DDoS con una VPN: quale indirizzo è davvero esposto?
Un tunnel nasconde il tuo indirizzo di origine a un servizio, ma non il tuo collegamento in uscita, l’uscita della VPN o una porta inoltrata. Nomina l’obiettivo prima di pianificare la mitigazione.
Parti dalla richiesta che dovrebbe fare danni. Può arrivare al tuo collegamento domestico, all’uscita della VPN o a un’applicazione pubblicata dietro il tunnel. Ogni destinazione ha un limite di capacità diverso e un proprietario diverso che può filtrare il traffico. Nominare l’obiettivo è il primo passo utile, e un abbonamento VPN risponde solo a uno dei tre.
Percorri l’esposizione prima dell’attacco
Segui una richiesta in ingresso da internet fino alla risorsa che deve esaurire. Se la destinazione è l’indirizzo di casa, il limite è il collegamento di accesso e il bordo del fornitore. Se è l’uscita della VPN, il limite appartiene all’operatore VPN. Se è una porta inoltrata, la gestione dell’applicazione stessa diventa il collo di bottiglia.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
I tre obiettivi possono essere attaccati insieme, ma vengono mitigati in luoghi diversi. Annota quale il tuo piano dichiara di proteggere.
Il tuo collegamento in uscita conserva il suo indirizzo
Instradare il traffico in uscita attraverso un tunnel cambia ciò che vedono i servizi remoti. Non rimuove l’indirizzo che il collegamento di accesso possiede e non sposta la capacità di quel collegamento.
Il traffico diretto al collegamento compete comunque con i pacchetti del tunnel stesso. Un firewall locale può scartare i pacchetti dopo che sono arrivati, ma il collegamento in salita limitato li sta già trasportando. Questa differenza conta quando il collegamento è saturo, perché un filtro non può restituire capacità che non ha mai controllato. Contatta il fornitore di accesso tramite la sua procedura per gli incidenti se le prove indicano quel collegamento.
L’uscita della VPN è ora una dipendenza condivisa
Chiunque osservi l’uscita della VPN può inviarvi traffico indesiderato. Se il fornitore lo assorba dipende dalla capacità reale, dall’architettura e da eventuali servizi di mitigazione che gestisce, non dalla cifratura del tunnel.
Un’uscita condivisa può anche subire un incidente diretto a un altro cliente o alla rete del fornitore circostante. Le linee guida della CISA sulla negazione del servizio osservano che quando viene attaccato un fornitore di internet o di cloud, anche reti che nessuno ha scelto come bersaglio possono spegnersi. Per un server autogestito, il fornitore di hosting possiede ancora la capacità in salita che arriva prima che il tuo ospite veda un pacchetto. Il filtraggio dentro l’ospite non può restituire la larghezza di banda già spesa.
Una porta pubblicata richiede un piano di servizio
Una porta inoltrata espone deliberatamente un’applicazione, quindi le richieste che sembrano legittime raggiungono il suo percorso di gestione, comunque sia controllata l’ammissione al tunnel. Ammissione al tunnel, filtraggio sull’host e autorizzazione dell’applicazione coprono fasi diverse, e nessuna di esse garantisce protezione dall’esaurimento delle risorse.
Usa i limiti supportati del servizio, il monitoraggio e la mitigazione a monte, e indica chi può chiedere aiuto durante un incidente. Un abbonamento VPN per consumatori non è prova che quei controlli esistano per la tua applicazione.
Mantieni la diagnosi proporzionata. Le pagine lente e le connessioni interrotte derivano anche da manutenzione, contesa o guasti ordinari, quindi conserva marche temporali e osservazioni circoscritte per l’operatore responsabile. Non convalidare mai l’affermazione con un flood non autorizzato, e usa invece un piano approvato con il proprietario dell’infrastruttura.