DDoS דרך VPN: איזו כתובת באמת חשופה?
מנהרה מסתירה את כתובת המקור שלך משירות אחד, אבל לא את קישור העלייה, את יציאת ה-VPN או פורט שהועבר. תנו שם ליעד לפני תכנון ההקלה.
התחילו בבקשה שאמורה להזיק. היא יכולה להגיע לקישור הביתי שלכם, ליציאת ה-VPN או ליישום מפורסם מאחורי המנהרה. לכל יעד מגבלת קיבולת אחרת ובעלים אחר שיכול לסנן תעבורה. מתן שם ליעד הוא הצעד השימושי הראשון, ומנוי VPN עונה רק על אחד מהשלושה.
עברו על החשיפה לפני המתקפה
עקבו אחר בקשה נכנסת אחת מהאינטרנט אל המשאב שהיא אמורה לרוקן. אם היעד הוא כתובת הבית שלכם, המגבלה היא קישור הגישה וקצה הספק. אם זו יציאת ה-VPN, המגבלה שייכת למפעיל ה-VPN. אם זה פורט שהועבר, הטיפול של היישום עצמו הופך לצוואר הבקבוק.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
אפשר לתקוף את שלושת היעדים יחד, אבל ההקלה נעשית במקומות שונים. רשמו איזה מהם התוכנית שלכם טוענת שהיא מגנה עליו.
קישור העלייה שלכם שומר על כתובתו
העברת התעבורה היוצאת דרך מנהרה משנה את מה ששירותים מרוחקים רואים. היא אינה מסירה את הכתובת שיש לקישור הגישה ואינה מזיזה את הקיבולת של אותו קישור.
תעבורה המכוונת לקישור עדיין מתחרה במנות של המנהרה עצמה. חומת אש מקומית יכולה להפיל מנות לאחר שהן מגיעות, אבל הקישור העליון המוגבל כבר נושא אותן. ההבדל הזה חשוב כשהקישור רווי, כי מסנן אינו יכול להחזיר קיבולת שמעולם לא שלט בה. פנו לספק הגישה דרך תהליך התקריות שלו אם הראיות מצביעות על אותו קישור.
יציאת ה-VPN היא כעת תלות משותפת
כל מי שצופה ביציאת ה-VPN יכול לשלוח לשם תעבורה לא רצויה במקום. אם הספק יספוג אותה תלוי בקיבולת אמיתית, בארכיטקטורה ובכל שירות הקלה שהוא מפעיל, ולא בהצפנה של המנהרה.
יציאה משותפת עלולה גם לסבול מתקרית שמכוונת ללקוח אחר או לרשת הספק שמסביב. הנחיות CISA בנושא מניעת שירות מציינות שכאשר תוקפים ספק אינטרנט או ספק ענן, גם רשתות שאיש לא כיוון אליהן יכולות לחשוך. בשרת שמנהלתם בעצמכם, ספק האחסון עדיין מחזיק בקיבולת העליונה שמגיעה לפני שהאורח שלכם רואה מנה. סינון בתוך האורח אינו יכול להחזיר רוחב פס שכבר נוצל.
פורט מפורסם צריך תוכנית שירות
פורט שהועבר חושף יישום בכוונה, ולכן בקשות שנראות לגיטימיות מגיעות למסלול הטיפול שלו, לא משנה איך נשלטת הקבלה במנהרה. קבלה במנהרה, סינון במארח והרשאה של היישום מכסים שלבים שונים, ואף אחד מהם אינו מבטיח הגנה מפני מיצוי משאבים.
השתמשו במגבלות הנתמכות של השירות, בניטור ובהקלה בעליון, ותנו שם למי יכול לבקש עזרה בזמן תקרית. מנוי VPN צרכני אינו הוכחה שהבקרות האלה קיימות עבור היישום שלכם.
שמרו על אבחון פרופורציונלי. עמודים איטיים וחיבורים שנקטעו נובעים גם מתחזוקה, מתחרות על משאבים או מתקלות רגילות, לכן שמרו חותמות זמן ותצפיות מוגבלות עבור המפעיל האחראי. לעולם אל תאמתו את הטענה בהצפה לא מורשית, והשתמשו בתוכנית מאושרת עם בעל התשתית במקום.