DDoS com uma VPN: qual endereço fica realmente exposto?
Um túnel esconde o seu endereço de origem de um serviço, mas não o seu link de subida, a saída da VPN ou uma porta encaminhada. Nomeie o alvo antes de planejar a mitigação.
Comece pelo pedido que deve causar dano. Ele pode chegar ao seu link doméstico, à saída da VPN ou a uma aplicação publicada atrás do túnel. Cada destino tem um limite de capacidade diferente e um dono diferente que pode filtrar o tráfego. Nomear o alvo é o primeiro passo útil, e uma subscrição de VPN responde apenas a um dos três.
Percorra a exposição antes do ataque
Siga um pedido de entrada desde a internet até ao recurso que ele deve esgotar. Se o destino for o endereço da sua casa, o limite é o link de acesso e a periferia do fornecedor. Se for a saída da VPN, o limite pertence ao operador da VPN. Se for uma porta encaminhada, o próprio tratamento da aplicação passa a ser o estrangulamento.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Os três alvos podem ser atacados em conjunto, mas são mitigados em locais diferentes. Anote qual deles o seu plano afirma proteger.
O seu próprio link de subida mantém o seu endereço
Encaminhar o seu tráfego de saída por um túnel muda o que os serviços remotos veem. Não remove o endereço que o link de acesso tem nem desloca a capacidade desse link.
O tráfego dirigido ao link continua a competir com os próprios pacotes do túnel. Uma firewall local pode descartar pacotes depois de chegarem, mas o percurso ascendente limitado já os transporta. Essa diferença conta quando o link está saturado, porque um filtro não pode devolver capacidade que nunca controlou. Contacte o fornecedor de acesso através do processo de incidentes se as provas apontarem para esse link.
A saída da VPN é agora uma dependência partilhada
Qualquer pessoa que observe a saída da VPN pode enviar tráfego indesejado para lá. Se o fornecedor o absorve depende da capacidade real, da arquitetura e de qualquer serviço de mitigação que opere, não da cifra do túnel.
Uma saída partilhada também pode sofrer um incidente dirigido a outro cliente ou à rede do fornecedor em volta. As orientações da CISA sobre negação de serviço observam que, quando um fornecedor de internet ou de nuvem é atacado, redes que ninguém visou também podem ficar às escuras. Num servidor autogerido, o fornecedor de alojamento continua a ser dono da capacidade ascendente que chega antes de o seu convidado ver um pacote. A filtragem dentro do convidado não pode recuperar largura de banda já gasta.
Uma porta publicada precisa de um plano de serviço
Uma porta encaminhada expõe deliberadamente uma aplicação, por isso pedidos com aparência legítima chegam ao seu caminho de tratamento, seja como for controlada a admissão no túnel. Admissão no túnel, filtragem no anfitrião e autorização da aplicação cobrem fases diferentes, e nenhuma delas garante proteção contra o esgotamento de recursos.
Use os limites suportados do serviço, a monitorização e a mitigação a montante, e nomeie quem pode pedir ajuda durante um incidente. Uma subscrição de VPN de consumo não é prova de que esses controlos existem para a sua aplicação.
Mantenha o diagnóstico proporcionado. Páginas lentas e ligações cortadas também vêm de manutenção, contenção ou falhas comuns, por isso guarde marcas temporais e observações limitadas para o operador responsável. Nunca valide a afirmação com uma inundação não autorizada, e use antes um plano aprovado com o proprietário da infraestrutura.