DDoS রক্ষার স্তরগুলি কী এবং প্রতিটি কী পরিচালনা করে?

Question

Accepted Answer

DDoS রক্ষা হল **গভীরতায় প্রতিরক্ষা**: কোনও একক নিয়ন্ত্রণ প্রতিটি আক্রমণ বন্ধ করে না, তাই আপনি এমন স্তরগুলি স্ট্যাক করেন যা প্রতিটি বিভিন্ন ক্লাস ট্রাফিক শোষণ, ফিল্টার বা ব্লক করে। অর্ডার গুরুত্বপূর্ণ — যতটা সম্ভব কাজ প্রান্তের দিকে, আপনার উত্স থেকে দূরে ঠেলে দিন।

## স্তরগুলি, প্রান্ত থেকে অভ্যন্তরে

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — সর্বাধিক বাইরের স্তর। **anycast** এর সাথে, একই IP বহু উপস্থিতি পয়েন্ট থেকে ঘোষণা করা হয়, তাই একটি আয়তনের বন্যা **বৈশ্বিক সক্ষমতা জুড়ে ছড়িয়ে পড়ে** একটি ডেটা সেন্টারের পরিবর্তে। স্ক্রাবিং সেন্টারগুলি বন্যা শোষণ করে এবং শুধুমাত্র পরিষ্কার ট্রাফিক এগিয়ে নিয়ে যায়।
- **WAF (Web Application Firewall)** — HTTP অনুরোধগুলি পরিদর্শন করে এবং ক্ষতিকারক নিদর্শনগুলি ব্লক করে: খারাপ স্বাক্ষর, সন্দেহজনক ব্যবহারকারী এজেন্ট, পরিচিত খারাপ IP এবং **Layer 7** বন্যা যা বাস্তব অনুরোধগুলি অনুকরণ করে।
- **Rate limiting** — একটি সময় উইন্ডো জুড়ে IP, API key বা ব্যবহারকারীর প্রতি অনুরোধগুলি ক্যাপ করে, `429 Too Many Requests` ফেরত দেয়। স্বাভাবিক ক্লায়েন্টদের ক্ষতি না করে অপব্যবহারকারী ক্লায়েন্টদের বন্ধ করে।
- **Upstream / ISP blackhole (null-route)** — কাঁচা ভলিউমের জন্য শেষ অবলম্বন। প্রদানকারী লক্ষ্যবস্তু IP এ সমস্ত ট্রাফিক ড্রপ করে (**remotely-triggered blackhole, RTBH**), বাকি সবকিছু রক্ষা করার জন্য সেই একটি IP ত্যাগ করে।
- **Autoscaling + overprovisioning** — অতিরিক্ত উত্স সক্ষমতা যা **শোষণ** করতে পারে যা স্লিপ করে, অন্যান্য স্তরগুলি জড়িত থাকার সময় সময় কেনে।

## তারা একসাথে কীভাবে কাজ করে

মানসিক মডেল হল **শোষণ -> ফিল্টার -> ব্লক**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

আয়তন আক্রমণ CDN/scrubbing স্তরে মারা যায়; প্রকৃত ট্রাফিকের মতো দেখায় এমন অ্যাপ্লিকেশন-স্তরের আক্রমণ WAF এবং হার সীমাবদ্ধকারী দ্বারা ফিল্টার করা হয়।

## এটি কেন গুরুত্বপূর্ণ

এক স্তরের উপর নির্ভর করা অনুমানযোগ্যভাবে ব্যর্থ হয়: একটি WAF 1 Tbps বন্যা বন্ধ করতে পারে না (পাইপ প্রথমে স্যাচুরেট হয়), এবং একা একটি CDN খুশি হয়ে একটি চতুর HTTP বন্যা আপনার উত্সের মাধ্যমে পাস করবে। স্তরকরণের অর্থ প্রতিটি আক্রমণ শ্রেণী এর জন্য ডিজাইন করা একটি নিয়ন্ত্রণ পূরণ করে, এবং উত্স শুধুমাত্র এমন ট্রাফিক দেখে যা বাইরের স্তরগুলি নিজে থেকে পরিচালনা করতে পারেনি।