Mitigación ataques DDoS eficaz

📅 Publicado el 29 de julio, 2026 · Por Equipo RedServicio

Qué es la protección ataques DDoS y por qué es vital

La protección ataques DDoS (Denegación de Servicio Distribuida) ya no es un lujo, es una cuestión de supervivencia digital. A diferencia de la fuerza bruta, que intenta adivinar tu clave, un DDoS tiene un objetivo más brutal: colapsar tu servidor. Satura el ancho de banda, la CPU o la RAM con una lluvia de solicitudes simultáneas hasta que la máquina se rinde. Si no tienes una estrategia de mitigación, tu sitio desaparece. Y eso, traducido a negocio, se llama perder dinero y credibilidad.

Para quienes gestionan su propio VPS o servidor dedicado, lo primero es aceptar una verdad incómoda: el firewall por defecto no sirve de mucho. La mitigación real exige mirar el tráfico en tiempo real, separar el grano de la paja y descartar los paquetes maliciosos antes de que se coman los recursos.

Identificación del tráfico malicioso vs. legítimo

Antes de bloquear ciegamente, hay que saber qué está pasando. No es lo mismo un pico de tráfico viral (que es bueno) que un ataque (que es malo). Un DDoS suele sangrar patrones raros:

• Alta concurrencia desde IPs similares: Cientos de peticiones saliendo de rangos muy estrechos o de países donde no tienes clientes.
• Solicitudes reiterativas a URLs pesadas: Ataques directos a endpoints que disparan la base de datos, como búsquedas o pasarelas de pago.
• User-Agents extraños: Tráfico que no identifica un navegador real o que usa cadenas genéricas y vacías.

Para ver esto con tus propios ojos, netstat es tu mejor amigo en Linux. Lanza esto en la terminal: netstat -anp | grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n. El resultado te mostrará quién se ha conectado y cuántas líneas abiertas tiene. Si ves una IP con más de 100 conexiones simultáneas, ya sabes qué hacer.

Capa 3 vs. Capa 7: Entendiendo el ataque

No todos los golpes son iguales. La defensa cambia según la capa del modelo OSI que estén atacando:

• Ataques de Volumen (Capa 3 y 4): Intentan saturar la tubería. Hablamos de UDP Floods o SYN Floods. Aquí necesitas ayuda externa; tu proveedor debe «limpiar» el tráfico antes de que te llegue, o tu enlace se muere.
• Ataques de Aplicación (Capa 7): Estos son más sucios. Imitan a un humano (HTTP Floods), cargando una y otra vez la web. Aquí es donde la configuración de tu servidor web (Nginx o Apache) y un buen WAF marcan la diferencia.

Configuración del Firewall y reglas de iptables

La primera trinchera en tu propio servidor es el kernel de Linux y su herramienta de filtrado, iptables (o nftables si ya te pasaste a distros más modernas). Vamos a ver cómo endurecer la seguridad contra los ataques de saturación de conexiones más comunes.

Protección contra ataques SYN Flood

Un ataque SYN Flood juega sucio. Explota el protocolo TCP enviando paquetes SYN sin terminar la conexión. Llena la tabla de conexiones del servidor y lo deja colgado. La solución Activar las SYN cookies en el kernel.

Edita /etc/sysctl.conf y deja estas líneas así:

net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5

Guarda y ejecuta sysctl -p. Con esto le dices al kernel que gestione las solicitudes SYN sin tirar de memoria hasta que la conexión sea real. Evitas el agotamiento de recursos con una simple orden.

Limitando la tasa de conexiones con iptables

Otra táctica clave es ponerle un freno a cuántas conexiones nuevas puede abrir una IP por minuto. Esto frena tanto la fuerza bruta como los HTTP Floods básicos. Este comando es una pared:

iptables -A INPUT -p tcp –dport 80 -m state –state NEW -m recent –set
iptables -A INPUT -p tcp –dport 80 -m state –state NEW -m recent –update –seconds 60 –hitcount 25 -j DROP

¿Qué hace? Crea una lista dinámica en el puerto 80. Si una IP supera las 25 conexiones en un minuto, al suelo (DROP). Es simple, pero letal para bots mal programados.

