DDoS med VPN: vilken adress är egentligen exponerad?
En tunnel döljer din källadress för en tjänst, men inte din upplänk, VPN-utgången eller en vidarebefordrad port. Namnge målet innan du planerar mildring.
Börja med den begäran som ska göra skada. Den kan nå din hemuppkoppling, VPN-utgången eller en publicerad applikation bakom tunneln. Varje mål har en annan kapacitetsgräns och en annan ägare som kan filtrera trafik. Att namnge målet är det första användbara steget, och en VPN-prenumeration svarar bara på en av de tre.
Gå igenom exponeringen före attacken
Följ en inkommande begäran från internet till resursen den ska utmatta. Om målet är din hemadress är gränsen accesslinjen och leverantörens kant. Om det är VPN-utgången tillhör gränsen VPN-operatören. Om det är en vidarebefordrad port blir applikationens egen hantering flaskhalsen.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
De tre målen kan attackeras tillsammans, men de mildras på olika ställen. Skriv ned vilket av dem din plan påstår sig skydda.
Din egen upplänk behåller sin adress
Att leda din utgående trafik genom en tunnel ändrar vad fjärrtjänster ser. Det tar inte bort adressen som din accesslinje har och flyttar inte den linjens kapacitet.
Trafik riktad mot linjen konkurrerar fortfarande med tunnelns egna paket. En lokal brandvägg kan släppa paket efter att de anlänt, men den begränsade uppströmslänken bär dem redan. Den skillnaden spelar roll när linjen är mättad, eftersom ett filter inte kan ge tillbaka kapacitet det aldrig kontrollerade. Kontakta accessleverantören via deras incidentprocess om bevisen pekar mot den linjen.
VPN-utgången är nu ett delat beroende
Den som observerar VPN-utgången kan skicka oönskad trafik dit i stället. Om leverantören absorberar den beror på verklig kapacitet, arkitektur och eventuella mildringstjänster den driver, inte på tunnelns kryptering.
En delad utgång kan också drabbas av en incident riktad mot en annan kund eller mot leverantörens omgivande nät. CISA:s vägledning om överbelastningsattacker konstaterar att när en internet- eller molnleverantör attackeras kan nät som ingen riktade sig mot också slockna. För en självförvaltad server äger hostingleverantören fortfarande den uppströmskapacitet som anländer innan din gäst ser ett paket. Filtrering inne i gästen kan inte återställa bandbredd som redan är förbrukad.
En publicerad port kräver en serviceplan
En vidarebefordrad port exponerar medvetet en applikation, så begäranden som ser legitima ut når dess hanteringsväg, oavsett hur insläppet kontrolleras i tunneln. Tunnelinsläpp, värddatorfiltrering och applikationsauktorisering täcker olika steg, och ingen av dem garanterar skydd mot resursutmattning.
Använd tjänstens stödda gränser, övervakning och uppströms mildring, och namnge vem som kan begära hjälp under en incident. En konsument-VPN-prenumeration är inte bevis för att dessa kontroller finns för din applikation.
Håll diagnosen proportionerlig. Långsamma sidor och brutna anslutningar kommer också från underhåll, konkurrens om resurser eller vanliga fel, så spara tidsstämplar och avgränsade observationer för den ansvariga operatören. Validera aldrig påståendet med en obehörig flood, och använd i stället en godkänd plan med infrastrukturens ägare.