DDoS amb una VPN: quina adreça queda realment exposada?
Un túnel amaga l’adreça d’origen d’un servei, però no l’enllaç ascendent, la sortida de la VPN ni un port reenviat. Anomena l’objectiu abans de planificar la mitigació.
Comença per la petició que hauria de fer mal. Pot arribar al teu enllaç domèstic, a la sortida de la VPN o a una aplicació publicada darrere del túnel. Cada destinació té un límit de capacitat diferent i un propietari diferent que pot filtrar el trànsit. Anomenar l’objectiu és el primer pas útil, i una subscripció de VPN només respon a un dels tres.
Recorre l’exposició abans de l’atac
Ressegueix una petició entrant d’internet fins al recurs que ha d’esgotar. Si la destinació és l’adreça de casa teva, el límit és l’enllaç d’accés i la vora del proveïdor. Si és la sortida de la VPN, el límit pertany a l’operador de la VPN. Si és un port reenviat, la gestió pròpia de l’aplicació es converteix en el coll d’ampolla.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Els tres objectius es poden atacar alhora, però es mitiguen en llocs diferents. Anota quin dels tres assegura el teu pla que protegeix.
El teu propi enllaç ascendent conserva la seva adreça
Encaminar el trànsit sortint per un túnel canvia el que veuen els serveis remots. No elimina l’adreça que té l’enllaç d’accés ni mou la capacitat d’aquest enllaç.
El trànsit dirigit a l’enllaç continua competint amb els paquets propis del túnel. Un tallafoc local pot descartar paquets després que arribin, però l’enllaç ascendent limitat ja els està transportant. Aquesta diferència importa quan l’enllaç està saturat, perquè un filtre no pot retornar capacitat que mai no va controlar. Contacta amb el proveïdor d’accés pel seu procés d’incidents si les proves apunten a aquest enllaç.
La sortida de la VPN és ara una dependència compartida
Qualsevol que observi la sortida de la VPN hi pot enviar trànsit no desitjat. Si el proveïdor l’absorbeix depèn de la capacitat real, de l’arquitectura i de qualsevol servei de mitigació que operi, no del xifrat del túnel.
Una sortida compartida també pot patir un incident dirigit a un altre client o a la xarxa del proveïdor del voltant. La guia de CISA sobre la denegació de servei assenyala que quan s’ataca un ISP o un proveïdor de núvol, xarxes que ningú no havia triat també poden quedar a les fosques. Per a un servidor autogestionat, el proveïdor d’allotjament continua posseint la capacitat ascendent que arriba abans que el teu convidat vegi cap paquet. Filtrar dins del convidat no pot recuperar l’amplada de banda ja gastada.
Un port publicat necessita un pla de servei
Un port reenviat exposa deliberadament una aplicació, de manera que les peticions que semblen legítimes arriben al seu camí de gestió, tant se val com es controli l’admissió al túnel. L’admissió al túnel, el filtratge a l’amfitrió i l’autorització de l’aplicació cobreixen etapes diferents, i cap d’elles no garanteix protecció contra l’esgotament de recursos.
Utilitza els límits suportats del servei, la monitorització i la mitigació ascendent, i indica qui pot demanar ajuda durant un incident. Una subscripció de VPN de consum no és prova que aquests controls existeixin per a la teva aplicació.
Mantingues el diagnòstic proporcionat. Les pàgines lentes i les connexions tallades també vénen de manteniment, contenció o fallades ordinàries, així que conserva marques de temps i observacions acotades per a l’operador responsable. No validis mai l’afirmació amb una allau no autoritzada, i fes servir un pla aprovat amb el propietari de la infraestructura.