DDoS ਰੱਖਿਆ ਦੀਆਂ ਪਰਤਾਂ ਕੀ ਹਨ, ਅਤੇ ਹਰੇਕ ਕੀ ਸੰਭਾਲਦਾ ਹੈ?

Question

Accepted Answer

DDoS ਰੱਖਿਆ **ਖੋਜ ਵਿੱਚ ਰੱਖਿਆ** ਹੈ: ਕੋਈ ਵੀ ਇਕ ਨਿਯੰਤਰਣ ਹਰ ਹਮਲੇ ਨੂੰ ਰੋਕਦਾ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਤੁਸੀਂ ਪਰਤਾਂ ਨੂੰ ਸਟੈਕ ਕਰਦੇ ਹੋ ਜੋ ਟਰੈਫਿਕ ਦੀ ਵੱਖ-ਵੱਖ ਕਲਾਸ ਨੂੰ ਸੋਖਦੀਆਂ, ਫਿਲਟਰ ਕਰਦੀਆਂ, ਜਾਂ ਬਲੌਕ ਕਰਦੀਆਂ ਹਨ। ਕ੍ਰਮ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ — ਜਿੰਨਾ ਹੋ ਸਕੇ ਕਾਮ ਨੂੰ ਕਿਨਾਰੇ ਵੱਲ ਧੱਕੋ, ਤੁਹਾਡੇ ਮੂਲ ਤੋਂ ਦੂਰ।

## ਪਰਤਾਂ, ਕਿਨਾਰੇ ਤੋਂ ਅੰਦਰ

- **CDN / scrubbing ਕੇਂਦਰ** (Cloudflare, Akamai, AWS Shield) — ਬਾਹਰੀ ਤਰਫ ਦੀ ਪਰਤ। **anycast** ਦੇ ਨਾਲ, ਇੱਕੋ IP ਕਈ ਮੌਜੂਦਗੀ ਦੇ ਬਿੰਦੂਆਂ ਤੋਂ ਘੋਸ਼ਣਾ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਵੌਲਿਊਮੈਟ੍ਰਿਕ ਪਲੱਡ ਇੱਕ ਡੇਟਾ ਸੈਂਟਰ ਦੀ ਬਜਾਏ **ਗਲੋਬਲ ਸਮਰੱਥਾ ਉੱਤੇ ਫੈਲਿਆ ਹੋਇਆ** ਹੈ। Scrubbing ਕੇਂਦਰ ਹੜ ਨੂੰ ਸੋਖਦੇ ਹਨ ਅਤੇ ਸਿਰਫ ਸਾਫ ਟਰੈਫਿਕ ਅੱਗੇ ਭੇਜਦੇ ਹਨ।
- **WAF (Web Application Firewall)** — HTTP ਬੇਨਤੀਆਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਅਤੇ ਖਰਾਬ ਪੈਟਰਨ ਨੂੰ ਬਲੌਕ ਕਰਦਾ ਹੈ: ਖਰਾਬ ਹਸਤਾਖਰ, ਸ਼ੱਕੀ ਯੂਜ਼ਰ ਏਜੰਟ, ਜ਼ਾਤੀ ਖਰਾਬ IP, ਅਤੇ **Layer 7** ਹੜ ਜੋ ਅਸਲ ਬੇਨਤੀਆਂ ਦੀ ਨਕਲ ਕਰਦੇ ਹਨ।
- **Rate limiting** — ਬੇਨਤੀਆਂ ਨੂੰ ਪ੍ਰਤਿ IP, API ਕੁੰਜੀ, ਜਾਂ ਯੂਜ਼ਰ ਲਈ ਸਮੇਂ ਦੀ ਖਿੜਕੀ ਉੱਤੇ ਕੈਪ ਕਰਦਾ ਹੈ, `429 Too Many Requests` ਵਾਪਸ ਕਰਦਾ ਹੈ। ਸਧਾਰਨ ਲੋਕਾਂ ਨੂੰ ਨੁਕਸਾਨ ਪਹੁੰਚਾਏ ਬਿਨਾ ਦੁਰਵਿਵਹਾਰ ਕਰਨ ਵਾਲੀ ਕਲਾਇੰਟ ਨੂੰ ਰੋਕਦਾ ਹੈ।
- **Upstream / ISP blackhole (null-route)** — ਕੱਚੀ ਵੌਲਿਊਮ ਲਈ ਆਖਰੀ ਸਹਾਰਾ। ਪ੍ਰਦਾਤਾ ਨਿਸ਼ਾਨੇ ਬਣਾਏ IP ਲਈ ਸਾਰੀ ਟਰੈਫਿਕ ਡ੍ਰੌਪ ਕਰਦਾ ਹੈ (**ਦੂਰੋਂ ਸ਼ੁਰੂ ਕੀਤਾ ਗਿਆ blackhole, RTBH**), ਬਾਕੀ ਸਭ ਕੁਝ ਨੂੰ ਸੁਰੱਖਿਤ ਕਰਨ ਲਈ ਉਸ ਇੱਕ IP ਦੀ ਕੁਰਬਾਨੀ ਦਿੰਦਾ ਹੈ।
- **Autoscaling + overprovisioning** — ਬਾਹਰੀ ਮੂਲ ਸਮਰੱਥਾ **ਸੋਖਣ ਲਈ** ਜੋ ਵਾਂਗ ਲੰਘਦੀ ਹੈ, ਜਦਕਿ ਦੂਸਰੀਆਂ ਪਰਤਾਂ ਲਗਵਾਈਆਂ ਜਾ ਰਹੀਆਂ ਹਨ ਸਮਾਂ ਖਰੀਦਿਆ ਜਾ ਰਿਹਾ ਹੈ।

