DDoS gamit ang VPN: aling address ang totoong nakalantad?
Itinatago ng tunnel ang source address mo sa isang serbisyo, pero hindi ang uplink, ang labasan ng VPN, o ang forward na port. Pangalanan ang target bago magplano ng pagpapagaan.
Magsimula sa kahilingang dapat makasakit. Maaari itong dumating sa link ng bahay mo, sa labasan ng VPN, o sa publikadong aplikasyon sa likod ng tunnel. Bawat destinasyon ay may ibang limitasyon sa kapasidad at ibang may-ari na makakapag-filter ng trapiko. Ang pagpangalan sa target ang unang kapaki-pakinabang na hakbang, at ang subscription sa VPN ay sumasagot lamang sa isa sa tatlo.
Daunan ang pagkakalantad bago ang pag-atake
Subaybayan ang isang papasok na kahilingan mula sa internet hanggang sa mapagkukunang dapat nitong ubusin. Kung ang destinasyon ay address ng bahay mo, ang limitasyon ay ang access link at ang gilid ng provider. Kung labasan ng VPN, pagmamay-ari ng operator ng VPN ang limitasyon. Kung forward na port, ang sariling paghawak ng aplikasyon ang nagiging makitid na dako.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Maaaring atakehin nang sabay ang tatlong target, pero iba-iba ang lugar ng pagpapagaan. Isulat kung alin ang sinasabi ng plano mong pinoprotektahan.
Pinapanatili ng sarili mong uplink ang address nito
Ang pagpapadaan ng palabas na trapiko sa tunnel ay nagbabago ng nakikita ng malalayong serbisyo. Hindi nito inaalis ang address na hawak ng access link at hindi nito inililipat ang kapasidad ng link na iyon.
Ang trapikong nakatuon sa link ay nakikipagtagisan pa rin sa sariling packet ng tunnel. Maaaring itapon ng lokal na firewall ang mga packet pagkatapos nilang dumating, pero dinadala na sila ng limitadong upstream. Mahalaga ang pagkakaibang iyon kapag puno ang link, dahil hindi maibabalik ng filter ang kapasidad na hindi nito kailanman kinontrol. Makipag-ugnayan sa access provider sa pamamagitan ng proseso nito sa insidente kung ang ebidensya ay tumuturo sa link na iyon.
Ang labasan ng VPN ay pinagsasaluhang dependency
Kahit sino na nagmamasid sa labasan ng VPN ay makapagpapadala ng hindi kanais-nais na trapiko doon. Kung sipsipin ito ng provider ay depende sa tunay na kapasidad, arkitektura at anumang serbisyong pampagaan na pinapatakbo nito, hindi sa encryption ng tunnel.
Ang pinagsasaluhang labasan ay maaari ring masaktan ng insidenteng nakatuon sa ibang customer o sa nakapaligid na network ng provider. Ang gabay ng CISA tungkol sa pagtanggi sa serbisyo ay nagpapansin na kapag inatake ang internet o cloud provider, ang mga network na walang pinuntirya ay maaari ring dumilim. Para sa server na ikaw mismo ang namamahala, pagmamay-ari pa rin ng hosting provider ang upstream na kapasidad na dumarating bago makakita ng packet ang bisita mo. Hindi maibabalik ng pag-filter sa loob ng bisita ang bandwidth na nagastos na.
Ang publikadong port ay nangangailangan ng plano sa serbisyo
Sinasadya ng forward na port na ilantad ang isang aplikasyon, kaya ang mga kahilingang mukhang lehitimo ay nakakarating sa landas ng paghawak nito, gaano man kontrolado ang pagpasok sa tunnel. Ang pagpasok sa tunnel, pag-filter sa host at awtorisasyon ng aplikasyon ay sumasaklaw sa iba't ibang yugto, at wala sa mga ito ang gumagarantiya ng proteksyon laban sa pagkaubos ng mapagkukunan.
Gamitin ang mga sinusuportahang limitasyon ng serbisyo, pagmamatyag at pagpapagaan sa upstream, at pangalanan kung sino ang makakahiling ng tulong sa panahon ng insidente. Ang subscription sa VPN ng mamimili ay hindi patunay na umiiral ang mga kontrol na iyon para sa aplikasyon mo.
Panatilihing may proporsyon ang diagnosis. Ang mabagal na pahina at naputol na koneksyon ay nagmumula rin sa maintenance, pag-agawan sa mapagkukunan o karaniwang sira, kaya itago ang mga timestamp at limitadong obserbasyon para sa responsableng operator. Huwag kailanman patunayan ang pahayag sa pamamagitan ng hindi awtorisadong pagbaha, at gamitin sa halip ang aprubadong plano kasama ang may-ari ng imprastraktura.