Jaké jsou vrstvy ochrany před DDoS útoky a co jednotlivé vrstvy řeší?

Question

Accepted Answer

Obrana před DDoS útoky je **obrana do hloubky**: žádná jediná kontrola nezastaví každý útok, takže skládáte vrstvy, které každá pohlcují, filtrují nebo blokují jinou třídu provozu. Pořadí záleží — tlačte co nejvíce práce na okraj, pryč od vašeho počátku.

## Vrstvy, od okraje dovnitř

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — nejvnější vrstva. S **anycast** je stejný IP oznámen z mnoha bodů přítomnosti, takže objemový záplava je **rozprostřena přes globální kapacitu** místo jednoho datového centra. Čisticí centra pohlcují záplavu a předávají pouze čistý provoz.
- **WAF (Web Application Firewall)** — inspekuje HTTP požadavky a blokuje škodlivé vzory: špatné podpisy, podezřelé user agenty, známé špatné IP adresy a **Layer 7** záplavy, které napodobují skutečné požadavky.
- **Rate limiting** — omezuje požadavky na IP, API klíč nebo uživatele v průběhu časového okna, vrací `429 Too Many Requests`. Zastavuje zneužívající klienty bez poškození normálních.
- **Upstream / ISP blackhole (null-route)** — poslední možnost pro hrubé objemy. Poskytovatel smaže veškerý provoz na cílové IP (**remotely-triggered blackhole, RTBH**), obětuje tu jednu IP, aby chránil všechno ostatní.
- **Autoscaling + overprovisioning** — dodatečná kapacita počátku, která **pohlcuje** to, co prochází, kupuje si čas, zatímco se ostatní vrstvy zapojují.

## Jak fungují společně

Mentální model je **pohlcovat -> filtrovat -> blokovat**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Objemové útoky umírají v CDN/scrubbing vrstvě; útoky na úrovni aplikací, které vypadají jako skutečný provoz, se filtrují pomocí WAF a limiteru sazeb.

## Proč to záleží

Spolehlívání se na jednu vrstvu selhává předvídatelně: WAF nemůže zastavit 1 Tbps záplavu (potrubí se nejdříve nasytí) a samotný CDN ochotně předá chytrou HTTP záplavu k vašemu počátku. Vrstvení znamená, že každá třída útoku se setkává s kontrolou navržené pro ni, a počátek vidí pouze provoz, který vnější vrstvy nemohly zvládnout samy.