Kaj so plasti DDoS obrambe in kaj vsaka od njih obravnava?

Question

Accepted Answer

DDoS obrana je **obramba v globino**: noben sam kontrolnik ne ustavi vsakega napada, zato zgradiš plasti, ki vsaka absorbira, filtrira ali blokira drugačen razred prometa. Vrstni red je pomemben — čim več dela potisni na rob, stran od tvojega izhodišča.

## Plasti, od roba navznoter

- **CDN / čistilni centri** (Cloudflare, Akamai, AWS Shield) — najbolj zunanja plast. Z **anycasting** je enak IP objavljen iz številnih točk prisotnosti, zato je volumetrični tok **razširjen po globalni zmogljivosti** namesto enega podatkovnega centra. Čistilni centri absorbirajo tok in naprej pošljejo le čist promet.
- **WAF (Web Application Firewall)** — pregleda HTTP zahtevke in blokira zlonamernih vzorce: slabe podpise, sumljive uporabniške agente, znane slabe IP-je in **plast 7** tokov, ki posnemajo prave zahtevke.
- **Omejitev hitrosti** — omejuje zahtevke na IP, ključ API ali uporabnika v časovnem oknu, vrača `429 Too Many Requests`. Ustavi zlorabljajoče odjemalce brez škode normalnim.
- **Upstream / ISP blackhole (null-route)** — zadnja možnost za suro količino. Ponudnik spusti ves promet na ciljni IP (**daljinsko sprožena črna lista, RTBH**), žrtvuje ta en IP za zaščito vsega ostalega.
- **Avtomatsko skaliranje + prekomerna opremljenja** — dodatna kapaciteta izhodišča za **absorpcijo** tistega, kar skozi ujame, pridobiva čas medtem ko se druge plasti vključijo.

## Kako delujejo skupaj

Mentalni model je **absorbiraj -> filtriraj -> blokiraj**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetrični napadi umrejo v plasti CDN/čistilnega centra; napadi na plast aplikacije, ki izgledajo kot pravi promet, filtrirajo WAF in omejilnik hitrosti.

## Zakaj je to pomembno

Zanašanje na eno plast neizogibno odpove: WAF ne more ustaviti 1 Tbps toka (cev se najprej zasiti), in sam CDN bo z veseljem spustil pametni HTTP tok skozi do tvojega izhodišča. Plastenje pomeni, da vsak razred napada sreča kontrolnik, namenjen zanj, in izhodišče vidi samo promet, ki ga zunanje plasti niso mogle obravnavati same.