DDoS med VPN: hvilken adresse er egentlig eksponeret?
En tunnel skjuler din kildeadresse for én tjeneste, men ikke dit uplink, VPN-udgangen eller en videresendt port. Navngiv målet, før du planlægger afbødning.
Start med den anmodning, der skal gøre skade. Den kan ankomme til dit hjemmelink, til VPN-udgangen eller til en offentliggjort applikation bag tunnelen. Hver destination har en anden kapacitetsgrænse og en anden ejer, som kan filtrere trafik. At navngive målet er det første nyttige skridt, og et VPN-abonnement besvarer kun ét af de tre.
Gennemgå eksponeringen før angrebet
Følg én indgående anmodning fra internettet til den ressource, den skal udmatte. Hvis destinationen er din hjemadresse, er grænsen adgangslinjen og udbyderens kant. Hvis det er VPN-udgangen, tilhører grænsen VPN-operatøren. Hvis det er en videresendt port, bliver applikationens egen håndtering flaskehalsen.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
De tre mål kan angribes samtidigt, men de afbødes forskellige steder. Skriv ned, hvilket af dem din plan påstår at beskytte.
Dit eget uplink beholder sin adresse
At route din udgående trafik gennem en tunnel ændrer, hvad fjernservices ser. Det fjerner ikke den adresse, dit adgangslink har, og flytter ikke den linjes kapacitet.
Trafik rettet mod linjen konkurrerer stadig med tunnelens egne pakker. En lokal firewall kan droppe pakker, efter de ankommer, men det begrænsede upstream bærer dem allerede. Den forskel betyder noget, når linjen er mættet, fordi et filter ikke kan give kapacitet tilbage, som det aldrig har styret. Kontakt adgangsudbyderen gennem dennes incidentproces, hvis beviserne peger på den linje.
VPN-udgangen er nu en delt afhængighed
Enhver, der observerer VPN-udgangen, kan sende uønsket trafik der i stedet. Om udbyderen absorberer det, afhænger af reel kapacitet, arkitektur og eventuelle afbødningstjenester, ikke af tunnelens kryptering.
En delt udgang kan også lide under en hændelse rettet mod en anden kunde eller mod udbyderens omkringliggende netværk. CISA’s vejledning om denial-of-service bemærker, at når en internetudbyder eller cloududbyder angribes, kan netværk, som ingen målrettede, også gå ned. For en selvadministreret server ejer hostingudbyderen stadig den upstream-kapacitet, der ankommer, før din gæst ser en pakke. Filtrering inde i gæsten kan ikke genskabe båndbredde, der allerede er brugt.
En offentliggjort port kræver en serviceplan
En videresendt port eksponerer bevidst en applikation, så anmodninger, der ser legitime ud, når dens håndteringsvej, uanset hvordan adgang kontrolleres i tunnelen. Tunnels adgang, værtsfiltrering og applikationsgodkendelse dækker forskellige trin, og ingen af dem garanterer beskyttelse mod ressourceudmattelse.
Brug tjenestens understøttede grænser, overvågning og upstream-afbødning, og navngiv, hvem der kan bede om hjælp under en hændelse. Et forbruger-VPN-abonnement er ikke bevis for, at disse kontroller findes for din applikation.
Hold diagnosen afbalanceret. Langsomme sider og afbrudte forbindelser kommer også fra vedligeholdelse, konkurrence om ressourcer eller almindelige fejl, så gem tidsstempler og afgrænsede observationer til den ansvarlige operatør. Validér aldrig påstanden med en uautoriseret flood, og brug i stedet en godkendt plan med infrastrukturejeren.