VPN ile DDoS: gerçekte hangi adres açıkta?
Bir tünel kaynak adresinizi bir hizmetten gizler, ama yukarı akış bağlantınızı, VPN çıkışını veya yönlendirilmiş bir bağlantı noktasını gizlemez. Azaltmayı planlamadan önce hedefi adlandırın.
Zarar vermesi beklenen istekle başlayın. Bu istek ev bağlantınıza, VPN çıkışına veya tünelin arkasında yayımlanmış bir uygulamaya gelebilir. Her hedefin farklı bir kapasite sınırı ve trafiği filtreleyebilen farklı bir sahibi vardır. Hedefi adlandırmak ilk yararlı adımdır ve bir VPN aboneliği üçünden yalnızca birine yanıt verir.
Saldırıdan önce açıklığı gezin
İnternetten gelen tek bir isteği, tüketmesi gereken kaynağa kadar izleyin. Hedef ev adresinizse sınır, erişim bağlantısı ve sağlayıcının kenarıdır. Hedef VPN çıkışıysa sınır VPN işletmecisine aittir. Hedef yönlendirilmiş bir bağlantı noktasıysa uygulamanın kendi işleyişi darboğaz olur.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Üç hedef birlikte saldırıya uğrayabilir, ancak azaltma farklı yerlerde yapılır. Planınızın hangisini koruduğunu iddia ettiğini yazın.
Kendi yukarı akış bağlantınız adresini korur
Giden trafiğinizi bir tünelden geçirmek, uzak hizmetlerin gördüğünü değiştirir. Erişim bağlantınızın sahip olduğu adresi ortadan kaldırmaz ve o bağlantının kapasitesini taşımaz.
Bağlantıya yönelen trafik hâlâ tünelin kendi paketleriyle yarışır. Yerel bir güvenlik duvarı paketleri geldikten sonra düşürebilir, ama kısıtlı yukarı akış onları zaten taşıyor. Bağlantı doyduğunda bu fark önemlidir, çünkü bir filtre hiç denetlemediği kapasiteyi geri veremez. Kanıtlar o bağlantıyı işaret ediyorsa erişim sağlayıcısına olay süreci üzerinden başvurun.
VPN çıkışı artık paylaşılan bir bağımlılık
VPN çıkışını gözlemleyen herkes oraya istenmeyen trafik gönderebilir. Sağlayıcının bunu emip emmeyeceği gerçek kapasiteye, mimariye ve işlettiği herhangi bir azaltma hizmetine bağlıdır, tünelin şifrelemesine değil.
Paylaşılan bir çıkış, başka bir müşteriye veya sağlayıcının çevresindeki ağa yönelik bir olaydan da zarar görebilir. CISA'nın hizmet dışı bırakma rehberi bir internet veya bulut sağlayıcısı saldırıya uğradığında kimsenin hedeflemediği ağların da karanlığa gömülebileceğini belirtir. Kendi yönettiğiniz bir sunucu için, konuğunuz bir paket görmeden önce gelen yukarı akış kapasitesi hâlâ barındırma sağlayıcısınındır. Konuğun içindeki filtreleme, hâlihazırda harcanmış bant genişliğini geri getiremez.
Yayımlanmış bir bağlantı noktası hizmet planı gerektirir
Yönlendirilmiş bir bağlantı noktası bir uygulamayı bilerek açığa çıkarır, bu yüzden meşru görünen istekler tünelde giriş nasıl denetlenirse denetlensin onun işleme yoluna ulaşır. Tünel girişi, ana makine filtrelemesi ve uygulama yetkilendirmesi farklı aşamaları kapsar ve hiçbiri kaynak tükenmesine karşı koruma garantisi vermez.
Hizmetin desteklediği sınırları, izlemeyi ve yukarı akış azaltmasını kullanın ve bir olay sırasında kimin yardım isteyebileceğini belirtin. Tüketici VPN aboneliği, bu denetimlerin uygulamanız için var olduğunun kanıtı değildir.
Teşhisi ölçülü tutun. Yavaş sayfalar ve kopan bağlantılar bakımdan, kaynak yarışından veya olağan arızalardan da kaynaklanır; bu yüzden sorumlu işletmeci için zaman damgalarını ve sınırlı gözlemleri saklayın. İddiayı asla yetkisiz bir sel ile doğrulamayın ve bunun yerine altyapı sahibiyle onaylanmış bir plan kullanın.