DDoS VPN-iga: milline aadress on tegelikult avatud?
Tunnel peidab sinu lähteaadressi ühe teenuse eest, kuid mitte sinu ühendusliini, VPN-i väljapääsu ega edastatud porti. Nimeta sihtmärk enne leevenduse planeerimist.
Alusta taotlusest, mis peaks kahju tegema. See võib jõuda sinu koduliinile, VPN-i väljapääsu või tunneli taga avaldatud rakendusse. Igal sihtkohal on erinev mahupiir ja erinev omanik, kes saab liiklust filtreerida. Sihtmärgi nimetamine on esimene kasulik samm ja VPN-i tellimus vastab vaid ühele kolmest.
Käi läbi avatus enne rünnet
Jälgi ühte sissetulevat taotlust internetist ressursini, mida see peaks ammendama. Kui sihtkoht on sinu koduaadress, on piiriks juurdepääsuliin ja teenusepakkuja serv. Kui see on VPN-i väljapääs, kuulub piir VPN-i operaatorile. Kui see on edastatud port, saab rakenduse enda töötlemine kitsaskohaks.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Kolme sihtmärki saab rünnata koos, kuid neid leevendatakse eri kohtades. Kirjuta üles, millist neist sinu plaan väidab kaitsvat.
Sinu enda ühendusliin säilitab oma aadressi
Väljuva liikluse tunnelist läbi juhtimine muudab seda, mida näevad kauged teenused. See ei eemalda aadressi, mis sinu juurdepääsuliinil on, ega nihuta selle liini mahtu.
Liinile suunatud liiklus võistleb endiselt tunneli enda pakettidega. Kohalik tulemüür võib pakette pärast nende saabumist maha visata, kuid piiratud ülesvool juba kannab neid. See erinevus loeb siis, kui liin on küllastunud, sest filter ei saa tagasi anda mahtu, mida ta kunagi ei juhtinud. Võta juurdepääsuteenuse pakkujaga ühendust tema intsidentide protsessi kaudu, kui tõendid osutavad sellele liinile.
VPN-i väljapääs on nüüd jagatud sõltuvus
Igaüks, kes VPN-i väljapääsu jälgib, võib saata sinna hoopis soovimatu liikluse. Kas teenusepakkuja selle neelab, sõltub tegelikust mahust, arhitektuurist ja võimalikust leevendusteenusest, mida ta käitab, mitte tunneli krüpteerimisest.
Jagatud väljapääs võib kannatada ka intsidendi all, mis on suunatud teisele kliendile või ümbritsevale teenusepakkuja võrgule. CISA juhised teenusest keeldumise kohta märgivad, et kui rünnatakse internetiteenuse pakkujat või pilveteenuse pakkujat, võivad pimedaks minna ka võrgud, mida keegi ei sihtinud. Ise hallatava serveri puhul kuulub ülesvoolu maht endiselt hostimisteenuse pakkujale ja see saabub enne, kui sinu külaline paketti näeb. Külalise sees filtreerimine ei suuda taastada juba kulutatud ribalaiust.
Avaldatud port vajab teenuseplaani
Edastatud port avab rakenduse tahtlikult, nii et seaduslikuna näivad taotlused jõuavad selle töötlemisteekonnani, ükskõik kuidas tunnelis vastuvõttu juhitakse. Tunneli vastuvõtt, hosti filtreerimine ja rakenduse autoriseerimine katavad eri etappe ja ükski neist ei taga kaitset ressursside ammendumise eest.
Kasuta teenuse toetatud piire, seiret ja ülesvoolu leevendust ning nimeta, kes saab intsidendi ajal abi paluda. Tarbija VPN-i tellimus ei ole tõend, et need kontrollid sinu rakenduse jaoks olemas on.
Hoia diagnoos proportsionaalne. Aeglased lehed ja katkenud ühendused tulevad ka hooldusest, ressursside pärast võistlemisest või tavalistest riketest, seega säilita vastutavale operaatorile ajatemplid ja piiratud vaatlused. Ära kunagi kinnita väidet volitamata üleujutusega ja kasuta selle asemel infrastruktuuri omanikuga kokku lepitud plaani.