DDoS преку VPN: која адреса е навистина изложена?
Тунелот ја крие вашата изворна адреса од една услуга, но не вашиот нагорен канал, излезот на VPN или проследен порт. Именувајте ја целта пред да планирате ублажување.
Започнете со барањето што треба да направи штета. Тоа може да пристигне на вашиот домашен канал, на излезот на VPN или на објавена апликација зад тунелот. Секоја дестинација има различен лимит на капацитет и различен сопственик што може да го филтрира сообраќајот. Именувањето на целта е првиот корисен чекор, а претплатата на VPN одговара само на едно од трите.
Поминете ја изложеноста пред нападот
Следете едно влезно барање од интернет до ресурсот што треба да го исцрпи. Ако дестинацијата е вашата домашна адреса, лимитот е пристапниот канал и работ на давателот. Ако е излезот на VPN, лимитот му припаѓа на операторот на VPN. Ако е проследен порт, сопствената обработка на апликацијата станува тесно грло.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Трите цели можат да бидат нападнати заедно, но се ублажуваат на различни места. Запишете која од нив вашиот план тврди дека ја штити.
Вашиот сопствен нагорен канал ја задржува својата адреса
Пренасочувањето на излезниот сообраќај низ тунел го менува она што го гледаат далечните услуги. Тоа не ја отстранува адресата што ја има пристапниот канал и не го поместува капацитетот на тој канал.
Сообраќајот насочен кон каналот сè уште се натпреварува со сопствените пакети на тунелот. Локален огноѕид може да отфрли пакети откако ќе пристигнат, но ограничениот нагорен тек веќе ги носи. Таа разлика е важна кога каналот е заситен, бидејќи филтерот не може да врати капацитет што никогаш не го контролирал. Контактирајте го давателот на пристап преку неговиот процес за инциденти ако доказите укажуваат на тој канал.
Излезот на VPN сега е споделена зависност
Секој што го набљудува излезот на VPN може да испрати непосакуван сообраќај таму. Дали давателот ќе го апсорбира зависи од вистинскиот капацитет, архитектурата и евентуалната услуга за ублажување што ја води, а не од шифрирањето на тунелот.
Споделениот излез може да настрада и од инцидент насочен кон друг клиент или кон околната мрежа на давателот. Насоките на CISA за одбивање услуга забележуваат дека кога е нападнат интернет или облачен давател, мрежи што никој не ги избрал како цел можат исто така да згаснат. За самоуправуван сервер, давателот на хостинг сè уште го поседува нагорниот капацитет што пристигнува пред вашиот гостин да види пакет. Филтрирањето внатре во гостинот не може да го врати пропусниот опсег што е веќе потрошен.
Објавениот порт бара план за услугата
Проследениот порт намерно изложува апликација, па барањата што изгледаат легитимно стигнуваат до нејзиниот пат за обработка, без оглед како се контролира приемот на тунелот. Приемот на тунелот, филтрирањето на домаќинот и авторизацијата на апликацијата покриваат различни фази и ниту една од нив не гарантира заштита од исцрпување на ресурсите.
Користете ги поддржаните лимити на услугата, мониторингот и нагорното ублажување и наведете кој може да побара помош за време на инцидент. Претплатата на потрошувачки VPN не е доказ дека тие контроли постојат за вашата апликација.
Држете ја дијагнозата сразмерна. Бавните страници и прекинатите врски доаѓаат и од одржување, натпревар за ресурси или обични дефекти, затоа зачувајте временски ознаки и ограничени набљудувања за одговорниот оператор. Никогаш не го потврдувајте тврдењето со неовластен тек, а наместо тоа користете одобрен план со сопственикот на инфраструктурата.