DDoS cunha VPN: que enderezo queda realmente exposto?
Un túnel oculta o teu enderezo de orixe a un servizo, pero non o teu enlace de subida, a saída da VPN nin un porto reenviado. Nomea o obxectivo antes de planificar a mitigación.
Comeza pola petición que se supón que vai facer dano. Pode chegar ao teu enlace doméstico, á saída da VPN ou a unha aplicación publicada detrás do túnel. Cada destino ten un límite de capacidade distinto e un propietario distinto que pode filtrar o tráfico. Nomear o obxectivo é o primeiro paso útil, e unha subscrición de VPN só responde a un dos tres.
Percorre a exposición antes do ataque
Segue unha petición entrante desde internet ata o recurso que debe esgotar. Se o destino é o enderezo da túa casa, o límite é o enlace de acceso e a borde do provedor. Se é a saída da VPN, o límite pertence ao operador da VPN. Se é un porto reenviado, o propio manexo da aplicación convértese no colo de botella.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Os tres obxectivos pódense atacar xuntos, pero mitíganse en lugares distintos. Anota cal deles afirma o teu plan que protexe.
O teu propio enlace de subida conserva o seu enderezo
Encamiñar o teu tráfico saínte por un túnel cambia o que ven os servizos remotos. Non elimina o enderezo que ten o teu enlace de acceso nin despraza a capacidade dese enlace.
O tráfico dirixido ao enlace segue competindo cos propios paquetes do túnel. Un cortalumes local pode descartar paquetes despois de que cheguen, pero o enlace ascendente limitado xa os está a transportar. Esa diferenza importa cando o enlace está saturado, porque un filtro non pode devolver capacidade que nunca controlou. Contacta co provedor de acceso a través do seu proceso de incidentes se as probas apuntan a ese enlace.
A saída da VPN é agora unha dependencia compartida
Calquera que observe a saída da VPN pode enviar alí tráfico non desexado no seu lugar. Que o provedor o absorba depende da capacidade real, da arquitectura e de calquera servizo de mitigación que opere, non do cifrado do túnel.
Unha saída compartida tamén pode sufrir un incidente dirixido a outro cliente ou á rede do provedor circundante. A guía da CISA sobre a denegación de servizo sinala que cando se ataca un provedor de internet ou de nube, redes que ninguén escolleu tamén poden quedar ás escuras. Para un servidor autoxestionado, o provedor de aloxamento segue sendo dono da capacidade ascendente que chega antes de que o teu convidado vexa un paquete. O filtrado dentro do convidado non pode recuperar o ancho de banda xa gasto.
Un porto publicado necesita un plan de servizo
Un porto reenviado expón deliberadamente unha aplicación, así que as peticións que parecen lexítimas chegan á súa ruta de xestión, se controle como se controle a admisión no túnel. A admisión no túnel, o filtrado no host e a autorización da aplicación cobren etapas distintas, e ningunha delas garante protección contra o esgotamento de recursos.
Usa os límites admitidos do servizo, a monitorización e a mitigación ascendente, e nomea quen pode pedir axuda durante un incidente. Unha subscrición de VPN de consumo non é proba de que eses controis existan para a túa aplicación.
Mantén o diagnóstico proporcionado. As páxinas lentas e as conexións cortadas tamén veñen de mantemento, contención ou fallos ordinarios, así que conserva marcas de tempo e observacións acoutadas para o operador responsable. Nunca valides a afirmación cunha inundación non autorizada e usa un plan aprobado co propietario da infraestrutura.