DDoS qua VPN: địa chỉ nào thực sự bị lộ?
Một đường hầm che địa chỉ nguồn của bạn khỏi một dịch vụ, nhưng không che đường truyền lên, đầu ra VPN hay cổng được chuyển tiếp. Hãy gọi tên mục tiêu trước khi lập kế hoạch giảm thiểu.
Hãy bắt đầu từ yêu cầu được cho là sẽ gây hại. Nó có thể đến đường truyền tại nhà bạn, đầu ra VPN hoặc một ứng dụng đã công bố phía sau đường hầm. Mỗi đích đến có một giới hạn dung lượng khác nhau và một chủ sở hữu khác nhau có thể lọc lưu lượng. Gọi tên mục tiêu là bước hữu ích đầu tiên, và một gói đăng ký VPN chỉ trả lời được một trong ba.
Đi qua phơi nhiễm trước khi bị tấn công
Theo dõi một yêu cầu đến từ internet tới tài nguyên mà nó được cho là sẽ làm cạn kiệt. Nếu đích là địa chỉ nhà bạn, giới hạn là đường truyền truy cập và rìa của nhà cung cấp. Nếu là đầu ra VPN, giới hạn thuộc về nhà vận hành VPN. Nếu là cổng được chuyển tiếp, chính cách xử lý của ứng dụng trở thành điểm nghẽn.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Ba mục tiêu có thể bị tấn công cùng lúc, nhưng việc giảm thiểu diễn ra ở những nơi khác nhau. Hãy ghi ra kế hoạch của bạn tuyên bố bảo vệ mục tiêu nào.
Đường truyền lên của chính bạn giữ nguyên địa chỉ
Đưa lưu lượng đi ra qua một đường hầm thay đổi những gì dịch vụ từ xa nhìn thấy. Nó không xóa địa chỉ mà đường truyền truy cập của bạn đang có và không di chuyển dung lượng của đường truyền đó.
Lưu lượng nhắm vào đường truyền vẫn cạnh tranh với chính các gói của đường hầm. Tường lửa cục bộ có thể bỏ gói sau khi chúng đến, nhưng đường lên bị hạn chế đã mang chúng rồi. Sự khác biệt đó có ý nghĩa khi đường truyền bị bão hòa, vì bộ lọc không thể trả lại dung lượng mà nó chưa bao giờ kiểm soát. Hãy liên hệ nhà cung cấp truy cập qua quy trình xử lý sự cố của họ nếu bằng chứng chỉ về đường truyền đó.
Đầu ra VPN giờ là một phụ thuộc chia sẻ
Bất kỳ ai quan sát đầu ra VPN đều có thể gửi lưu lượng không mong muốn đến đó. Việc nhà cung cấp hấp thụ được hay không phụ thuộc vào dung lượng thực, kiến trúc và bất kỳ dịch vụ giảm thiểu nào họ vận hành, chứ không phụ thuộc vào mã hóa của đường hầm.
Một đầu ra chia sẻ cũng có thể chịu sự cố nhắm vào khách hàng khác hoặc vào mạng của nhà cung cấp xung quanh. Hướng dẫn của CISA về từ chối dịch vụ lưu ý rằng khi nhà cung cấp internet hoặc điện toán đám mây bị tấn công, những mạng không ai nhắm tới cũng có thể tối đi. Với máy chủ do bạn tự quản lý, nhà cung cấp lưu trữ vẫn sở hữu dung lượng đường lên đến trước khi khách của bạn thấy một gói tin. Lọc bên trong khách không thể khôi phục băng thông đã dùng.
Một cổng đã công bố cần một kế hoạch dịch vụ
Cổng được chuyển tiếp cố ý phơi ra một ứng dụng, nên các yêu cầu trông có vẻ hợp lệ vẫn đến đường xử lý của nó, bất kể việc tiếp nhận tại đường hầm được kiểm soát thế nào. Tiếp nhận tại đường hầm, lọc trên máy chủ và cấp quyền cho ứng dụng bao phủ các giai đoạn khác nhau, và không giai đoạn nào bảo đảm chống cạn kiệt tài nguyên.
Hãy dùng các giới hạn được dịch vụ hỗ trợ, giám sát và giảm thiểu ở phía đường lên, và nêu rõ ai có thể yêu cầu trợ giúp trong sự cố. Gói đăng ký VPN tiêu dùng không phải bằng chứng rằng các biện pháp kiểm soát đó tồn tại cho ứng dụng của bạn.
Giữ chẩn đoán ở mức tương xứng. Trang chậm và kết nối bị ngắt cũng đến từ bảo trì, tranh chấp tài nguyên hoặc lỗi thông thường, nên hãy lưu dấu thời gian và các quan sát có giới hạn cho nhà vận hành chịu trách nhiệm. Đừng bao giờ xác nhận tuyên bố bằng một đợt dội tải không được phép, và thay vào đó hãy dùng một kế hoạch đã được phê duyệt với chủ sở hữu hạ tầng.