DDoS přes VPN: která adresa je skutečně vystavená?
Tunel skrývá vaši zdrojovou adresu před jednou službou, ale ne váš přípojný okruh, výstup VPN ani přesměrovaný port. Pojmenujte cíl dřív, než začnete plánovat zmírnění.
Začněte požadavkem, který má způsobit škodu. Může dorazit na váš domácí okruh, na výstup VPN nebo na publikovanou aplikaci za tunelem. Každé místo určení má jiný limit kapacity a jiného vlastníka, který může filtrovat provoz. Pojmenování cíle je první užitečný krok a předplatné VPN odpovídá jen na jednu ze tří možností.
Projděte expozici ještě před útokem
Sledujte jeden příchozí požadavek z internetu k prostředku, který má vyčerpat. Pokud je cílem adresa vaší domácnosti, limitem je přípojný okruh a hrana poskytovatele. Pokud je to výstup VPN, limit patří operátorovi VPN. Pokud je to přesměrovaný port, úzkým místem se stává vlastní zpracování aplikace.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Na tři cíle lze útočit současně, ale zmírňují se na různých místech. Zapište, který z nich váš plán tvrdí, že chrání.
Váš vlastní přípojný okruh si adresu ponechává
Směrování odchozího provozu tunelem mění to, co vidí vzdálené služby. Neodstraňuje adresu, kterou váš přípojný okruh má, ani nepřesouvá kapacitu tohoto okruhu.
Provoz namířený na okruh stále soutěží s vlastními pakety tunelu. Místní firewall může pakety zahodit poté, co dorazí, ale omezený upstream je už nese. Ten rozdíl je důležitý, když je okruh nasycený, protože filtr nemůže vrátit kapacitu, kterou nikdy neřídil. Pokud důkazy ukazují na tento okruh, obraťte se na poskytovatele připojení prostřednictvím jeho procesu pro incidenty.
Výstup VPN je nyní sdílená závislost
Kdokoli sleduje výstup VPN, může tam místo toho poslat nežádoucí provoz. Zda jej poskytovatel pohltí, závisí na skutečné kapacitě, architektuře a případné službě zmírňování, kterou provozuje, ne na šifrování tunelu.
Sdílený výstup může utrpět i incident namířený na jiného zákazníka nebo na okolní síť poskytovatele. Pokyny CISA k odmítnutí služby upozorňují, že když je napaden poskytovatel internetu nebo cloudový poskytovatel, mohou ztmavnout i sítě, které nikdo necílil. U serveru, který si spravujete sami, stále vlastní upstream kapacitu poskytovatel hostingu, a to ještě předtím, než váš host uvidí paket. Filtrování uvnitř hosta nemůže vrátit šířku pásma, která už byla spotřebována.
Publikovaný port potřebuje plán služby
Přesměrovaný port záměrně vystavuje aplikaci, takže požadavky, které vypadají legitimně, dorazí do jejího zpracování bez ohledu na to, jak je řízeno přijetí na tunelu. Přijetí na tunelu, filtrování na hostiteli a autorizace aplikace pokrývají různé fáze a žádná z nich nezaručuje ochranu před vyčerpáním prostředků.
Využijte podporované limity služby, monitorování a zmírňování na upstreamu a určete, kdo může během incidentu požádat o pomoc. Spotřebitelské předplatné VPN není důkazem, že tyto kontroly pro vaši aplikaci existují.
Diagnózu držte úměrnou. Pomalé stránky a přerušená spojení vznikají i z údržby, soupeření o prostředky nebo běžných poruch, proto si pro odpovědného operátora uchovejte časová razítka a omezená pozorování. Nikdy tvrzení neověřujte neautorizovaným floodem a místo toho použijte schválený plán s vlastníkem infrastruktury.