DDoS संरक्षणाचे परत काय आहेत आणि प्रत्येक काय हाताळते?

Question

Accepted Answer

DDoS संरक्षण **गहरेपणात संरक्षण** आहे: कोणतीही एक नियंत्रण सर्व हल्ले रोखत नाही, म्हणून तुम्ही परत स्तरीकृत करता जे प्रत्येक भिन्न ट्रॅफिक वर्गास शोषित, फिल्टर किंवा ब्लॉक करते. क्रम महत्वाचा आहे — जाऱ्यापर्यंत शक्य तितका काम किनारी वर ढकलून द्या, तुमच्या उगमापासून दूर.

## परत, किनारीपासून आंतरीकपर्यंत

- **CDN / स्क्रबिंग केंद्र** (Cloudflare, Akamai, AWS Shield) — सर्वबाहेरचा परत. **anycast** सह, समान IP अनेक उपस्थिती बिंदूंपासून जाहिर केले जाते, म्हणून व्हॉल्यूमेट्रिक फ्लड **एका डेटा सेंटरऐवजी जागतिक क्षमतेमध्ये पसरविले जाते**. स्क्रबिंग केंद्र फ्लड शोषून घेतात आणि फक्त स्वच्छ ट्रॅफिक पुढे करतात.
- **WAF (Web Application Firewall)** — HTTP विनंत्या तपासते आणि दुर्भावनापूर्ण नमुने अवरोधित करते: खराब स्वाक्षरी, संशयास्पद वापरकर्ता एजंट, ज्ञात खराब IP आणि **Layer 7** फ्लड जे वास्तविक विनंत्यांचे अनुकरण करते.
- **दर सीमांकन** — IP, API की किंवा वापरकर्ता प्रति विनंत्या वेळ खिडकीत मर्यादित करते, `429 Too Many Requests` परत करते. सामान्य नुकसान न होता गैरवर्तन करणारे ग्राहक रोखते.
- **अपस्ट्रीम / ISP blackhole (null-route)** — कच्च्या व्हॉल्यूमसाठी शेवटचा उपाय. प्रदाता लक्ष्य IP (**remotely-triggered blackhole, RTBH**) वर सर्व ट्रॅफिक टाकून देतो, बाकीचे सर्व कुछ संरक्षित करण्यासाठी तो एक IP त्यागतो.
- **ऑटोस्केलिंग + overprovisioning** — अतिरिक्त उगम क्षमता **शोषण** करण्यासाठी जे सरकते, इतर परत गुंतले तेव्हा वेळ खरेदी करते.

## ते कसे एकत्र काम करतात

मानसिक मॉडेल **शोषण -> फिल्टर -> ब्लॉक** आहे:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

व्हॉल्यूमेट्रिक हल्ले CDN/स्क्रबिंग परत येथे मरतात; अनुप्रयोग-स्तर हल्ले जे वास्तविक ट्रॅफिकसारखे दिसतात WAF आणि दर लिमिटरद्वारे फिल्टर केले जातात.

## हे का महत्वाचे आहे

एका परतीवर अवलंबून राहणे पूर्वानुमेयपणे विफल होते: WAF 1 Tbps फ्लड रोखू शकत नाही (पाईप प्रथम संतृप्त होतो), आणि एकटा CDN आनন्दाने हुशार HTTP फ्लड तुमच्या उगमामध्ये पास करून देईल. परत अर्थात प्रत्येक हल्ल्याचा वर्ग त्यासाठी डिজाइन केलेल्या नियंत्रणाला भेटतो, आणि उगम केवळ ट्रॅफिक पाहते जो बाहेरचे परत स्वतःच हाताळू शकत नाहीत.