DDoS gyda VPN: pa gyfeiriad sydd wir yn agored?
Mae twnnel yn cuddio eich cyfeiriad ffynhonnell rhag un gwasanaeth, ond nid eich dolen lanlwytho, allanfa VPN na phorth a anfonwyd ymlaen. Enwch y targed cyn cynllunio lliniaru.
Dechreuwch gyda’r cais sy’n debygol o achosi niwed. Gall gyrraedd eich dolen gartref, allanfa VPN, neu gymhwysiad cyhoeddedig y tu ôl i’r twnnel. Mae gan bob cyrchfan derfyn gallu gwahanol a pherchennog gwahanol a all hidlo traffig. Enwi’r targed yw’r cam defnyddiol cyntaf, ac mae tanysgrifiad VPN yn ateb dim ond un o’r tri.
Cerddwch drwy’r amlygiad cyn yr ymosodiad
Olrheiniwch un cais sy’n dod i mewn o’r rhyngrwyd i’r adnodd y mae i fod i’w ddisbyddu. Os mai cyfeiriad eich cartref yw’r gyrchfan, y terfyn yw’r ddolen fynediad ac ymyl y darparwr. Os mai allanfa VPN yw hi, mae’r terfyn yn perthyn i weithredwr y VPN. Os mai porth a anfonwyd ymlaen yw hi, daw triniaeth y cymhwysiad ei hun yn fan cul.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Gellir ymosod ar y tri tharged gyda’i gilydd, ond fe’u lliniarir mewn gwahanol leoedd. Nodwch pa un y mae eich cynllun yn honni ei warchod.
Mae eich dolen lanlwytho eich hun yn cadw ei chyfeiriad
Mae llwybro eich traffig allan drwy dwnnel yn newid yr hyn y mae gwasanaethau pell yn ei weld. Nid yw’n dileu’r cyfeiriad sydd gan eich dolen fynediad ac nid yw’n symud gallu’r ddolen honno.
Mae traffig sy’n anelu at y ddolen yn dal i gystadlu â phecynnau’r twnnel ei hun. Gall wal dân leol ollwng pecynnau ar ôl iddynt gyrraedd, ond mae’r llif i fyny cyfyngedig eisoes yn eu cario. Mae’r gwahaniaeth hwnnw’n bwysig pan fydd y ddolen yn dirlawn, oherwydd ni all hidlydd roi yn ôl allu na reolodd erioed. Cysylltwch â’r darparwr mynediad drwy ei broses digwyddiadau os yw’r dystiolaeth yn pwyntio at y ddolen honno.
Mae allanfa VPN bellach yn ddibyniaeth a rennir
Gall unrhyw un sy’n arsylwi allanfa VPN anfon traffig diangen yno yn lle hynny. Mae a fydd y darparwr yn ei amsugno yn dibynnu ar allu gwirioneddol, pensaernïaeth ac unrhyw wasanaeth lliniaru y mae’n ei redeg, nid ar amgryptio’r twnnel.
Gall allanfa a rennir hefyd ddioddef digwyddiad sy’n anelu at gwsmer arall neu at rwydwaith y darparwr o gwmpas. Mae canllaw CISA ar wrthod gwasanaeth yn nodi, pan fydd ISP neu ddarparwr cwmwl yn cael ei ymosod, y gall rhwydweithiau na thargedwyd neb ohonynt fynd yn dywyll hefyd. Ar gyfer gweinydd a reolir gennych chi eich hun, mae’r darparwr lletya yn dal i berchen ar y gallu i fyny sy’n cyrraedd cyn i’ch gwestai weld pecyn. Ni all hidlo y tu mewn i’r gwestai adfer lled band sydd eisoes wedi’i wario.
Mae porth cyhoeddedig angen cynllun gwasanaeth
Mae porth a anfonir ymlaen yn datgelu cymhwysiad yn fwriadol, felly mae ceisiadau sy’n edrych yn gyfreithlon yn cyrraedd ei lwybr trin, waeth sut y rheolir derbyniad yn y twnnel. Mae derbyniad twnnel, hidlo gwesteiwr ac awdurdodi cymhwysiad yn cwmpasu gwahanol gamau, ac nid oes yr un ohonynt yn gwarantu amddiffyniad rhag disbyddu adnoddau.
Defnyddiwch derfynau â chymorth y gwasanaeth, monitro a lliniaru i fyny, a nodwch pwy all ofyn am help yn ystod digwyddiad. Nid yw tanysgrifiad VPN defnyddiwr yn dystiolaeth bod y rheolaethau hynny’n bodoli ar gyfer eich cymhwysiad.
Cadwch y diagnosis yn gymesur. Mae tudalennau araf a chysylltiadau wedi’u torri hefyd yn dod o waith cynnal a chadw, cystadleuaeth am adnoddau neu fân fethiannau, felly cadwch stampiau amser ac arsylwadau cyfyngedig i’r gweithredwr cyfrifol. Peidiwch byth â dilysu’r honiad ag amlif unannog, a defnyddiwch gynllun cymeradwy gyda pherchennog y seilwaith yn lle hynny.