DDoS शमन।
वे edge-स्तरीय बचाव जो volumetric हमलों को आपके VPS तक पहुँचने नहीं देते। हमेशा चालू। शामिल। कभी कोई अतिरिक्त बिक्री नहीं।
तकनीकी उपायों का वह समूह — edge पर rate-limiting, scrubbing centres, anycast diversion, व्यवहार-आधारित traffic classification — जो किसी distributed-denial-of-service हमले को लक्ष्य सर्वर की bandwidth या compute क्षमता भर देने से रोकता है। NordBastion पर mitigation चारों bastions के edge पर हमेशा चालू रहता है, हर tier में शामिल है, और इसे न चालू करना पड़ता है न बंद।
Mitigation एक बुनियादी स्तर है, कोई premium tier नहीं।
बिल में जुड़ने वाली DDoS सुरक्षा की बुनियादी दिक्कत यह है कि इससे ग्राहक की कीमत हमलावर तय करने लगता है। अगर सोखे गए हमले का हर Gbps आपको पैसे में पड़ता है, तो जो हमलावर आपके IP पर कुछ सौ Gbps फेंक सकता है, वह बिना कुछ तोड़े सिर्फ़ अर्थशास्त्र के दम पर आपको platform से बाहर कर सकता है। NordBastion इसे platform-स्तर की लागत मानता है और उसे पूरी कैटलॉग में बाँट देता है: हर VPS और हर डेडिकेटेड tier के साथ वही हमेशा चालू volumetric और L7 mitigation आता है, और सोखे गए हमले के traffic का चालान कभी नहीं बनता।
तकनीकी तौर पर, चारों bastions में से हर एक 1.6–2.4 Tbps के कुल ingress पर peer करता है, और carrier handoff के ठीक पास scrubbing हमेशा चालू रहती है। Volumetric floods (UDP amplification, SYN floods, fragmented IP) edge router पर ही गिरा दिए जाते हैं; layer-7 तूफ़ान (slow-POST, बदलते user-agents वाले HTTP GET floods) आपके tier तक पहुँचने से पहले ही व्यवहार के आधार पर पहचान लिए जाते हैं। Control plane चारों साइटों पर anycast है, इसलिए इतना बड़ा हमला जो किसी एक bastion के लिए ख़तरा बने, अपने आप बाकी साइटों में बाँट दिया जाता है।
Mitigation क्या नहीं करता: यह आपके application payloads की जाँच नहीं करता, TLS terminate नहीं करता, और यह नहीं देखता कि आपकी service में कौन लॉग-इन है। यह network-layer का एक बुनियादी स्तर है, जिसकी वजह से आपका application सिर्फ़ उन्हीं requests पर ध्यान दे पाता है जो सचमुच उस तक पहुँचीं। अगर आपके workload को application-layer filtering चाहिए (SQL-injection से बचाव, दुर्भावनापूर्ण bot scoring), तो उसके ऊपर एक WAF चलाइए — पर दोनों को एक मत समझिए।
NordBastion में mitigation को हर जगह देखें।
- · /network/ — हर bastion का peering नक़्शा, scrubbing की बनावट और anycast तल का आरेख।
- · /vps/ — हर VPS tier (Sentinel से Bastille तक) डिफ़ॉल्ट रूप से हमेशा चालू mitigation के साथ आता है।
- · /dedicated/ — bare-metal tiers को भी वही edge सुरक्षा मिलती है, बस uplink की रफ़्तार ज़्यादा होती है।
- · /status/ — हर bastion के uplink का live लोड और रोके गए हमलों का सार्वजनिक इतिहास।
- · /peering/ — IX उपस्थिति और transit का वह मिश्रण, जो हर साइट की volumetric सीमा तय करता है।
- · / — होमपेज की फ़ीचर पट्टी में हमेशा चालू mitigation की गारंटी दिखाई देती है।
mitigation के बारे में सवाल, जवाब के साथ।
edge कितने बड़े हमले संभाल लेता है?
हर bastion 1.6–2.4 Tbps की कुल ingress क्षमता पर peer करता है, और उसके साथ हमेशा चालू रहने वाला volumetric scrubbing चलता है, जो असली दुनिया के अधिकांश हमलों को सोख लेता है — Q4-2025 के सार्वजनिक आँकड़ों के अनुसार इंटरनेट पर हुई 99.4% DDoS घटनाएँ 100 Gbps से नीचे थीं। Layer-7 floods (HTTP GET/POST storms) की पहचान व्यवहार के आधार पर होती है और उन्हें आपके VPS तक पहुँचने से पहले ही गिरा दिया जाता है। हर bastion की असली सीमा उसका कुल peering है; सचमुच देश-स्तर के हमलों (multi-Tbps) को चारों bastion वाले anycast plane पर बाँट दिया जाता है।
क्या DDoS सुरक्षा के लिए अलग से शुल्क लगता है?
नहीं — और यह जान-बूझकर है। दूसरे होस्ट DDoS सुरक्षा को per-Gbps ऐड-ऑन या अलग enterprise tier की तरह बेचते हैं, जिसका असली मतलब यह होता है कि छोटे शिकार से हमला झेलने के पैसे वसूले जाते हैं। NordBastion हर VPS tier में — Sentinel ($3.90/mo) से लेकर Bastille ($16.90/mo) तक — और हर डेडिकेटेड tier में हमेशा चालू mitigation शामिल रखता है, और सोखे गए हमले के ट्रैफ़िक पर कोई usage-आधारित बिलिंग नहीं होती। यह गणित इसलिए चलता है क्योंकि mitigation की लागत पूरे प्लेटफ़ॉर्म पर बँट जाती है, हर घटना का अलग चालान नहीं बनता।
यह Cloudflare जैसे WAF से कैसे अलग है?
एक WAF (Web Application Firewall) OSI लेयर 7 पर काम करता है — यह HTTP अनुरोधों में एप्लिकेशन-लेयर अटैक सिग्नेचर (SQL injection, XSS, दुर्भावनापूर्ण बॉट पैटर्न) की जांच करता है और स्वयं एक रिवर्स प्रॉक्सी है जो TLS टर्मिनेट करता है। NordBastion का DDoS शमन लेयर 3–4 पर काम करता है — यह विकृत पैकेट, एम्प्लीफिकेशन रिफ्लेक्शन और वॉल्यूमेट्रिक फ्लड को नेटवर्क एज पर आपकी बैंडविड्थ का उपयोग करने से पहले ही रोक देता है, और यह TLS टर्मिनेट नहीं करता या आपके एप्लिकेशन पेलोड नहीं देखता। दोनों परस्पर पूरक हैं; अगर आपके ऐप को ज़रूरत हो तो ऊपर से WAF चलाएं।
और अगर स्पाइक मेरा अपना workload ही पैदा कर रहा हो तो?
एक वैध वायरल ट्रैफिक इवेंट — एक लॉन्च, एक प्रेस हिट, Hacker News का फ्रंट पेज — rate-limit के आकार का होता है, attack के आकार का नहीं, और behavioural classifier इसे पास करने देगा। यदि आप वैध ट्रैफिक से अपने tier का uplink संतृप्त कर देते हैं, तो अपग्रेड पथ एक बड़े VPS या अधिक uplink वाले dedicated tier के लिए एक panel click है; कोई support ticket आवश्यक नहीं। Outbound abuse (आपका सर्वर attack traffic का स्रोत होना, जैसे SSH brute-forcer या open mail relay) को अलग से संभाला जाता है — /doctrine/ देखें कि हम क्या होस्ट करेंगे और क्या नहीं।
