DDoS mit VPN: Welche Adresse ist wirklich exponiert?
Ein Tunnel verbirgt Ihre Quelladresse vor einem Dienst, aber nicht Ihren Uplink, den VPN-Ausgang oder einen weitergeleiteten Port. Benennen Sie das Ziel, bevor Sie Gegenmaßnahmen planen.
Beginnen Sie mit der Anfrage, die Schaden anrichten soll. Sie kann an Ihrem Heimanschluss ankommen, am VPN-Ausgang oder bei einer veröffentlichten Anwendung hinter dem Tunnel. Jedes Ziel hat ein anderes Kapazitätslimit und einen anderen Eigentümer, der Verkehr filtern kann. Das Ziel zu benennen ist der erste nützliche Schritt, und ein VPN-Abo beantwortet nur eines der drei.
Gehen Sie die Exposition vor dem Angriff durch
Verfolgen Sie eine eingehende Anfrage vom Internet bis zur Ressource, die sie ausschöpfen soll. Ist das Ziel Ihre Hausadresse, liegt das Limit beim Zugangsanschluss und beim Edge des Anbieters. Ist es der VPN-Ausgang, gehört das Limit dem VPN-Betreiber. Ist es ein weitergeleiteter Port, wird die eigene Verarbeitung der Anwendung zum Engpass.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Die drei Ziele können gemeinsam angegriffen werden, aber sie werden an verschiedenen Stellen abgemildert. Notieren Sie, welches davon Ihr Plan zu schützen behauptet.
Ihr eigener Uplink behält seine Adresse
Wenn Sie Ihren ausgehenden Verkehr durch einen Tunnel leiten, ändert sich, was entfernte Dienste sehen. Die Adresse Ihres Zugangsanschlusses verschwindet dadurch nicht, und die Kapazität dieses Anschlusses verschiebt sich nicht.
Verkehr, der auf den Anschluss zielt, konkurriert weiterhin mit den Paketen des Tunnels selbst. Eine lokale Firewall kann Pakete verwerfen, nachdem sie ankommen, aber der begrenzte Upstream befördert sie bereits. Dieser Unterschied zählt, wenn der Anschluss gesättigt ist, denn ein Filter kann keine Kapazität zurückgeben, die er nie kontrolliert hat. Wenden Sie sich über den Incident-Prozess an den Zugangsanbieter, wenn die Belege auf diesen Anschluss deuten.
Der VPN-Ausgang ist jetzt eine geteilte Abhängigkeit
Wer den VPN-Ausgang beobachtet, kann stattdessen unerwünschten Verkehr dorthin senden. Ob der Anbieter ihn abfängt, hängt von realer Kapazität, Architektur und etwaigen Abwehrdiensten ab, nicht von der Verschlüsselung des Tunnels.
Ein geteilter Ausgang kann auch unter einem Vorfall leiden, der auf einen anderen Kunden oder auf das umgebende Anbieternetz zielt. Die CISA-Leitlinie zu Denial-of-Service-Angriffen stellt fest, dass bei einem Angriff auf einen Internet- oder Cloud-Anbieter auch Netze ausfallen können, die niemand ins Visier genommen hat. Bei einem selbst verwalteten Server besitzt der Hosting-Anbieter weiterhin die Upstream-Kapazität, die ankommt, bevor Ihr Gast ein Paket sieht. Filtern im Gast kann bereits verbrauchte Bandbreite nicht zurückholen.
Ein veröffentlichter Port braucht einen Serviceplan
Ein weitergeleiteter Port legt eine Anwendung absichtlich offen, sodass scheinbar legitime Anfragen ihren Verarbeitungspfad erreichen, egal wie die Zulassung am Tunnel geregelt ist. Tunnelzulassung, Host-Filterung und Anwendungsautorisierung decken verschiedene Stufen ab, und keine davon garantiert Schutz vor Ressourcenerschöpfung.
Nutzen Sie die unterstützten Limits des Dienstes, Monitoring und Upstream-Abwehr und benennen Sie, wer während eines Vorfalls Hilfe anfordern kann. Ein Verbraucher-VPN-Abo ist kein Beleg dafür, dass diese Kontrollen für Ihre Anwendung existieren.
Halten Sie die Diagnose verhältnismäßig. Langsame Seiten und abgebrochene Verbindungen kommen auch von Wartung, Konkurrenz um Ressourcen oder gewöhnlichen Fehlern; bewahren Sie daher Zeitstempel und begrenzte Beobachtungen für den verantwortlichen Betreiber auf. Bestätigen Sie die Behauptung niemals mit einem unautorisierten Flood, sondern nutzen Sie einen abgestimmten Plan mit dem Infrastrukturbetreiber.