DDoS med VPN: kva adresse er eigentleg eksponert?
Ein tunnel skjuler kjeldeadressa di for éin teneste, men ikkje opplenka, VPN-utgangen eller ein vidaresend port. Namngje målet før du planlegg avbøting.
Start med førespurnaden som skal gjere skade. Han kan kome til heimelenka di, til VPN-utgangen eller til ein publisert applikasjon bak tunnelen. Kvar destinasjon har ei anna kapasitetsgrense og ein annan eigar som kan filtrere trafikk. Å namngje målet er det første nyttige steget, og eit VPN-abonnement svarar berre på ein av dei tre.
Gå gjennom eksponeringa før åtaket
Følg éin innkomande førespurnad frå internett til ressursen han skal utmatte. Er destinasjonen heimeadressa di, er grensa aksesslinja og kanten hos leverandøren. Er det VPN-utgangen, høyrer grensa til VPN-operatøren. Er det ein vidaresend port, blir den eigne handsaminga til applikasjonen flaskehalsen.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Dei tre måla kan åtakast saman, men dei blir avbøtte på ulike stader. Skriv ned kva for eit av dei planen din hevdar å verne.
Di eiga opplenke held på adressa si
Å rute den utgåande trafikken din gjennom ein tunnel endrar kva eksterne tenester ser. Det fjernar ikkje adressa aksesslinja di har, og flyttar ikkje kapasiteten til den linja.
Trafikk retta mot linja konkurrerer framleis med pakkane til sjølve tunnelen. Ein lokal brannmur kan forkaste pakkar etter at dei kjem, men den avgrensa oppstraumen ber dei allereie. Den skilnaden tel når linja er metta, fordi eit filter ikkje kan gje attende kapasitet det aldri kontrollerte. Kontakt aksessleverandøren gjennom hendingsprosessen deira om prova peikar mot den linja.
VPN-utgangen er no ein delt avhengigskap
Alle som observerer VPN-utgangen, kan sende uønskt trafikk dit i staden. Om leverandøren absorberer han, kjem an på reell kapasitet, arkitektur og eventuelle avbøtande tenester han driv, ikkje på krypteringa til tunnelen.
Ein delt utgang kan òg lide under ei hending retta mot ein annan kunde eller mot det omkringliggande nettet til leverandøren. CISA sine retningslinjer om tenestenekt peikar på at når ein internett- eller skyleverandør blir åteken, kan nett som ingen målretta òg bli mørklagde. For ein sjølvadministrert tenar eig vertsleverandøren framleis oppstraumskapasiteten som kjem før gjesten din ser ein pakke. Filtrering inne i gjesten kan ikkje gje attende bandbreidd som alt er brukt.
Ein publisert port treng ein tenesteplan
Ein vidaresend port eksponerer medvite ein applikasjon, så førespurnader som ser legitime ut når handsamingvegen hans, same koss tilgangen blir kontrollert i tunnelen. Tunneltilgang, vertsfiltrering og applikasjonsautorisasjon dekkjer ulike trinn, og ingen av dei garanterer vern mot ressursutmatting.
Bruk dei støtta grensene til tenesta, overvaking og oppstraums avbøting, og namngje kven som kan be om hjelp under ei hending. Eit forbrukar-VPN-abonnement er ikkje prov på at desse kontrollane finst for applikasjonen din.
Hald diagnosen rimeleg. Trege sider og brotne samband kjem òg frå vedlikehald, konkurranse om ressursar eller vanlege feil, så ta vare på tidsstempel og avgrensa observasjonar for den ansvarlege operatøren. Stadfest aldri påstanden med ein uautorisert flaum, og bruk heller ein godkjend plan med infrastruktureigaren.