Sécurité
Protection anti-DDoS pour serveur de jeu (FiveM, Minecraft) : le guide
Publié le · 4 min de lecture
Pourquoi les serveurs de jeu sont-ils autant attaqués ?
Un serveur FiveM, Minecraft, Rust ou CS2 est une cible facile : son adresse IP est publique, la plupart des jeux utilisent l'UDP, et une attaque coûte très peu à lancer. Les motivations sont souvent banales — un joueur banni, un serveur concurrent, ou simplement l'envie de nuire.
Les attaques les plus fréquentes :
- les floods UDP : des millions de paquets envoyés sur le port du jeu pour saturer la connexion ;
- les attaques par amplification (DNS, NTP, Memcached…) : de petites requêtes renvoyées en grosses réponses vers votre IP ;
- les floods TCP (SYN, ACK) qui épuisent les ressources du serveur ;
- les attaques applicatives qui imitent de vrais joueurs pour saturer les connexions.
Sans protection, le résultat est toujours le même : le serveur devient injoignable et les joueurs partent.
Comment fonctionne une protection anti-DDoS en deux couches
Une seule barrière ne suffit pas : une attaque volumétrique doit être arrêtée le plus loin possible, tandis que les attaques plus fines demandent un filtrage précis, au plus près du serveur. C'est le principe de la protection VexCloud.
Couche 1 : le filtrage en amont par l'IP transit
Notre réseau est relié à Internet par trois fournisseurs d'IP transit : Gcore, Netrix et EASIO-COM. Ils dégrossissent le trafic et absorbent les attaques volumétriques avant même qu'elles n'arrivent jusqu'à nous.
Couche 2 : le filtre XDP sur nos machines
Ce qui passe la première couche est trié par notre programme XDP (eXpress Data Path), exécuté directement dans le noyau Linux, avant la pile réseau. Les paquets suspects sont écartés très tôt, ce qui permet de filtrer de gros volumes sans ralentir le trafic légitime.
Cette protection est incluse sur les VPS, les serveurs dédiés, les tunnels IP et toutes nos autres offres, sans supplément.
Régler la protection soi-même avec le panel anti-DDoS
Une protection efficace doit connaître vos services : un serveur FiveM n'a pas les mêmes besoins qu'un site web. Avec le panel anti-DDoS VexCloud, accessible depuis votre espace client pour les VPS, les serveurs dédiés, les tunnels IP et le revendeur VPS, vous réglez le filtrage adresse IP par adresse IP.
Choisir le bon mode de filtrage
- Complet (par défaut) : TCP et UDP filtrés. Les ports reconnus comme des services restent joignables, le reste est limité puis rejeté sous attaque.
- TCP seul : pour les services uniquement TCP (sites web, SSH, RDP).
- UDP seul : pour les jeux et les VPN.
- Ouvert : les ports avec un filtre restent protégés, les autres passent sans filtrage.
- Fermé : tout est bloqué sauf les filtres actifs. Le mode le plus strict.
- Bypass : aucune protection, à réserver à un test ponctuel.
Pour un serveur de jeu avec un accès SSH, le mode Complet avec les filtres par défaut convient dans la plupart des cas.
Les filtres et les ports personnalisés
Des filtres prêts à l'emploi existent pour les services les plus courants : SSH, HTTP/HTTPS, RDP, FiveM, Steam, Minecraft, WireGuard… Si votre jeu utilise un autre port — un proxy Velocity, un port Steam en plage comme 27015-27030, SSH sur 2222 — vous ajoutez un port ou une plage avec le filtre adapté, jusqu'à 32 règles par IP.
Le seuil de paquets par seconde
Vous pouvez fixer un plafond de paquets par seconde pour chaque IP : Low (50 000), Medium (150 000), High (350 000) ou Extreme (500 000). Au-delà, l'excédent est rejeté par le filtre.
Liste noire, autorisations et protocoles
- Bloquez une IP ou une plage CIDR, temporairement ou définitivement.
- Autorisez des sources de confiance (un partenaire, votre bureau) pour qu'elles ne soient jamais filtrées.
- Refusez un protocole entier vers une IP (TCP, UDP ou ICMP) si votre service n'en a pas besoin.
Suivre les attaques et être alerté
Le panel garde l'historique des attaques avec leur type, leur pic et leur durée, et montre l'origine du trafic par pays et par opérateur (ASN). Vous pouvez recevoir une alerte au début et à la fin de chaque attaque : notification dans le navigateur, webhook Discord ou appel vers votre propre API.
Bonnes pratiques côté serveur
La protection réseau fait l'essentiel, mais quelques réflexes complètent la défense :
- n'ouvrez que les ports nécessaires dans le pare-feu de votre système ;
- ne révélez pas l'IP d'autres machines (base de données, panel) dans les fichiers publics du serveur ;
- gardez vos ressources à jour (artefacts FiveM, plugins Minecraft) ;
- surveillez vos journaux : une montée soudaine de connexions est souvent le premier signe.