¿Qué servidor dedicado anti DDoS aguanta de verdad un ataque?

OVHcloud lleva más de diez años vendiendo su anti DDoS como algo central, y se nota en los detalles. La protección está activa por defecto en todos sus productos, sin recargo sea cual sea el volumen del ataque. La detección funciona sin parar, la mitigación arranca en segundos y dura lo que dure el ataque. Es además el único proveedor de esta comparativa que publica una capacidad de filtrado: varios Tbit/s en toda su red.

La primera barrera es el Edge Network Firewall. Puedes poner hasta 20 reglas por dirección IP para dejar pasar solo tus puertos útiles antes de que el tráfico toque el servidor. Dos pegas. Solo funciona con IPv4. Y rechaza el tráfico QUIC en el borde de la red, lo configures como lo configures: tu web no podrá servir HTTP/3 detrás de él. Durante un ataque se activa a la fuerza, aunque lo tuvieras apagado.

Para juegos, la gama Game suma un cortafuegos de capa 7 que entiende los protocolos de más de 35 juegos. Está incluido, pero hay que activarlo IP por IP. Un juego sin perfil, como FiveM, queda mal cubierto: en el foro de OVHcloud, un administrador cuenta que un ataque de 80 Mbit/s bastaba para tumbar su servidor. Otra pega muy española: la web de OVHcloud marca a menudo el Rise-1 como «Próximamente disponible», así que comprueba el stock antes de planificar la migración.

Hetzner protege gratis a todos sus clientes contra DDoS y asegura que esa protección no ha subido sus precios. El filtrado funciona con equipos Arbor y Juniper. Detecta solo los patrones de ataque por volumen, paquetes y tipo, y filtra los habituales: reflexión DNS y NTP, inundaciones UDP, inundaciones SYN, paquetes no válidos. Hetzner es prudente con sus palabras: reconoce «casi todos» los patrones, y el tráfico legítimo «normalmente» no se ve afectado.

Lo que falta: ninguna cifra de capacidad y nada sobre la capa 7. En LowEndSpirit, un cliente de muchos años lo resume así: la propia Hetzner llama básica a su protección, suficiente para un uso normal. Otro usuario cuenta que en un servidor de juegos puede tardar hasta cinco minutos en activarse. En una web con Cloudflare delante casi no se nota. En un juego con UDP, se desconecta a todos los jugadores.

El cortafuegos del Robot (el área de cliente) es sencillo: sin estado, 10 reglas como máximo por sentido, IPv4 por defecto. Trampa clásica: si lo activas sin reglas, lo bloquea todo, y las respuestas TCP necesitan una regla explícita con el indicador ACK. El precio lo compensa: 59 € al mes sin IVA por el AX41, sin cuota de alta y con tráfico ilimitado.

IONOS incluye protección contra ataques DDoS en sus servidores dedicados, junto con un cortafuegos IP avanzado y vigilancia SIEM e IDS/IPS. Su web española tiene una sinceridad poco habitual: reconoce que hoy no es posible una protección completa contra DDoS. Es verdad en todos los proveedores, pero IONOS es el único que lo escribe.

Su documentación técnica describe una protección básica, activa por defecto, centrada en las capas 3 y 4: detección permanente y contención automática de inundaciones UDP y SYN. Para la capa 7 remite a una CDN. No publica ninguna capacidad de filtrado.

Donde IONOS gana es en el trato: soporte 24/7 por teléfono, chat o correo, y un asesor personal tras la compra. Para una pyme sin administrador de sistemas, eso vale más que unos Tbit/s teóricos. Cada IPv4 adicional cuesta 5 € al mes sin IVA, útil si tienes que cambiar de IP tras una filtración. El precio del servidor aparece al configurarlo: compáralo con el primer mes real de OVHcloud y Hetzner.

Kimsufi es la gama de entrada de OVHcloud y comparte su red anti DDoS, incluida como en todos sus productos. La diferencia está en la primera barrera: la documentación de OVHcloud avisa de que el Edge Network Firewall puede no estar disponible o estar limitado en los servidores Eco, y Kimsufi es uno de ellos. Te tocará filtrar los puertos con el cortafuegos del sistema (iptables o nftables).

En los foros se describe una mitigación que salta tras la detección, con un corte breve de conexión cuando se activa. Para un blog o un servidor de copias, no pasa nada. Para un servidor de juegos público, cada activación echa a todo el mundo.

La otra pega es el stock: los modelos más baratos aparecen a menudo como no disponibles. Aun así, a 9,99 € al mes sin IVA por el KS-B, es la forma más barata de tener una máquina entera detrás de la red de OVHcloud.