VPN을 거친 DDoS: 실제로 노출되는 주소는 무엇인가

해를 끼칠 것으로 예상되는 요청부터 시작하십시오. 그 요청은 가정용 회선으로, VPN 출구로, 또는 터널 뒤에 공개한 애플리케이션으로 도착할 수 있습니다. 목적지마다 용량 한도가 다르고 트래픽을 필터링할 수 있는 주체도 다릅니다. 목표를 이름 붙이는 것이 첫 번째 유용한 단계이며, VPN 구독은 세 가지 중 하나에만 답합니다.

공격 전에 노출 경로를 짚어 보십시오

인터넷에서 들어오는 요청 하나를 그것이 고갈시키려는 자원까지 추적하십시오. 목적지가 집 주소라면 한도는 액세스 회선과 통신사 경계입니다. VPN 출구라면 한도는 VPN 운영자에게 있습니다. 전달된 포트라면 애플리케이션 자체의 처리 방식이 병목이 됩니다.

세 목표는 동시에 공격받을 수 있지만 완화는 서로 다른 지점에서 이루어집니다. 계획이 어느 목표를 보호한다고 주장하는지 적어 두십시오.

자신의 업링크는 주소를 그대로 유지합니다

나가는 트래픽을 터널로 보내면 원격 서비스가 보는 것이 달라질 뿐입니다. 액세스 회선이 가진 주소가 사라지지 않고 그 회선의 용량도 옮겨지지 않습니다.

회선을 향한 트래픽은 터널 자체의 패킷과 여전히 경쟁합니다. 로컬 방화벽은 패킷이 도착한 뒤 버릴 수 있지만 제한된 상위 구간은 이미 그것을 나르고 있습니다. 회선이 포화될 때 이 차이가 중요합니다. 필터는 한 번도 통제하지 못한 용량을 되돌려 줄 수 없기 때문입니다. 증거가 그 회선을 가리킨다면 액세스 사업자의 사고 대응 절차를 통해 연락하십시오.

VPN 출구는 이제 공유 의존 대상입니다

VPN 출구를 관찰하는 누구든 그곳으로 원치 않는 트래픽을 보낼 수 있습니다. 사업자가 이를 흡수하는지는 실제 용량과 구조, 운영하는 완화 서비스에 달려 있으며 터널의 암호화와는 무관합니다.

공유 출구는 다른 고객이나 주변 사업자 네트워크를 겨냥한 사고로도 영향을 받습니다. CISA의 서비스 거부 관련 지침은 ISP나 클라우드 사업자가 공격받을 때 아무도 겨냥하지 않은 네트워크도 함께 어두워질 수 있다고 지적합니다. 직접 관리하는 서버라면 게스트가 패킷을 보기 전에 도착하는 상위 용량은 여전히 호스팅 사업자의 것입니다. 게스트 내부의 필터링은 이미 소비된 대역폭을 되돌릴 수 없습니다.

공개한 포트에는 서비스 계획이 필요합니다

전달된 포트는 애플리케이션을 의도적으로 노출하므로, 터널에서 입장을 어떻게 통제하든 정당해 보이는 요청은 그 처리 경로에 도달합니다. 터널 입장, 호스트 필터링, 애플리케이션 권한 부여는 각각 다른 단계를 다루며 어느 것도 자원 고갈에 대한 보호를 보장하지 않습니다.

서비스가 지원하는 한도와 모니터링, 상위 완화를 활용하고 사고 중에 누가 도움을 요청할 수 있는지 정하십시오. 소비자용 VPN 구독은 그런 통제가 여러분의 애플리케이션에 존재한다는 증거가 아닙니다.

진단은 균형을 유지하십시오. 느린 페이지와 끊긴 연결은 유지보수나 자원 경쟁, 평범한 고장에서도 생기므로 책임 있는 운영자를 위해 시각과 범위를 제한한 관측을 보관하십시오. 승인되지 않은 대량 전송으로 주장을 검증하지 말고, 대신 인프라 소유자와 승인된 계획을 사용하십시오.