DDoS през VPN: кой адрес всъщност е изложен?
Тунелът скрива изходния ви адрес от една услуга, но не и входящия ви канал, изхода на VPN или пренасочен порт. Назовете целта, преди да планирате смекчаване.
Започнете със заявката, която би трябвало да навреди. Тя може да пристигне на домашния ви канал, на изхода на VPN или на публикувано приложение зад тунела. Всяка дестинация има различен лимит на капацитета и различен собственик, който може да филтрира трафика. Назоваването на целта е първата полезна стъпка, а абонаментът за VPN отговаря само на едно от трите.
Проследете излагането преди атаката
Проследете една входяща заявка от интернет до ресурса, който тя трябва да изчерпи. Ако дестинацията е домашният ви адрес, лимитът е каналът за достъп и ръбът на доставчика. Ако е изходът на VPN, лимитът принадлежи на оператора на VPN. Ако е пренасочен порт, тясното място става собствената обработка на приложението.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Трите цели могат да бъдат атакувани заедно, но смекчаването им става на различни места. Запишете коя от тях вашият план твърди, че защитава.
Собственият ви входящ канал запазва адреса си
Пренасочването на изходящия ви трафик през тунел променя това, което виждат отдалечените услуги. То не премахва адреса, който държи каналът ви за достъп, и не мести капацитета на този канал.
Трафикът, насочен към канала, все още се конкурира със собствените пакети на тунела. Локална защитна стена може да изхвърля пакети, след като пристигнат, но ограниченият upstream вече ги носи. Тази разлика е важна, когато каналът е наситен, защото филтърът не може да върне капацитет, който никога не е контролирал. Свържете се с доставчика на достъп чрез неговия процес за инциденти, ако доказателствата сочат към този канал.
Изходът на VPN вече е споделена зависимост
Всеки, който наблюдава изхода на VPN, може вместо това да изпрати нежелан трафик там. Дали доставчикът ще го поеме, зависи от реалния капацитет, архитектурата и евентуална услуга за смекчаване, която той поддържа, а не от криптирането на тунела.
Споделеният изход може също да пострада от инцидент, насочен към друг клиент или към обкръжаващата мрежа на доставчика. Насоките на CISA за отказ на услуга отбелязват, че когато доставчик на интернет или облачен доставчик бъде атакуван, мрежи, които никой не е избирал за цел, също могат да потъмнеят. За самостоятелно управляван сървър хостинг доставчикът все още притежава upstream капацитета, който пристига, преди вашият гост да види пакет. Филтрирането вътре в госта не може да възстанови честотната лента, която вече е изразходвана.
Публикуваният порт се нуждае от план за услугата
Пренасоченият порт умишлено излага приложение, така че заявки, които изглеждат законни, достигат до пътя му за обработка, независимо как е контролиран достъпът при тунела. Допускането на тунела, филтрирането на хоста и оторизацията на приложението покриват различни етапи и нито едно от тях не гарантира защита срещу изчерпване на ресурси.
Използвайте поддържаните лимити на услугата, мониторинга и upstream смекчаването и посочете кой може да поиска помощ по време на инцидент. Потребителският абонамент за VPN не е доказателство, че тези контроли съществуват за вашето приложение.
Пазете диагнозата съразмерна. Бавните страници и прекъснатите връзки идват и от поддръжка, конкуренция за ресурс или обикновени повреди, затова запазете времеви марки и ограничени наблюдения за отговорния оператор. Никога не проверявайте твърдението с неоторизиран поток, а използвайте одобрен план със собственика на инфраструктурата.