DDoS-aanvallen zijn onder te verdelen in drie brede families: volumetrische floods die je verbinding verzadigen, protocolaanvallen die de connectiestatus uitputten, en aanvallen op applicatieniveau die op legitiem verkeer lijken. Elke vorm put een andere resource uit, dus elke vorm vraagt om een andere verdediging, en geen enkele laag stopt alle drie. Deze gids koppelt de veelvoorkomende aanvalsvormen aan de resource die ze uitputten en de mitigatie die daadwerkelijk werkt, legt uit wat een firewall op de server wel en niet kan tegenhouden, en eindigt met een praktisch incident-response-draaiboek voor wanneer je server onder vuur ligt.

Een verse Linux-server wordt geleverd zonder enige firewallregel. Elke listener die je start, is meteen vanaf het hele internet bereikbaar. De oplossing is een korte, goed doordachte basisconfiguratie: default-deny voor inkomend verkeer, established traffic toestaan, en een expliciete allow-list voor de services die je daadwerkelijk draait. Deze gids bouwt die basisconfiguratie regel voor regel op in nftables, legt uit waar iedereen de fout ingaat (ICMP en IPv6), laat hetzelfde beleid zien in ufw en firewalld, en behandelt hoe je voorkomt dat je jezelf buitensluit, plus de valkuil van Docker-poortpublicatie.

Als je server een actuele Debian-, Ubuntu- of RHEL-familie-distro draait, lopen je "iptables"-regels vrijwel zeker al binnen nftables. Het iptables-commando is sinds 2019 een compatibiliteits-shim. De echte vraag is niet wie er wint; het is of je nog regels blijft schrijven in een legacy-syntax bovenop de nieuwe engine. Deze gids behandelt wat er architecturaal daadwerkelijk is veranderd, een syntax-vergelijking naast elkaar, wat de eerlijke performancedata zegt, en een migratiepad dat Docker niet breekt en je niet buitensluit.