DDoS રક્ષણના સ્તરો શું છે, અને દરેક શું સંભાળે છે?

Question

Accepted Answer

DDoS રક્ષણ એ **રક્ષણ માટે ઊંડાઈ** છે: કોઈ પણ એક નિયંત્રણ દરેક હુમલો બંધ કરતું નથી, તેથી તમે સ્તરોને સ્ટેક કરો છો જે દરેક વિવિધ વર્ગના ટ્રાફિકને શોષી, ફિલ્ટર કરે અથવા અવરોધ કરે છે. ક્રમ મહત્વપૂર્ણ છે — શક્ય તેટલી વધુ કામ ધારની તરફ દબાણ કરો, તમારા મૂળથી દૂર.

## સ્તરો, ધાર તરફ અંદર

- **CDN / સ્ક્રબિંગ સેન્ટર** (Cloudflare, Akamai, AWS Shield) — સૌથી બાહ્ય સ્તર. **anycast** સાથે, સમાન IP અનેક ઉપસ્થિતિ બિંદુઓથી જાહેર કરવામાં આવે છે, તેથી વોલ્યુમેટ્રિક બાણ **વૈશ્વિક ક્ષમતા પર ફેલાયેલ** છે એક માત્ર ડેટા સેન્ટર ને બદલે. સ્ક્રબિંગ સેન્ટર બાણને શોષી લે છે અને માત્ર સ્વચ્છ ટ્રાફિક આગળ કરે છે.
- **WAF (Web Application Firewall)** — HTTP વિનંતી પરીક્ષા કરે છે અને દૂષિત પેટર્ન અવરોધ કરે છે: ખરાબ હસ્તાક્ષર, શંકાસ્પદ વપરાશકર્તા એજન્ટ, જાણીતા ખરાબ IP, અને **Layer 7** બાણ જે વાસ્તવિક વિનંતી નકલ કરે છે.
- **Rate limiting** — સમય વિંડો પર IP, API કી, અથવા વપરાશકર્તા દીઠ વિનંતીને મર્યાદિત કરે છે, `429 Too Many Requests` પરત કરે છે. દુર્ભાવનાપૂર્ણ ક્લાયન્ટને સામાન્ય લોકોને નુકસાન પહોંચ્યા વિના બંધ કરે છે.
- **અપસ્ટ્રીમ / ISP blackhole (null-route)** — કાચું વોલ્યુમ માટે આખરી પ્રયાસ. પ્રદાતા તમામ ટ્રાફિક લક્ష્ય IP માટે આપતો નથી (**remotely-triggered blackhole, RTBH**), તે એક IP બલિ આપતો છે બાકી બધું બચાવવા માટે.
- **Autoscaling + overprovisioning** — વધારાના મૂળ ક્ષમતા **શોષણ** કરવા જે ફરીથી આવે છે, સમય ખરીદતો છે અને અન્ય સ્તરો કાર્યરત હોય છે.

## તેઓ કેવી રીતે એક સાથે કામ કરે છે

માનસિક મોડેલ એ છે **absorb -> filter -> block** :

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

વોલ્યુમેટ્રિક હુમલો CDN/scrubbing સ્તરે મૃત્યુ પામે છે; એપ્લિકેશન-સ્તરના હુમલો જે વાસ્તવિક ટ્રાફિક જેવા લાગે છે તે WAF અને rate limiter દ્વારા ફિલ્ટર કરવામાં આવે છે.

## તે શા માટે મહત્વપૂર્ણ છે

એક સ્તર પર આધાર રાખવું અપ્રત્યાશિત રીતે નિષ્ફળ જાય છે: WAF 1 Tbps બાણ બંધ કરી શકતું નથી (પાઈપ પહેલું સંતૃપ્ત થાય છે), અને CDN એકલો સુખીથી હોશિયાર HTTP બાણને તમારા મૂળ તરફ આગળ કરશે. સ્તર આવતું મતલબ છે કે દરેક હુમલો વર્ગ તેના માટે ડિઝાઇન કરેલ નિયંત્રણ સાથે મળે છે, અને મૂળ ફક્ત ટ્રાફિક જોય છે તે બાહ્ય સ્તર નિજે હેતુ હેન્ડલ કરી શકતા નથી.