DDoS ar VPN: kura adrese patiešām ir atklāta?
Tunelis slēpj jūsu avota adresi no viena pakalpojuma, bet ne jūsu augšupielādes līniju, VPN izeju vai pāradresētu portu. Nosauciet mērķi pirms mīkstināšanas plānošanas.
Sāciet ar pieprasījumu, kuram būtu jānodara kaitējums. Tas var nonākt jūsu mājas līnijā, VPN izejā vai tunelī aiz publicētas lietotnes. Katram galamērķim ir cits kapacitātes ierobežojums un cits īpašnieks, kas var filtrēt trafiku. Mērķa nosaukšana ir pirmais lietderīgais solis, un VPN abonements atbild tikai uz vienu no trim.
Izejiet cauri atklātībai pirms uzbrukuma
Izsekojiet vienu ienākošu pieprasījumu no interneta līdz resursam, kuru tam vajadzētu izsmelt. Ja galamērķis ir jūsu mājas adrese, ierobežojums ir piekļuves līnija un pakalpojumu sniedzēja mala. Ja tā ir VPN izeja, ierobežojums pieder VPN operatoram. Ja tas ir pāradresēts ports, lietotnes apstrāde pati kļūst par šauro vietu.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Trīs mērķus var uzbrukt kopā, bet mīkstināšana notiek dažādās vietās. Pierakstiet, kuru no tiem jūsu plāns apgalvo, ka aizsargā.
Jūsu pašu augšupielādes līnija saglabā savu adresi
Izejošās trafika laišana caur tuneli maina to, ko redz attālinātie pakalpojumi. Tas nenoņem adresi, kas ir piekļuves līnijai, un nepārvieto šīs līnijas kapacitāti.
Trafiks, kas vērsts uz līniju, joprojām konkurē ar paša tuneļa paketēm. Vietējais ugunsmūris var nomest paketes pēc to ierašanās, bet ierobežotā augšupējā plūsma tās jau pārvadā. Šī atšķirība ir svarīga, kad līnija ir piesātināta, jo filtrs nevar atgriezt kapacitāti, ko tas nekad nav kontrolējis. Sazinieties ar piekļuves pakalpojumu sniedzēju tā incidentu procesā, ja pierādījumi norāda uz šo līniju.
VPN izeja tagad ir kopīga atkarība
Ikviens, kas novēro VPN izeju, var tur nosūtīt nevēlamu trafiku. Vai pakalpojumu sniedzējs to absorbēs, ir atkarīgs no reālās kapacitātes, arhitektūras un jebkura tā uzturētā mīkstināšanas pakalpojuma, nevis no tuneļa šifrēšanas.
Kopīga izeja var ciest arī no incidenta, kas vērsts uz citu klientu vai apkārtējo pakalpojumu sniedzēja tīklu. CISA norādes par pakalpojuma atteikumu norāda, ka tad, kad tiek uzbrukts interneta vai mākoņpakalpojumu sniedzējam, tīkli, kurus neviens nav izvēlējies, arī var nodzist. Pašu pārvaldītam serverim mitināšanas pakalpojumu sniedzējs joprojām pieder augšupējā kapacitāte, kas pienāk pirms jūsu viesis redz paketi. Filtrēšana viesa iekšienē nevar atgūt jau patērēto joslas platumu.
Publicētam portam nepieciešams pakalpojuma plāns
Pāradresēts ports apzināti atklāj lietotni, tāpēc pieprasījumi, kas izskatās likumīgi, sasniedz tās apstrādes ceļu neatkarīgi no tā, kā tiek kontrolēta uzņemšana tunelī. Uzņemšana tunelī, resursdatora filtrēšana un lietotnes autorizācija aptver dažādus posmus, un neviens no tiem negarantē aizsardzību pret resursu izsīkumu.
Izmantojiet pakalpojuma atbalstītos ierobežojumus, uzraudzību un augšupējo mīkstināšanu, un nosauciet, kas incidenta laikā var lūgt palīdzību. Patērētāja VPN abonements nav pierādījums, ka šīs kontroles pastāv jūsu lietotnei.
Turiet diagnostiku samērīgu. Lēnas lapas un pārtraukti savienojumi rodas arī no apkopes, resursu konkurences vai parastiem bojājumiem, tāpēc saglabājiet laika zīmes un ierobežotus novērojumus atbildīgajam operatoram. Nekad neapstipriniet apgalvojumu ar neatļautu plūdu un tā vietā izmantojiet apstiprinātu plānu ar infrastruktūras īpašnieku.