DDoS با VPN: کدام نشانی واقعاً افشا می‌شود؟
یک تونل نشانی مبدأ شما را از یک سرویس پنهان می‌کند، اما نه پیوند بالادست، خروجی VPN یا درگاه هدایت‌شده را. پیش از برنامه‌ریزی برای کاهش، هدف را نام ببرید.
با درخواستی شروع کنید که قرار است آسیب بزند. می‌تواند به پیوند خانگی شما، به خروجی VPN یا به برنامه‌ای منتشرشده در پشت تونل برسد. هر مقصد حد ظرفیت متفاوتی دارد و مالک متفاوتی که می‌تواند ترافیک را فیلتر کند. نام بردن هدف نخستین گام سودمند است، و اشتراک VPN تنها به یکی از این سه پاسخ می‌دهد.
پیش از حمله مسیر افشا را بپیمایید
یک درخواست ورودی را از اینترنت تا منبعی که قرار است تخلیه کند دنبال کنید. اگر مقصد نشانی خانه شماست، حد همان پیوند دسترسی و لبه ارائه‌دهنده است. اگر خروجی VPN است، حد به اپراتور VPN تعلق دارد. اگر درگاه هدایت‌شده است، پردازش خود برنامه به گلوگاه تبدیل می‌شود.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
سه هدف را می‌توان با هم هدف گرفت، اما کاهش آن‌ها در جاهای مختلف انجام می‌شود. بنویسید طرح شما ادعا می‌کند کدام یک را محافظت می‌کند.
پیوند بالادست خود شما نشانی‌اش را نگه می‌دارد
عبور دادن ترافیک خروجی از یک تونل آنچه سرویس‌های دور می‌بینند را تغییر می‌دهد. اما نشانی‌ای که پیوند دسترسی شما دارد را حذف نمی‌کند و ظرفیت آن پیوند را جابه‌جا نمی‌کند.
ترافیکی که به پیوند نشانه رفته هنوز با بسته‌های خود تونل رقابت می‌کند. دیوار آتش محلی می‌تواند بسته‌ها را پس از رسیدن دور بریزد، اما مسیر بالادست محدود از پیش آن‌ها را حمل می‌کند. این تفاوت وقتی پیوند اشباع شده اهمیت دارد، زیرا فیلتر نمی‌تواند ظرفیتی را بازگرداند که هرگز کنترل نکرده است. اگر شواهد به همان پیوند اشاره دارد، از طریق فرایند رسیدگی به رخداد با ارائه‌دهنده دسترسی تماس بگیرید.
خروجی VPN اکنون یک وابستگی مشترک است
هر کس خروجی VPN را مشاهده کند می‌تواند در عوض ترافیک ناخواسته به آنجا بفرستد. اینکه ارائه‌دهنده آن را جذب کند به ظرفیت واقعی، معماری و هر سرویس کاهشی که اداره می‌کند بستگی دارد، نه به رمزنگاری تونل.
یک خروجی مشترک می‌تواند از رخدادی که به مشتری دیگری یا به شبکه پیرامون ارائه‌دهنده نشانه رفته نیز آسیب ببیند. راهنمای CISA درباره انکار سرویس اشاره می‌کند که وقتی به یک ارائه‌دهنده اینترنت یا ارائه‌دهنده ابر حمله می‌شود، شبکه‌هایی که هیچ‌کس هدفشان نگرفته نیز می‌توانند تاریک شوند. برای سروری که خودتان مدیریت می‌کنید، ارائه‌دهنده میزبانی همچنان مالک ظرفیت بالادستی است که پیش از دیدن بسته توسط مهمان شما می‌رسد. فیلترکردن درون مهمان نمی‌تواند پهنای باندی را که پیش‌تر مصرف شده بازگرداند.
درگاه منتشرشده به طرح سرویس نیاز دارد
درگاه هدایت‌شده آگاهانه یک برنامه را افشا می‌کند، بنابراین درخواست‌هایی که مشروع به نظر می‌رسند به مسیر پردازش آن می‌رسند، هر گونه که پذیرش در تونل کنترل شود. پذیرش تونل، فیلترکردن میزبان و مجوزدهی برنامه مراحل مختلفی را پوشش می‌دهند و هیچ‌یک از آن‌ها تضمین محافظت در برابر تخلیه منابع نیست.
از حدهای پشتیبانی‌شده سرویس، پایش و کاهش در بالادست استفاده کنید و مشخص کنید چه کسی در هنگام رخداد می‌تواند درخواست کمک کند. اشتراک VPN مصرفی مدرکی بر وجود این کنترل‌ها برای برنامه شما نیست.
تشخیص را متناسب نگه دارید. صفحه‌های کند و اتصال‌های قطع‌شده از نگهداری، رقابت بر سر منابع یا خطاهای معمولی هم می‌آیند، پس زمان‌سنج‌ها و مشاهدات محدود را برای اپراتور مسئول نگه دارید. هرگز ادعا را با سیل غیرمجاز تأیید نکنید و به جای آن از طرحی مصوب با مالک زیرساخت استفاده کنید.