DDoS met een VPN: welk adres is echt blootgesteld?
Een tunnel verbergt je bronadres voor één dienst, maar niet je uplink, de VPN-uitgang of een doorgestuurde poort. Noem het doel voordat je mitigatie plant.
Begin bij het verzoek dat schade zou moeten toebrengen. Het kan bij je thuisverbinding aankomen, bij de VPN-uitgang of bij een gepubliceerde toepassing achter de tunnel. Elk doel heeft een andere capaciteitslimiet en een andere eigenaar die verkeer kan filteren. Het doel benoemen is de eerste nuttige stap, en een VPN-abonnement beantwoordt er maar één van de drie.
Loop de blootstelling door vóór de aanval
Volg één inkomend verzoek van internet naar de bron die het moet uitputten. Is het doel je huisadres, dan is de limiet de toegangslijn en de rand van de provider. Is het de VPN-uitgang, dan hoort de limiet bij de VPN-operator. Is het een doorgestuurde poort, dan wordt de eigen afhandeling van de toepassing de flessenhals.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
De drie doelen kunnen samen worden aangevallen, maar ze worden op verschillende plekken gemitigeerd. Schrijf op welke jouw plan zegt te beschermen.
Je eigen uplink behoudt zijn adres
Je uitgaande verkeer door een tunnel leiden verandert wat externe diensten zien. Het haalt het adres van je toegangslijn niet weg en verplaatst de capaciteit van die lijn niet.
Verkeer dat op de lijn is gericht, concurreert nog steeds met de pakketten van de tunnel zelf. Een lokale firewall kan pakketten laten vallen nadat ze aankomen, maar de beperkte upstream vervoert ze al. Dat verschil telt wanneer de lijn verzadigd is, want een filter kan geen capaciteit teruggeven die het nooit beheerste. Neem contact op met de toegangsprovider via het incidentproces als het bewijs op die lijn wijst.
De VPN-uitgang is nu een gedeelde afhankelijkheid
Iedereen die de VPN-uitgang waarneemt, kan daar in plaats daarvan ongewenst verkeer naartoe sturen. Of de provider dat absorbeert, hangt af van echte capaciteit, architectuur en eventuele mitigatiediensten, niet van de versleuteling van de tunnel.
Een gedeelde uitgang kan ook lijden onder een incident dat op een andere klant of op het omringende providernetwerk is gericht. De CISA-richtlijn over denial-of-service merkt op dat wanneer een internet- of cloudprovider wordt aangevallen, netwerken die niemand viseerde ook donker kunnen worden. Voor een zelf beheerde server bezit de hostingprovider nog steeds de upstreamcapaciteit die aankomt voordat je gast een pakket ziet. Filteren in de gast kan al verbruikte bandbreedte niet teruggeven.
Een gepubliceerde poort vraagt om een serviceplan
Een doorgestuurde poort stelt een toepassing bewust bloot, dus verzoeken die legitiem lijken bereiken het afhandelingspad, hoe de toelating bij de tunnel ook is geregeld. Tunnels, hostfiltering en applicatieautorisatie dekken verschillende fasen, en geen ervan garandeert bescherming tegen uitputting van bronnen.
Gebruik de ondersteunde limieten van de dienst, monitoring en upstreammitigatie, en benoem wie tijdens een incident om hulp kan vragen. Een consumenten-VPN-abonnement is geen bewijs dat die controles voor jouw toepassing bestaan.
Houd de diagnose in verhouding. Trage pagina's en verbroken verbindingen komen ook van onderhoud, strijd om bronnen of gewone storingen, dus bewaar tijdstempels en begrensde waarnemingen voor de verantwoordelijke operator. Valideer de bewering nooit met een ongeautoriseerde flood, en gebruik in plaats daarvan een goedgekeurd plan met de eigenaar van de infrastructuur.