## ਉਹ ਇੱਕਠਾ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ

ਮਾਨਸਿਕ ਮਾਡਲ **soak -> filter -> block** ਹੈ:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetric ਹਮਲੇ CDN/scrubbing ਪਰਤ ਵਿੱਚ ਮਰ ਜਾਂਦੇ ਹਨ; ਅਰਜ਼ ਪਰਤ ਦੇ ਹਮਲੇ ਜੋ ਅਸਲ ਟਰੈਫਿਕ ਵਾਂਗ ਦਿਸਦੇ ਹਨ WAF ਅਤੇ rate limiter ਦੁਆਰਾ ਫਿਲਟਰ ਹੁੰਦੇ ਹਨ।

## ਇਹ ਕਿਉਂ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ

ਇੱਕ ਪਰਤ 'ਤੇ ਨਿਰਭਰ ਕਰਨਾ ਪੂਰਵ ਅਨੁਮਾਨਿਤ ਨਾਕਾਮ ਹੋਵੇ ਸਕਦਾ ਹੈ: ਇੱਕ WAF 1 Tbps ਪਲੱਡ ਨੂੰ ਰੋਕ ਨਹੀਂ ਸਕਦਾ (ਪਾਈਪ ਪਹਿਲਾਂ ਸੰਤ੍ਰਿਪਤ ਹੋ ਜਾਂਦੀ ਹੈ), ਅਤੇ ਇਕੱਲਾ CDN ਖੁਸ਼ੀ ਨਾਲ ਇੱਕ ਚਲਾਕ HTTP ਹੜ ਨੂੰ ਤੁਹਾਡੇ ਮੂਲ ਲਈ ਪਾਸ ਕਰੇਗਾ। ਪਰਤਾਂ ਦਾ ਮਤਲਬ ਹੈ ਹਰੇਕ ਹਮਲੇ ਦੀ ਕਲਾਸ ਇੱਕ ਨਿਯੰਤਰਣ ਨਾਲ ਮਿਲਦੀ ਹੈ ਜੋ ਇਸਦੇ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਮੂਲ ਸਿਰਫ ਟਰੈਫਿਕ ਦੇਖਦਾ ਹੈ ਜੋ ਬਾਹਰੀ ਪਰਤਾਂ ਆਪਣੇ ਆਪ ਸਭਾਲ ਨਹੀਂ ਸਕੀਆਂ।