DDoS per VPN: kiu adreso estas vere elmetita?
Tunelo kaŝas vian fontan adreson de unu servo, sed ne vian suprenligon, la eliron de la VPN aŭ plusenditan pordon. Nomu la celon antaŭ ol plani mildigon.
Komencu per la peto, kiu supozeble kaŭzos damaĝon. Ĝi povas alveni al via hejma ligo, al la eliro de la VPN aŭ al publikigita aplikaĵo malantaŭ la tunelo. Ĉiu celo havas malsaman kapacitan limon kaj malsaman posedanton, kiu povas filtri trafikon. Nomado de la celo estas la unua utila paŝo, kaj VPN-abono respondas nur unu el la tri.
Trairu la elmeton antaŭ la atako
Spuru unu envenan peton de la interreto al la rimedo, kiun ĝi supozeble elĉerpos. Se la celo estas via hejma adreso, la limo estas la alir-ligo kaj la rando de la provizanto. Se ĝi estas la eliro de la VPN, la limo apartenas al la VPN-operaciisto. Se ĝi estas plusendita pordo, la propra traktado de la aplikaĵo fariĝas la botelo.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
La tri celoj povas esti atakitaj kune, sed ili estas mildigataj en malsamaj lokoj. Notu, kiun el ili via plano asertas protekti.
Via propra suprenligo konservas sian adreson
Enkursigo de via eliranta trafiko tra tunelo ŝanĝas tion, kion vidas malproksimaj servoj. Ĝi ne forigas la adreson, kiun posedas via alir-ligo, nek movas la kapaciton de tiu ligo.
Trafiko direktita al la ligo ankoraŭ konkurso kun la propraj pakaĵoj de la tunelo. Loka fajroŝirmilo povas forĵeti pakaĵojn post ilia alveno, sed la limigita suprenfluo jam portas ilin. Tiu diferenco gravas, kiam la ligo estas saturita, ĉar filtrilo ne povas redoni kapaciton, kiun ĝi neniam regis. Kontaktu la alirprovizanton per ĝia incidenta procezo, se la pruvoj montras al tiu ligo.
La eliro de la VPN nun estas komuna dependeco
Iu ajn, kiu observas la eliron de la VPN, povas anstataŭe sendi nedeziratan trafikon tien. Ĉu la provizanto absorbos ĝin, dependas de reala kapacito, arkitekturo kaj eventuala mildiga servo, kiun ĝi funkciigas, ne de la ĉifrado de la tunelo.
Komuna eliro ankaŭ povas suferi pro incidento direktita al alia kliento aŭ al la ĉirkaŭa provizanta reto. La gvidilo de CISA pri rifuzo de servo rimarkigas, ke kiam interretprovizanto aŭ nuba provizanto estas atakita, retoj, kiujn neniu celis, ankaŭ povas mallumiĝi. Por mem-administrata servilo, la gastigprovizanto ankoraŭ posedas la suprenan kapaciton, kiu alvenas antaŭ ol via gasto vidas pakaĵon. Filtrado ene de la gasto ne povas restaŭri bendolarĝon jam elspezitan.
Publikigita pordo bezonas servan planon
Plusendita pordo intence elmetas aplikaĵon, do petoj, kiuj aspektas legitimaj, atingas ĝian traktan vojon, kiel ajn la eniro estas kontrolata ĉe la tunelo. Tunela eniro, gastiga filtrado kaj aplikaĵa rajtigo kovras malsamajn etapojn, kaj neniu el ili garantias protekton kontraŭ elĉerpiĝo de rimedoj.
Uzu la subtenatajn limojn de la servo, observadon kaj suprenan mildigon, kaj nomu, kiu povas peti helpon dum incidento. Konsumanta VPN-abono ne estas pruvo, ke tiuj kontroloj ekzistas por via aplikaĵo.
Tenu la diagnozon proporcia. Malrapidaj paĝoj kaj interrompitaj konektoj ankaŭ venas de prizorgado, konkurado pri rimedoj aŭ ordinaraj paneoj, do konservu tempomarkojn kaj limigitajn observojn por la respondeca operaciisto. Neniam validigu la aserton per neaŭtorizita inundo, kaj anstataŭe uzu aprobitan planon kun la posedanto de la infrastrukturo.