DDoS met ’n VPN: watter adres is werklik blootgestel?
’n Tonnel verberg jou bronadres vir een diens, maar nie jou opverbinding, die VPN-uitgang of ’n deurgegee poort nie. Noem die teiken voordat jy versagting beplan.
Begin met die versoek wat veronderstel is om skade aan te rig. Dit kan by jou huisverbinding aankom, by die VPN-uitgang, of by ’n gepubliseerde toepassing agter die tonnel. Elke bestemming het ’n ander kapasiteitsperk en ’n ander eienaar wat verkeer kan filter. Om die teiken te noem is die eerste nuttige stap, en ’n VPN-subskripsie beantwoord net een van die drie.
Stap eers die blootstelling na voor die aanval
Volg een inkomende versoek van die internet na die hulpbron wat dit veronderstel is om uit te put. As die bestemming jou huishoudelike adres is, is die perk die toegangsverbinding en die diensverskaffer se rand. As dit die VPN-uitgang is, behoort die perk aan die VPN-operateur. As dit ’n deurgegee poort is, word die toepassing se eie hantering die knelpunt.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Die drie teikens kan saam aangeval word, maar hulle word op verskillende plekke versag. Skryf neer watter een jou plan beweer dit beskerm.
Jou eie opverbinding behou sy adres
Om jou uitgaande verkeer deur ’n tonnel te lei, verander wat afgeleë dienste sien. Dit verwyder nie die adres wat jou toegangsverbinding hou nie en skuif ook nie daardie verbinding se kapasiteit nie.
Verkeer wat op die verbinding gerig is, kompeteer steeds met die tonnel se eie pakkette. ’n Plaaslike firewall kan pakkette laat val nadat hulle aankom, maar die beperkte opstroom dra hulle reeds. Daardie verskil maak saak wanneer die verbinding versadig is, want ’n filter kan nie kapasiteit teruggee wat dit nooit beheer het nie. Kontak die toegangsverskaffer deur sy insidentproses as die bewyse na daardie verbinding wys.
Die VPN-uitgang is nou ’n gedeelde afhanklikheid
Enigiemand wat die VPN-uitgang waarneem, kan eerder ongewenste verkeer daarheen stuur. Of die verskaffer dit absorbeer, hang af van werklike kapasiteit, argitektuur en enige versagtingsdiens wat hy bedryf, nie van die tonnel se enkripsie nie.
’n Gedeelde uitgang kan ook ly onder ’n insident wat op ’n ander kliënt of op die omliggende verskaffernetwerk gerig is. CISA se leiding oor diensweiering wys daarop dat wanneer ’n ISP of wolkverskaffer aangeval word, netwerke wat niemand geteiken het nie, ook kan verduister. Vir ’n selfbestuurde bediener besit die gasheerverskaffer steeds die opstroomkapasiteit wat aankom voordat jou gasheer ’n pakket sien. Filtering binne die gasheer kan nie bandwydte herstel wat reeds bestee is nie.
’n Gepubliseerde poort het ’n diensplan nodig
’n Deurgegee poort stel ’n toepassing doelbewus bloot, so versoeke wat wettig lyk, bereik die hanteringspad daarvan ongeag hoe toelating by die tonnel beheer word. Tonneltoelating, gasheerfiltering en toepassingsmagtiging dek verskillende stadiums, en nie een van hulle waarborg beskerming teen uitputting van hulpbronne nie.
Gebruik die diens se ondersteunde perke, monitering en opstroomversagting, en noem wie tydens ’n insident om hulp kan vra. ’n Verbruikers-VPN-subskripsie is nie bewys dat daardie kontroles vir jou toepassing bestaan nie.
Hou diagnose in verhouding. Stadige bladsye en onderbroke verbindings kom ook van instandhouding, mededinging of gewone foute, so bewaar tydstempels en begrensde waarnemings vir die verantwoordelike operateur. Moet nooit die bewering met ’n ongemagtigde vloed valideer nie, en gebruik eerder ’n goedgekeurde plan saam met die eienaar van die infrastruktuur.