Stream sniping и DDoS работают по-разному. Для подглядывания за игрой злоумышленнику достаточно смотреть эфир и попасть в ту же очередь. Для DDoS нужен сетевой адрес цели. Задержка мешает охотнику за стримером, но не защищает канал, а VPN скрывает адрес только при правильной маршрутизации.
Зритель крупной площадки обычно не получает домашний IP через видеопоток: Twitch или YouTube раздают видео со своих серверов. Исключения возможны у собственного сервера и платформ с одноранговой раздачей. Чаще адрес раскрывают P2P-игра, голосовой чат или браузерный звонок.
Почему P2P раскрывает IP и как настроить TURN
При P2P-соединении компьютеры обмениваются пакетами без обязательного посредника, поэтому участники узнают адреса друг друга. В одной игре прямой путь обслуживает матч, в другой только голосовой чат. Надпись «серверная игра» не гарантирует, что все соединения проходят через сервер разработчика.
В WebRTC маршрут выбирает ICE. STUN помогает узнать внешний адрес после NAT, но не скрывает его от собеседника. RFC 8826 указывает, что скрыть адрес можно, если принудительно направить трафик через TURN. Для этого задают iceTransportPolicy: "relay". MDN поясняет, что собеседник в таком режиме получает адрес ретранслятора, а не прямой сетевой кандидат пользователя.
Навязать TURN чужой игре нельзя. Ищите запрет прямого P2P или встроенную ретрансляцию. Например, Steam Datagram Relay передаёт игровой трафик через инфраструктуру Valve и не раскрывает адреса игроков друг другу.
Частая причина утечки связана с раздельным туннелированием VPN. При split tunneling только выбранные приложения идут через VPN, а остальной трафик выходит напрямую. Игра может попасть в туннель, а голосовой чат или подбор матчей нет. Документация Microsoft описывает разницу между раздельным и принудительным туннелем. Чтобы защитить IP через VPN, все связанные программы должны идти через него, а аварийная блокировка должна прекращать трафик при обрыве.
Проверьте IPv6. Некоторые VPN передают через туннель только IPv4, поэтому операционная система может выбрать прямой IPv6-маршрут. Настройка должна направлять оба протокола через VPN либо блокировать IPv6, если сервис его не поддерживает.
TURN нужен владельцам собственного браузерного звонка или голосового сервиса. Coturn лучше ставить в центре обработки данных. Нужны сертификат, временные учётные данные, ограниченный диапазон портов, квоты и явное отключение ненужных средств управления:
listening-port=3478
tls-listening-port=5349
realm=relay.example.ru
fingerprint
use-auth-secret
static-auth-secret=ЗАМЕНИТЕ_СЕКРЕТ
external-ip=203.0.113.10/10.0.0.10
min-port=49160
max-port=49260
user-quota=4
total-quota=200
stale-nonce=600
no-multicast-peers
no-cli
cert=/etc/letsencrypt/live/relay.example.ru/fullchain.pem
pkey=/etc/letsencrypt/live/relay.example.ru/privkey.pem
Актуальный образец Coturn подтверждает формат external-ip=публичный-IP/внутренний-IP. Порты при NAT должны перенаправляться без замены номеров. Telnet-интерфейс управления CLI слушает по умолчанию адрес 127.0.0.1:5766. Если управление через него не нужно, отключите его явно параметром no-cli. Не полагайтесь на настройки по умолчанию, которые могут отличаться между версиями. Если управление через CLI нужно, уберите no-cli, включите cli и задайте зашифрованный пароль.
Защита от stream sniping и DDoS
Stream sniping не требует знания IP. Злоумышленник видит очередь, карту, позицию или код лобби. Скройте код приглашения, регион и момент запуска поиска, включите режим стримера. Встроенная задержка Twitch до 15 минут доступна только партнёрам через Stream Manager. Остальные задают задержку в OBS или другой программе трансляции, где предел зависит от программы, свободной памяти и места на накопителе.
