DDoS रक्षा गहराई में रक्षा है: कोई भी एक नियंत्रण हर हमले को नहीं रोकता है, इसलिए आप परतों को ढेर करते हैं जो प्रत्येक ट्रैफिक के एक अलग वर्ग को अवशोषित, फ़िल्टर या ब्लॉक करते हैं। क्रम महत्वपूर्ण है — जितना संभव हो सके काम को किनारे की ओर धकेलें, अपने मूल से दूर।
429 Too Many Requests लौटाता है। सामान्य लोगों को नुकसान पहुंचाए बिना दुर्भावनापूर्ण क्लाइंट को रोकता है।मानसिक मॉडल है absorb -> filter -> block :
Internet flood
-> CDN + anycast : ABSORB volume across global PoPs
-> scrubbing : drop obvious junk (L3/L4 floods)
-> WAF : FILTER malicious HTTP (L7)
-> rate limiting : throttle abusive clients (429)
-> origin (autoscaled) : serve the clean remainder
-> ISP null-route : last resort if origin IP is overwhelmed
आयतन वाले हमले CDN/scrubbing परत पर मर जाते हैं; एप्लिकेशन-परत के हमले जो वास्तविक ट्रैफिक जैसे दिखते हैं, WAF और दर सीमाकर्ता द्वारा फ़िल्ट किए जाते हैं।
एक परत पर भरोसा करना अनुमानित रूप से विफल हो जाता है: एक WAF 1 Tbps बाढ़ को नहीं रोक सकता है (पाइप पहले संतृप्त हो जाता है), और अकेले CDN खुशी से एक चतुर HTTP बाढ़ को आपके मूल तक भेजेगा। स्तरण का अर्थ है कि प्रत्येक हमले का वर्ग इसके लिए डिज़ाइन किए गए एक नियंत्रण से मिलता है, और मूल केवल ऐसे ट्रैफिक को देखता है जो बाहरी परतें अपने दम पर संभाल नहीं सके।