DDoS преко VPN-а: која адреса је заиста изложена?
Тунел скрива вашу изворну адресу од једне услуге, али не ваш улазни канал, излаз VPN-а или прослеђени порт. Именујте мету пре планирања ублажавања.
Почните са захтевом који треба да нанесе штету. Он може стићи на ваш кућни канал, на излаз VPN-а или на објављену апликацију иза тунела. Свако одредиште има другачији лимит капацитета и другог власника који може да филтрира саобраћај. Именовање мете је први користан корак, а VPN претплата одговара само на једну од три.
Прођите кроз изложеност пре напада
Пратите један долазни захтев од интернета до ресурса који треба да исцрпи. Ако је одредиште ваша кућна адреса, лимит је приступни канал и ивица провајдера. Ако је излаз VPN-а, лимит припада VPN оператеру. Ако је прослеђени порт, уско грло постаје сопствена обрада апликације.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Три мете могу бити нападнуте заједно, али се ублажавају на различитим местима. Запишите коју од њих ваш план тврди да штити.
Ваш сопствени улазни канал задржава своју адресу
Усмеравање одлазног саобраћаја кроз тунел мења оно што виде удаљене услуге. Оно не уклања адресу коју држи ваш приступни канал нити помера капацитет тог канала.
Саобраћај усмерен на канал и даље се такмичи са сопственим пакетима тунела. Локални фајервол може да одбаци пакете након што стигну, али ограничени узлазни ток их већ носи. Та разлика је важна када је канал засићен, јер филтер не може да врати капацитет који никада није контролисао. Обратите се провајдеру приступа кроз његов процес за инциденте ако докази упућују на тај канал.
Излаз VPN-а је сада заједничка зависност
Свако ко посматра излаз VPN-а може тамо уместо тога да пошаље нежељени саобраћај. Да ли ће га провајдер апсорбовати зависи од стварног капацитета, архитектуре и било које услуге ублажавања коју одржава, а не од енкрипције тунела.
Заједнички излаз може да претрпи и инцидент усмерен на другог корисника или на околну провајдерску мрежу. Смернице CISA о ускраћивању услуге примећују да када се нападне интернет или cloud провајдер, мреже које нико није циљао такође могу да утрну. За сервер којим сами управљате, hosting провајдер и даље поседује узлазни капацитет који стиже пре него што ваш гост види пакет. Филтрирање унутар госта не може да врати пропусни опсег који је већ потрошен.
Објављени порт захтева план за услугу
Прослеђени порт намерно излаже апликацију, па захтеви који изгледају легитимно стижу до њене обраде без обзира на то како се контролише пријем на тунелу. Пријем на тунелу, филтрирање на хосту и ауторизација апликације покривају различите фазе и ниједна од њих не гарантује заштиту од исцрпљивања ресурса.
Користите подржане лимите услуге, надзор и ублажавање на узлазном путу и наведите ко може да затражи помоћ током инцидента. Потрошачка VPN претплата није доказ да ти контролни механизми постоје за вашу апликацију.
Нека дијагноза буде сразмерна. Споре странице и прекинуте везе долазе и од одржавања, надметања за ресурсе или обичних кварова, па сачувајте временске ознаке и ограничена запажања за одговорног оператера. Никада не проверавајте тврдњу неовлашћеним поплавом, већ уместо тога користите одобрен план са власником инфраструктуре.