Обычный VPN не равен защите от DDoS. При полном туннеле сервис заменит домашний адрес адресом VPN-узла, но без фильтрации может отключить клиента при атаке. Роутер также не поможет, когда вредоносный поток уже заполнил внешний канал.
| Сценарий | Признаки | Что помогает |
|---|---|---|
| Подглядывание за эфиром | Игрок заранее знает маршрут или позицию | Задержка, скрытие очереди и карты |
| Атака на известный IP | После P2P-сеанса пропадает интернет во всём доме | Смена адреса, полный защищённый туннель, отказ от P2P |
| Кампания против крупного канала | Атаки повторяются и затрагивают несколько узлов | Специализированная фильтрация и резерв у другого оператора |
Среднему стримеру подходят динамический IP, VPN с заявленной фильтрацией DDoS или защищённый адрес у игрового хостинга. Крупные каналы и команды могут подключить центр очистки трафика. Такой сервис отбрасывает вредоносные пакеты за пределами домашней сети и возвращает нормальный поток через GRE- или IPsec-туннель. Владельцам собственного диапазона адресов доступна защита с маршрутизацией BGP и распределением трафика через Anycast.
Решения такого класса предлагают несколько сетевых и облачных провайдеров. Документация Cloudflare Magic Transit показывает один из вариантов построения GRE- и IPsec-туннелей, а не единственно возможную схему. Такая защита требует договора с провайдером, настройки маршрутизации, технического специалиста и заметного бюджета, поэтому домашнему стримеру обычно не подходит.
Во время атаки сохраните точное время, журналы трансляции, статистику роутера и сообщения провайдера. Завершите P2P-сеанс и запросите новый адрес вместе с фильтрацией. Перезагрузка помогает только при динамической выдаче адресов и не гарантирует смену адреса. Руководство CISA, FBI и MS-ISAC от 21 марта 2024 года рекомендует заранее согласовать порядок действий с интернет-провайдером, а после начала атаки сохранить журналы, сведения о трафике и другие доказательства. Общий алгоритм действий описан в материале о том, как остановить DDoS-атаку за несколько шагов.
Крупному каналу полезно разделить контуры: игру и звонки выводить через защищённый маршрут, а резерв подключать у другого оператора. Для домашнего стримера такая схема обычно слишком дорогая и сложная.
Вопросы и ответы
Скрывает ли VPN IP во всех играх?
Нет. Игра, голосовой чат или IPv6 могут обойти туннель. Проверьте маршруты всех связанных программ и включите блокировку трафика при разрыве VPN.
Чем split tunneling опасен для стримера?
Через VPN идёт только часть соединений. Голосовой чат или подбор матча могут раскрыть домашний адрес, даже если сама игра работает через VPN.
Можно ли остановить DDoS настройками роутера?
Роутер отсекает уже полученные пакеты, но не освобождает заполненный канал. Объёмную атаку должен остановить провайдер до домашней линии.
TURN нужен каждому стримеру?
Нет. TURN полезен владельцам собственного WebRTC-сервиса. Для чужой игры остаются встроенная ретрансляция, полный VPN-туннель или отказ от P2P.
Защищает ли задержка трансляции от DDoS?
Нет. Задержка мешает использовать картинку эфира в текущем матче, но не скрывает уже известный IP и не фильтрует вредоносный трафик.
Заключение. Найдите канал утечки IP и уберите прямое соединение. Для WebRTC нужен режим «только TURN», для игры подходит встроенная ретрансляция, для остальных программ – полный VPN-туннель с IPv4 и IPv6. От stream sniping защищают задержка и скрытие игровой информации, а от DDoS – фильтрация до домашней линии.
Не отвечайте встречной атакой, не публикуйте чужие адреса и не пытайтесь самостоятельно установить личность нарушителя. Сохраняйте доказательства, обращайтесь к провайдеру, площадке и правоохранительным органам, соблюдайте законодательство РФ и правила игровых сервисов.