Optimización del Servidor Web: Nginx y Apache

El firewall no lo es todo. Tu servidor web también debe aguantar el tipo sin desplomarse. Aquí entran en juego los tiempos de espera y los límites de procesos.

Configuración de Nginx para mitigación DDoS

Nginx destaca por su rendimiento con concurrencias altas. Para blindar tu sitio, abre el nginx.conf y ajusta estas directivas:

• limit_conn_zone: Reserva memoria para rastrear conexiones por IP.

  limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;

• limit_req_zone: Limita la velocidad de las peticiones.

  limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=10r/s;

Ahora, aplica estas reglas dentro del bloque server de tu sitio:

limit_conn conn_limit_per_ip 10;
limit_req zone=req_limit_per_ip burst=20 nodelay;

El resultado es contundente: cada IP tiene un límite de 10 conexiones a la vez y un máximo de 10 peticiones por segundo, con un «burst» (pico) de 20 adicionales. El parámetro nodelay es vital; rechaza el exceso enseguida en lugar de poner colas eternas.

Hardening en Apache (mod_evasive)

Si te queda Apache por ahí, el módulo mod_evasive es la solución clásica. Una vez instalado, tu archivo /etc/apache2/mods-available/mod-evasive.conf debería parecerse a esto:

DOSHashTableSize 3097
DOSPageCount 5
DOSSiteCount 50
DOSPageInterval 2
DOSSiteInterval 2
DOSBlockingPeriod 10

La lógica es clara: si una IP pide la misma página 5 veces en dos segundos, o carga 50 cosas del sitio en ese tiempo, se va al ban durante 10 segundos. Parece poco, pero es suficiente para romper el ritmo de muchos scripts automatizados.

Uso de WAF y CDN como escudo externo

Configurar el servidor es bien, pero la mejor protección ataques DDoS es la que nunca deja que el toque tu infraestructura. Aquí brillan los CDN (Content Delivery Networks) y WAF (Web Application Firewall) tipo Cloudflare, AWS Shield o Akamai.

Estos servicios actúan como un proxy inverso. El usuario no habla con tu IP, habla con ellos. El CDN analiza el tráfico:

1. Filtro de GeoIP: Puedes cerrar la puerta a países donde no tienes negocio.
2. Challenge de JavaScript: Si algo huele mal, se lanza un script pequeño en el navegador para comprobar que hay un humano detrás, no un bot.
3. Under Attack Mode: Modos de emergencia que ponen a todo el mundo en una cola de verificación (captcha) antes de dejarlos pasar.

Usar un CDN no solo acelera la carga, sino que esconde tu IP real. El atacante golpea al aire, protegiendo eficazmente las capas 3 y 4.

Monitoreo y respuesta ante incidentes

La prevención falla a veces. Tienes que tener ojos en todo para reaccionar. Instala htop, iotop y configura alertas en Fail2Ban para que te llegue un aviso si se empiezan a banear IPs a lo loco.

Si ves que te están atacando:

1. No entres en pánico. Bloquear sin pensar puede sacar de tu web a usuarios buenos (como GoogleBot).
2. Mira los logs. Revisa /var/log/nginx/access.log o /var/log/apache2/access.log para ver el patrón.
3. Activa el modo «Under Attack». En tu CDN/WAF, esto quita carga de encima al instante.
4. Llama a tu proveedor. En RedServicio.net tenemos soporte técnico 24/7 listo para aplicar filtrado a nivel de nodo si tu VPS no da para más.

Conclusión

Montar una estrategia de protección ataques DDoS no es opcional hoy en día, es operativa estándar. Desde las SYN cookies en el kernel de Linux, pasando por reglas de iptables para frenar la tasa de conexiones, hasta el ajuste fino de Nginx o Apache; cada capa cuenta. Pero la arquitectura realmente segura es la que combina todo esto localmente con un escudo externo de CDN y WAF que filtra la basura antes de llegar a tu origen.

Mantener el software al día y vigilar los logs te da la ventaja. La seguridad es un proceso, no un destino. En RedServicio.net ponemos la infraestructura y el soporte experto para que tú solo tengas que preocuparte de hacer crecer tu negocio, tranquilo sabiendo que la parte técnica está cubierta.