Cad iad na sraitheanna cosanta DDoS, agus cad a bhainistíonn gach ceann?

Question

Accepted Answer

Is **cosaint dhomhain** an cosaint DDoS: ní stopann aon rialú amháin gach ionsaí, agus mar sin cuimlíonn tú sraitheanna ann nach n-ionsraíonn, nach scagann, nó nach bhloccálann ach aon aicme tráchta dhifriúil. Is fúsacht an ord — bhrúigh oiread oibre agus is féidir i dtreo an imill, i bhfad ó do bhunús.

## Na sraitheanna, ó bhárr an imill istigh

- **CDN / ionaid ghlanadh** (Cloudflare, Akamai, AWS Shield) — an tsraith is geal ar an taobh amuigh. Le **anycast**, fógraítear an IP chéanna ó go leor pointí láithreachta, agus mar sin **scaipeadh thar ghníomhaíochta dhomhanda** a bhíonn ann i litir dhramhach san áit go bhíonn sé i rúndiachéadta aonair. Ghlacann ionaid ghlanadh an tuile agus ní tharchuireann ach tráchta ghlan ar aghaidh.
- **WAF (Web Application Firewall)** — gníomhanna a bhraistint ar fhiacháin HTTP agus cosáinte dhrochphatrún: drochsignatureanna, user agents a bhraistinc, droch-IPs ar eolas, agus tulanna **Layer 7** a aithríonn fíor-iarratas.
- **Rate limiting** — iarrataí a theorannú in aghaidh IP, eochair API, nó úsáideora thar fhuinneog ama, ag filleadh `429 Too Many Requests`. Stopann sé do chliaint drochúsáideach gan dochar a dhéanamh ar chinn normal.
- **Blackhole suas-sreabhadh / ISP (null-route)** — an deireanach ar ais do rabharta bhreise. Scaoileann an soláthrai gach tráchta don IP sprioc (**remotely-triggered blackhole, RTBH**), ag íobartú an IP sin chun gach rud eile a chosaint.
- **Autoscaling + réamhsoláthar** — toil ró-bhunús breise chun a **ionsú** a théann tríd, ag ceannach ama agus sraitheanna eile ag gníomhú.

## Conas a oibríonn siad le chéile

Is é samhail an intinn **absorb -> filter -> block** :

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Faigheann ionsaithe volumetric an bháis ag an tsraith CDN/scrubbing; ionsaithe fhormáid iarratais ar nós tráchta fíor a scagtar ag an WAF agus ag an tseolúchán.

## Cén fáth a bhfuil sé tábhachtach

Ní theipeann ar bhraistint ar aon tsraith amháin go réamhaisnéiseach: ní féidir le WAF tuile 1 Tbps a stopadh (an foluain sáraithíonn ar dtús), agus beidh CDN amháin sásta tuile HTTP cliste a chur ar aghaidh chuig do bhunús. Ciallaíonn an srathú go bhfuiltear gach aicme ionsaí a fhéachaint ar rialú a dhílíonn do, agus ní fhéachann an bunús ach tráchta nach raibh na sraitheanna seachtrach ábalta a bhainistiú orthu féin.