DDoS через VPN: какой адрес на самом деле раскрыт?
Туннель скрывает ваш адрес источника от одного сервиса, но не ваш восходящий канал, выход VPN или проброшенный порт. Назовите цель, прежде чем планировать смягчение.
Начните с запроса, который должен причинить вред. Он может прийти на ваш домашний канал, на выход VPN или на опубликованное приложение за туннелем. У каждого назначения свой предел ёмкости и свой владелец, который может фильтровать трафик. Назвать цель — первый полезный шаг, а подписка на VPN отвечает только на один из трёх.
Пройдите раскрытие до атаки
Проследите один входящий запрос от интернета до ресурса, который он должен исчерпать. Если назначение — адрес вашего дома, предел — это канал доступа и край провайдера. Если это выход VPN, предел принадлежит оператору VPN. Если это проброшенный порт, узким местом становится собственная обработка приложения.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Три цели можно атаковать вместе, но смягчение происходит в разных местах. Запишите, какую из них ваш план якобы защищает.
Ваш собственный восходящий канал сохраняет свой адрес
Пропуск исходящего трафика через туннель меняет то, что видят удалённые сервисы. Он не убирает адрес, который держит ваш канал доступа, и не перемещает ёмкость этого канала.
Трафик, направленный на канал, всё ещё конкурирует с собственными пакетами туннеля. Локальный межсетевой экран может отбрасывать пакеты после их прихода, но ограниченный восходящий поток уже несёт их. Эта разница важна, когда канал насыщен, потому что фильтр не может вернуть ёмкость, которой он никогда не управлял. Свяжитесь с провайдером доступа через его процедуру инцидентов, если доказательства указывают на этот канал.
Выход VPN теперь общая зависимость
Любой, кто наблюдает за выходом VPN, может отправить туда нежелательный трафик. Поглотит ли его провайдер, зависит от реальной ёмкости, архитектуры и любого сервиса смягчения, который он ведёт, а не от шифрования туннеля.
Общий выход может также пострадать от инцидента, направленного на другого клиента или на окружающую сеть провайдера. Рекомендации CISA по отказу в обслуживании отмечают, что при атаке на интернет- или облачного провайдера сети, которые никто не выбирал целью, тоже могут погаснуть. Для сервера, которым вы управляете сами, провайдер хостинга всё ещё владеет восходящей ёмкостью, которая приходит до того, как ваша гостевая система увидит пакет. Фильтрация внутри гостя не может вернуть уже потраченную пропускную способность.
Опубликованный порт требует плана обслуживания
Проброшенный порт намеренно раскрывает приложение, поэтому запросы, выглядящие законными, доходят до его пути обработки, как бы ни контролировался допуск на туннеле. Допуск на туннеле, фильтрация на хосте и авторизация приложения охватывают разные этапы, и ни один из них не гарантирует защиты от исчерпания ресурсов.
Используйте поддерживаемые пределы сервиса, мониторинг и смягчение на восходящем участке и укажите, кто может попросить помощь во время инцидента. Потребительская подписка на VPN не доказывает, что такие средства контроля существуют для вашего приложения.
Держите диагностику соразмерной. Медленные страницы и оборванные соединения бывают и из-за обслуживания, конкуренции за ресурсы или обычных сбоев, поэтому сохраняйте отметки времени и ограниченные наблюдения для ответственного оператора. Никогда не подтверждайте утверждение неавторизованным потоком, а вместо этого используйте согласованный план с владельцем инфраструктуры.