VPN দিয়ে DDoS: আসলে কোন ঠিকানাটি উন্মুক্ত?

যে অনুরোধটি ক্ষতি করার কথা, তা দিয়ে শুরু করুন। এটি আপনার বাড়ির লিংকে, VPN এক্সিটে, বা টানেলের পিছনে প্রকাশিত কোনো অ্যাপ্লিকেশনে পৌঁছাতে পারে। প্রতিটি গন্তব্যের সক্ষমতার সীমা আলাদা এবং ট্রাফিক ফিল্টার করতে পারে এমন মালিকও আলাদা। লক্ষ্যের নাম দেওয়াই প্রথম কাজের ধাপ, আর একটি VPN সাবস্ক্রিপশন এই তিনটির মধ্যে একটিরই উত্তর দেয়।

আক্রমণের আগে উন্মোচনটি দেখে নিন

ইন্টারনেট থেকে আসা একটি অনুরোধকে সেই সম্পদের দিকে অনুসরণ করুন যা এটি নিঃশেষ করার কথা। যদি গন্তব্য আপনার বাড়ির ঠিকানা হয়, সীমাটি হলো অ্যাক্সেস লিংক ও প্রদানকারীর প্রান্ত। যদি তা VPN এক্সিট হয়, সীমাটি VPN অপারেটরের। যদি তা ফরওয়ার্ড করা পোর্ট হয়, অ্যাপ্লিকেশনের নিজস্ব প্রক্রিয়াই সংকীর্ণ স্থান হয়ে ওঠে।

তিনটি লক্ষ্যকে একসাথে আক্রমণ করা যায়, কিন্তু প্রশমন ঘটে ভিন্ন ভিন্ন জায়গায়। আপনার পরিকল্পনা কোনটিকে রক্ষার দাবি করে, তা লিখে রাখুন।

আপনার নিজের আপলিংক তার ঠিকানা ধরে রাখে

আপনার বহির্গামী ট্রাফিক টানেলের মধ্য দিয়ে পাঠানো বদলে দেয় দূরবর্তী পরিষেবাগুলো কী দেখে। এটি আপনার অ্যাক্সেস লিংকের ঠিকানা সরায় না, সেই লিংকের সক্ষমতাও সরায় না।

লিংকের দিকে পাঠানো ট্রাফিক এখনও টানেলের নিজস্ব প্যাকেটের সঙ্গে প্রতিযোগিতা করে। একটি স্থানীয় ফায়ারওয়াল প্যাকেট আসার পর তা ফেলে দিতে পারে, কিন্তু সীমিত আপস্ট্রিম ইতিমধ্যেই সেগুলো বহন করছে। লিংকটি সম্পৃক্ত হলে এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ ফিল্টার এমন সক্ষমতা ফিরিয়ে দিতে পারে না যা সে কখনও নিয়ন্ত্রণ করেনি। প্রমাণ যদি সেই লিংকের দিকে ইঙ্গিত করে, তবে অ্যাক্সেস প্রদানকারীর সাথে তার ইনসিডেন্ট প্রক্রিয়ার মাধ্যমে যোগাযোগ করুন।

VPN এক্সিট এখন একটি ভাগ করা নির্ভরতা

যে কেউ VPN এক্সিট পর্যবেক্ষণ করে, সে এর বদলে অপ্রয়োজনীয় ট্রাফিক সেখানে পাঠাতে পারে। প্রদানকারী তা শোষণ করবে কি না, তা নির্ভর করে প্রকৃত সক্ষমতা, স্থাপত্য এবং তার পরিচালিত কোনো প্রশমন পরিষেবার উপর, টানেলের এনক্রিপশনের উপর নয়।

ভাগ করা এক্সিট অন্য কোনো গ্রাহক বা আশপাশের প্রদানকারী নেটওয়ার্ককে লক্ষ্য করে চালানো ইনসিডেন্টেও ভুগতে পারে। CISA-র পরিষেবা-অস্বীকার বিষয়ক নির্দেশনা লক্ষ করে যে কোনো ISP বা ক্লাউড প্রদানকারী আক্রান্ত হলে, যেসব নেটওয়ার্ককে কেউ লক্ষ্য করেনি সেগুলোও অন্ধকার হয়ে যেতে পারে। নিজে পরিচালিত সার্ভারের ক্ষেত্রে, আপনার গেস্ট কোনো প্যাকেট দেখার আগেই যে আপস্ট্রিম সক্ষমতা আসে, তার মালিক এখনও হোস্টিং প্রদানকারী। গেস্টের ভিতরে ফিল্টার করা ইতিমধ্যে ব্যয়িত ব্যান্ডউইথ ফিরিয়ে আনতে পারে না।

প্রকাশিত পোর্টের জন্য পরিষেবা পরিকল্পনা দরকার

ফরওয়ার্ড করা পোর্ট সচেতনভাবেই একটি অ্যাপ্লিকেশন উন্মুক্ত করে, তাই বৈধ দেখতে অনুরোধগুলো টানেলে প্রবেশ নিয়ন্ত্রণ যেভাবেই করা হোক, তার প্রক্রিয়াকরণের পথে পৌঁছায়। টানেল প্রবেশ, হোস্ট ফিল্টারিং ও অ্যাপ্লিকেশন অনুমোদন ভিন্ন ভিন্ন ধাপ ঢেকে রাখে, এবং এর কোনোটিই সম্পদ নিঃশেষের বিরুদ্ধে সুরক্ষার নিশ্চয়তা দেয় না।

পরিষেবার সমর্থিত সীমা, পর্যবেক্ষণ ও আপস্ট্রিম প্রশমন ব্যবহার করুন, এবং ইনসিডেন্টের সময় কে সহায়তা চাইতে পারবে তা নির্ধারণ করুন। গ্রাহক VPN সাবস্ক্রিপশন এই নিয়ন্ত্রণগুলো আপনার অ্যাপ্লিকেশনের জন্য বিদ্যমান থাকার প্রমাণ নয়।

রোগনির্ণয় সংগতিপূর্ণ রাখুন। ধীর পৃষ্ঠা ও বিচ্ছিন্ন সংযোগ রক্ষণাবেক্ষণ, প্রতিযোগিতা বা সাধারণ ত্রুটির কারণেও আসে, তাই দায়িত্বপ্রাপ্ত অপারেটরের জন্য টাইমস্ট্যাম্প ও সীমিত পর্যবেক্ষণ সংরক্ষণ করুন। অননুমোদিত ফ্লাড দিয়ে কখনও দাবিটি যাচাই করবেন না, বরং অবকাঠামোর মালিকের সঙ্গে অনুমোদিত পরিকল্পনা ব্যবহার করুন।