DDoS सुरक्षाका तहहरू के हुन्, र प्रत्येकले के गर्छ?

Question

Accepted Answer

DDoS सुरक्षा **गहिराईमा सुरक्षा** हो: कुनै पनि एकल नियन्त्रण हरेक आक्रमणलाई रोक्दैन, त्यसैले तपाई तहहरू स्ट्याक गर्नु पर्छ जो प्रत्येकले ट्राफिकको फरक वर्गलाई अवशोषित, फिल्टर वा ब्लक गर्छ। क्रम महत्त्वपूर्ण हो — जनमको सम्भवतम काम किनार तर्फ धकेल्नु, आपको अरिजिन भन्दा टाढा।

## तहहरू, किनारा भित्र

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — सबैभन्दा बाहिरी तह। **anycast** सँग, एक जस्तै IP उपस्थितिको धेरै बिन्दुबाट घोषणा गरिन्छ, त्यसैले एक volumetric flood **एक डेटा सेन्टरको सट्टा वैश्विक क्षमताभर फैलिन्छ**। Scrubbing centers बाढ अवशोषित गर्छन् र सफा ट्राफिक मात्र अगाडि गर्छन्।
- **WAF (Web Application Firewall)** — HTTP request को निरीक्षण गर्छ र दुर्भावनापूर्ण प्याटर्न ब्लक गर्छ: खराब हस्ताक्षर, शंकास्पद user agents, ज्ञात खराब IPs, र **Layer 7** बाढ जो वास्तविक request अनुकरण गर्छ।
- **Rate limiting** — IP, API key, वा समय विन्डु भर user को प्रति अनुरोध क्याप गर्छ, `429 Too Many Requests` फर्काउँछ। दुर्व्यवहार गर्ने ग्राहकहरूलाई सामान्य छुट्टाएबिना रोक्छ।
- **Upstream / ISP blackhole (null-route)** — कच्चा भोल्युमको लागि अन्तिम उपाय। प्रदायक लक्षित IP मा सबै ट्राफिक ड्राप गर्छ (**remotely-triggered blackhole, RTBH**), बाकी सबै कुरा सुरक्षित गर्न त्यो एक IP सहिंमति गर्छ।
- **Autoscaling + overprovisioning** — अतिरिक्त origin क्षमता अन्य तहहरू संलग्न हुँदा **अवशोषित** गर्न र समय खरिद गर्न।

## तिनीहरू कसरी एकसाथ काम गर्छन्

मानसिक मडेल **absorb -> filter -> block** हो:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetric आक्रमणहरू CDN/scrubbing तहमा मर्छन्; application-layer आक्रमणहरू जो वास्तविक ट्राफिक जस्तो लाग्छन् WAF र rate limiter द्वारा फिल्टर गरिन्छन्।

## यो किन महत्त्वपूर्ण छ

एक तहमा निर्भर हुनु पूर्वानुमेय रूपमा असफल हुन्छ: WAF 1 Tbps बाढलाई रोक्न सक्दैन (पाइप पहिले संतृप्त हुन्छ), र एक CDN अकेले एक चतुर HTTP बाढलाई खुशीसाथ आपको origin मा पास गर्दछ। तहबिल्ड गर्ने अर्थ हरेक आक्रमण वर्गले यसको लागि डिजाइन गरिएको नियन्त्रणको सामना गर्छ, र origin कहिले पनि ट्राफिक मात्र आपस बाहिरी तहहरू आप्नै मा सम्भालन सक्दैन भेट्छ।