VPN 経由の DDoS：本当に露出しているのはどのアドレスか

まず、害を及ぼすはずのリクエストから考えます。それは自宅回線に届くことも、VPN の出口に届くことも、トンネルの後ろで公開しているアプリケーションに届くこともあります。宛先ごとに容量の上限も、通信をフィルタできる所有者も異なります。標的に名前を付けることが最初の有用な一歩であり、VPN の契約が答えるのは三つのうち一つだけです。

攻撃の前に露出をたどる

インターネットから入ってくる一つのリクエストを、それが枯渇させるはずの資源まで追跡します。宛先が自宅のアドレスなら、上限はアクセス回線とプロバイダのエッジです。VPN の出口なら、上限は VPN 事業者に属します。転送ポートなら、アプリケーション自身の処理が隘路になります。

三つの標的は同時に攻撃され得ますが、緩和はそれぞれ別の場所で行います。あなたの計画がどれを守ると主張しているのかを書き留めてください。

自分の上流回線はアドレスを保つ

送信トラフィックをトンネル経由にしても、遠隔のサービスから見えるものが変わるだけです。アクセス回線が持つアドレスは消えず、その回線の容量も移動しません。

回線に向けたトラフィックは、トンネル自身のパケットとも競合します。ローカルのファイアウォールは到着後にパケットを捨てられますが、制約のある上流はすでにそれを運んでいます。回線が飽和したときこの違いが効きます。フィルタは、一度も制御していない容量を返せないからです。証拠がその回線を指すなら、アクセス事業者のインシデント手続きを通じて連絡してください。

VPN の出口は共有された依存先になった

VPN の出口を観測できる者は、代わりにそこへ不要なトラフィックを送れます。事業者がそれを吸収できるかは、実際の容量、構成、運用する緩和サービス次第であり、トンネルの暗号化とは関係ありません。

共有の出口は、別の顧客や周辺の事業者ネットワークを狙ったインシデントの影響も受けます。CISA のサービス拒否に関する指針は、ISP やクラウド事業者が攻撃されると、誰も標的にしていないネットワークも落ち得ると指摘しています。自分で運用するサーバーでは、ゲストがパケットを見る前に届く上流の容量はホスティング事業者が持ったままです。ゲストの内側でのフィルタは、すでに消費された帯域を取り戻せません。

公開したポートにはサービス計画が要る

転送ポートは意図的にアプリケーションを露出させるため、トンネル側で受け入れをどう制御していても、正当に見えるリクエストはその処理経路に届きます。トンネルの受け入れ、ホストのフィルタ、アプリケーションの認可はそれぞれ別の段階を担い、どれも資源の枯渇に対する保護を保証しません。

サービスの対応上限、監視、上流の緩和を使い、インシデント時に誰が支援を求められるかを決めておきます。消費者向け VPN の契約は、そうした制御があなたのアプリケーションに存在する証拠ではありません。

診断は釣り合いを保ってください。遅いページや切断は、保守、資源の競合、通常の障害からも起こるため、責任ある事業者向けに時刻と範囲を限った観測を保存します。未承認の大量送信で主張を検証してはならず、代わりにインフラの所有者と承認済みの計画を用いてください。