요. 공격이 얼마나 지속되었는지, 시도가 몇 번이었고 그중 몇 번이 차단되었는지, 분당 최대치, 국가, 네트워크, 보호 기능이 취한 조치가 나옵니다.
임시 닉네임 규칙을 끄고, 공격 때문에만 막았던 국가와 버전을 다시 여세요. 기간을 정한 블랙리스트 항목은 따로 손댈 필요가 없습니다. 기간이 지나면 저절로 만료됩니다. 공격 중에 이루어진 검사는 요금제의 일일 한도에 포함되지 않습니다.
공격이 계속되고 서버에 정품 계정이 없는 플레이어를 받을 필요가 없다면 온라인 모드로 전환하는 것을 고려해 보세요. ‘엄격’ 보호를 계속 켜 두는 방법도 있습니다. 자세한 내용은 봇 공격으로부터 서버를 보호하는 방법을 참고하세요.