[Документация Yandex Cloud](../../index.md) > [Yandex Smart Web Security](../index.md) > [Концепции](index.md) > Network Protection (защита от DDoS L3–L4)

# Network Protection

{% note info %}

Network Protection находится на стадии [Preview](../../overview/concepts/launch-stages.md) и не тарифицируется.

{% endnote %}

_Network Protection_ — компонент Smart Web Security для защиты от DDoS-атак на сетевом (L3) и транспортном (L4) уровнях модели [OSI](*osi). Он помогает сохранить доступность веб-приложения при атаках на канал связи и сетевые ресурсы [прокси-сервера](*proxy-server).

Защита включается автоматически при создании прокси-сервера Smart Web Security. Фильтрацию выполняет собственная система Yandex Cloud без участия сторонних сервисов.

Network Protection отбрасывает пакеты атак до их поступления на прокси-сервер. На прикладном уровне L7 защиту обеспечивают [Smart Protection](rules.md#smart-protection-rules), [WAF](waf.md) и [ARL](arl.md), настроенные в профиле безопасности.

## Как работает защита {#how-it-works}

Входящий трафик проходит следующие этапы проверки:

1. Трафик на публичный IP-адрес прокси-сервера поступает на узлы очистки.
1. Узел очистки принимает TCP-соединение от клиента, проверяет его и отбрасывает пакеты атак.
1. Легитимный трафик передается с узла очистки на прокси-сервер по протоколу [PROXY v2](https://www.haproxy.org/download/3.0/doc/proxy-protocol.txt). Его заголовок содержит исходный IP-адрес и порт клиента. На сервере приложения настраивать этот протокол не нужно.
1. Прокси-сервер проверяет запросы правилами профиля безопасности. Условия по IP-адресам и геолокации, а также группировка по IP-адресу в ARL используют исходный IP-адрес клиента.

## От каких атак защищает {#attacks}

* **Атаки на TCP** — TCP SYN Flood, ACK Flood, SYN/ACK Flood, RST/FIN Flood и TCP Connection Flood. Узел очистки использует [SYN cookie](*syn-cookie) и отслеживает состояние соединений, чтобы отбрасывать пакеты атак до передачи трафика на прокси-сервер.
* **Флуд по UDP** — UDP Flood, DNS Flood, NTP Flood, Portmap Flood, атаки фрагментированными UDP-пакетами и пакетами с медиаданными. Прокси-сервер принимает только TCP-соединения, поэтому весь UDP-трафик отбрасывается на узлах очистки.
* **Атаки с отражением и усилением трафика (reflection/amplification)** — через DNS, NTP, SNMP, SSDP, CLDAP, Memcached, STUN, QOTD, Echo и RIPv1. UDP-ответы сторонних серверов, используемых в атаке, отбрасываются файрволом.
* **Атаки на сетевом уровне** — ICMP Flood, Ping Flood, Smurf, Ping of Death, GRE Flood, LAND, IP Null и атаки фрагментированными IP-пакетами.

## Метрики {#metrics}

Метрики Network Protection автоматически передаются в [Yandex Monium](../../monium/index.md) в проект `folder__<идентификатор_каталога>` каталога с прокси-сервером. Они показывают объем входящего, отброшенного и пропущенного трафика.

Для просмотра метрик выберите сервис `__antiddos__`.

Порядок просмотра и пример запроса приведены в [инструкции](../operations/monitoring.md#network-protection), все доступные метрики и их метки — в [справочнике](../metrics.md#network-protection-metrics).

## Ограничения {#restrictions}

* На стадии Preview отключить защиту или изменить ее настройки нельзя.
* Защищается только публичный IPv4-адрес прокси-сервера.

[*osi]: OSI (Open Systems Interconnection) — модель сетевого взаимодействия из семи уровней. Она разделяет функции сетевых протоколов: IP относится к сетевому уровню L3, TCP и UDP — к транспортному L4, HTTP — к прикладному L7. Подробнее о [модели OSI](https://www.itu.int/rec/T-REC-X.200-199407-I/en).

[*proxy-server]: Прокси-сервер Smart Web Security принимает HTTP- и HTTPS-запросы к подключенным доменам и передает их веб-приложениям после проверки правилами защиты. Это позволяет защищать приложения как в Yandex Cloud, так и за его пределами. Подробнее о [прокси-серверах Smart Web Security](domain-protect.md#proxy).

[*syn-cookie]: SYN cookie — механизм защиты от TCP SYN Flood. Сервер выделяет память для состояния TCP-соединения только после проверки ответа клиента. Это помогает предотвратить исчерпание памяти из-за множества незавершенных соединений при атаке. Подробнее в [RFC 4987](https://www.rfc-editor.org/rfc/rfc4987.html#section-3.6).