DDoS med VPN: hvilken adresse er egentlig eksponert?
En tunnel skjuler kildeadressen din for én tjeneste, men ikke opplenken, VPN-utgangen eller en videresendt port. Navngi målet før du planlegger avbøting.
Start med forespørselen som skal gjøre skade. Den kan komme til hjemmelinken din, til VPN-utgangen eller til en publisert applikasjon bak tunnelen. Hver destinasjon har en annen kapasitetsgrense og en annen eier som kan filtrere trafikk. Å navngi målet er det første nyttige steget, og et VPN-abonnement svarer bare på ett av de tre.
Gå gjennom eksponeringen før angrepet
Følg én innkommende forespørsel fra internett til ressursen den skal utmatte. Hvis destinasjonen er hjemadressen din, er grensen aksesslinjen og leverandørens kant. Hvis det er VPN-utgangen, tilhører grensen VPN-operatøren. Hvis det er en videresendt port, blir applikasjonens egen håndtering flaskehalsen.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
De tre målene kan angripes sammen, men de avbøtes på forskjellige steder. Skriv ned hvilket av dem planen din hevder å beskytte.
Din egen opplenk beholder adressen sin
Å rute den utgående trafikken din gjennom en tunnel endrer hva eksterne tjenester ser. Det fjerner ikke adressen aksesslinjen din har, og flytter ikke den linjens kapasitet.
Trafikk rettet mot linjen konkurrerer fortsatt med tunnelens egne pakker. En lokal brannmur kan forkaste pakker etter at de ankommer, men den begrensede oppstrømmen bærer dem allerede. Den forskjellen betyr noe når linjen er mettet, fordi et filter ikke kan gi tilbake kapasitet det aldri kontrollerte. Kontakt aksessleverandøren gjennom deres hendelsesprosess hvis bevisene peker mot den linjen.
VPN-utgangen er nå en delt avhengighet
Alle som observerer VPN-utgangen, kan sende uønsket trafikk dit i stedet. Om leverandøren absorberer den, avhenger av reell kapasitet, arkitektur og eventuelle avbøtende tjenester den driver, ikke av tunnelens kryptering.
En delt utgang kan også lide under en hendelse rettet mot en annen kunde eller mot leverandørens omkringliggende nettverk. CISA sine retningslinjer om tjenestenekt påpeker at når en internett- eller skyleverandør angripes, kan nettverk ingen målrettet også bli mørklagt. For en selvadministrert server eier vertsleverandøren fortsatt oppstrømskapasiteten som ankommer før gjesten din ser en pakke. Filtrering inne i gjesten kan ikke gjenopprette båndbredde som allerede er brukt.
En publisert port trenger en tjenesteplan
En videresendt port eksponerer bevisst en applikasjon, så forespørsler som ser legitime ut når håndteringsveien dens, uansett hvordan adgang kontrolleres i tunnelen. Tunneltilgang, vertsfiltrering og applikasjonsautorisasjon dekker ulike trinn, og ingen av dem garanterer beskyttelse mot ressurssutmatting.
Bruk tjenestens støttede grenser, overvåking og oppstrøms avbøting, og navngi hvem som kan be om hjelp under en hendelse. Et forbruker-VPN-abonnement er ikke bevis for at disse kontrollene finnes for applikasjonen din.
Hold diagnosen forholdsmessig. Tregere sider og brutte forbindelser kommer også fra vedlikehold, konkurranse om ressurser eller vanlige feil, så ta vare på tidsstempler og avgrensede observasjoner for den ansvarlige operatøren. Valider aldri påstanden med en uautorisert flom, og bruk heller en godkjent plan med infrastruktureieren.