DDoS VPN:n kanssa: mikä osoite on todella paljastunut?
Tunneli piilottaa lähdeosoitteesi yhdeltä palvelulta, mutta ei ylälinkkiäsi, VPN:n ulostuloa tai välitettyä porttia. Nimeä kohde ennen lievennyksen suunnittelua.
Aloita pyynnöstä, jonka on tarkoitus aiheuttaa vahinkoa. Se voi saapua kotiliitäntääsi, VPN:n ulostuloon tai tunnelin taakse julkaistuun sovellukseen. Jokaisella kohteella on erilainen kapasiteettiraja ja eri omistaja, joka voi suodattaa liikennettä. Kohteen nimeäminen on ensimmäinen hyödyllinen askel, ja VPN-tilaus vastaa vain yhteen kolmesta.
Käy paljastus läpi ennen hyökkäystä
Seuraa yhtä saapuvaa pyyntöä internetistä resurssiin, jonka se on tarkoitus kuluttaa loppuun. Jos kohde on kotisi osoite, raja on liitäntä ja operaattorin reuna. Jos se on VPN:n ulostulo, raja kuuluu VPN-operaattorille. Jos se on välitetty portti, sovelluksen oma käsittely muuttuu pullonkaulaksi.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Kolmea kohdetta voidaan hyökätä yhdessä, mutta niitä lievennetään eri paikoissa. Kirjoita ylös, mitä niistä suunnitelmasi väittää suojaavansa.
Oma ylälinkkisi säilyttää osoitteensa
Lähtevän liikenteen reitittäminen tunnelin kautta muuttaa sitä, mitä etäpalvelut näkevät. Se ei poista osoitetta, joka liitännälläsi on, eikä siirrä kyseisen liitännän kapasiteettia.
Liitäntään kohdistuva liikenne kilpailee edelleen tunnelin omien pakettien kanssa. Paikallinen palomuuri voi pudottaa paketteja niiden saavuttua, mutta rajoitettu ylävirta kuljettaa niitä jo. Tämä ero on merkityksellinen, kun liitäntä on kyllästynyt, koska suodatin ei voi palauttaa kapasiteettia, jota se ei koskaan hallinnut. Ota yhteyttä liittymän tarjoajaan sen häiriöprosessin kautta, jos todisteet osoittavat kyseiseen liitäntään.
VPN:n ulostulo on nyt jaettu riippuvuus
Kuka tahansa VPN:n ulostuloa tarkkaileva voi lähettää sinne sen sijaan ei-toivottua liikennettä. Se, imeekö tarjoaja sen, riippuu todellisesta kapasiteetista, arkkitehtuurista ja mahdollisesta lievennyspalvelusta, ei tunnelin salauksesta.
Jaettu ulostulo voi kärsiä myös häiriöstä, joka kohdistuu toiseen asiakkaaseen tai tarjoajan ympäröivään verkkoon. CISA:n palvelunestohyökkäyksiä koskeva ohjeistus huomauttaa, että kun internet- tai pilvipalveluntarjoajaan hyökätään, myös verkot, joita kukaan ei kohdistanut, voivat pimentyä. Itse hallinnoitua palvelinta varten hosting-tarjoaja omistaa edelleen ylävirran kapasiteetin, joka saapuu ennen kuin vieras näkee paketin. Vieraan sisällä suodattaminen ei voi palauttaa jo kulutettua kaistanleveyttä.
Julkaistu portti tarvitsee palvelusuunnitelman
Välitetty portti paljastaa sovelluksen tarkoituksella, joten laillisilta näyttävät pyynnöt päätyvät sen käsittelypolulle riippumatta siitä, miten tunnelin pääsyä valvotaan. Tunnelin pääsy, isäntäkoneen suodatus ja sovelluksen valtuutus kattavat eri vaiheet, eikä mikään niistä takaa suojaa resurssien loppuun kuluttamista vastaan.
Käytä palvelun tuettuja rajoja, valvontaa ja ylävirran lievennystä ja nimeä, kuka voi pyytää apua häiriön aikana. Kuluttaja-VPN-tilaus ei ole todiste siitä, että nämä valvontakeinot ovat olemassa sovelluksellesi.
Pidä diagnoosi oikeasuhtaisena. Hitaat sivut ja katkeavat yhteydet johtuvat myös huollosta, resurssikilpailusta tai tavallisista vioista, joten säilytä aikaleimat ja rajalliset havainnot vastuulliselle operaattorille. Älä koskaan vahvista väitettä luvattomalla tulvalla, vaan käytä hyväksyttyä suunnitelmaa infrastruktuurin omistajan kanssa.