Koji su slojevi DDoS obrane, i što svaki od njih obrađuje?

Question

Accepted Answer

DDoS obrana je **obrana u dubinu**: nijedna kontrola ne zaustavlja svaki napad, tako da naslagane slojeve koji svaki apsorbiraju, filtriraju ili blokira drugu klasu prometa. Redoslijed je bitan — gurni što je više moguće posla na rub, daleko od tvoje ishodišne točke.

## Slojevi, od ruba prema unutra

- **CDN / čišćenje centara** (Cloudflare, Akamai, AWS Shield) — najjednostavniji sloj. Sa **anycast**, ista IP se najavljuje s mnogih točaka prisutnosti, tako da se volumetrijska poplava **rasprostire preko globalnog kapaciteta** umjesto jednog podatkovnog centra. Čišćenja centara apsorbiraju poplavu i prosljeđuju samo čist promet.
- **WAF (Web Application Firewall)** — provjerava HTTP zahtjeve i blokira zlonamjerne obrasce: loše potpise, sumnjive korisnike agenata, poznate loše IP-ove i **Sloj 7** poplave koje oponašaju stvarne zahtjeve.
- **Ograničenje brzine** — ograničava zahtjeve po IP, ključu API ili korisniku tijekom vremenskog prozora, vraćajući `429 Too Many Requests`. Zaustavlja zloupotrebljavajuće klijente bez štete na normalne.
- **Upstream / ISP blackhole (null-route)** — posljednje utočište za sirovu količinu. Davatelj ispušta sav promet prema cilja IP (**daljinsko aktivirano blackhole, RTBH**), žrtvujući taj jedan IP za zaštitu svega ostalog.
- **Autoscaling + prerasporeďivanje** — dodatni kapacitet ishodišne točke za **apsorpciju** onoga što procuri, kupujući vrijeme dok se ostali slojevi angažiraju.

## Kako funkcioniraju zajedno

Mentalni model je **absorb -> filter -> block** :

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetrijski napadi umiru na CDN/scrubbing sloju; napadi na razini aplikacija koji izgledaju kao pravi promet filtriraju se putem WAF-a i ograničitelja brzine.

## Zašto je to važno

Osnivanje se na jedan sloj neće predvidivo: WAF ne može zaustaviti poplavu od 1 Tbps (cijev se prvo zasiti), a samo CDN će rado proslijediti pametnu HTTP poplavu svojoj ishodišnoj točki. Slaganje znači da svaka klasa napada susreće kontrolu za koju je dizajnirana, a ishodišna točka vidi samo promet koji vanjski slojevi nisu mogli obraditi na vlastitu ruku.