Cilat janë shtresat e mbrojtjes DDoS, dhe çfarë dhandle secila?

Question

Accepted Answer

Mbrojtja DDoS është **mbrojtje në thellësi**: asnjë kontroll i vetëm nuk ndalon çdo sulm, kështu që ju grumbulloni shtresa që secila absorbon, filtron ose bllokon një klasë të ndryshme trafiku. Renditja ka rëndësi — shtyjeni sa më shumë punë të jetë e mundur në skaj, larg origjinës tuaj.

## Shtresat, nga skaji drejt brendësi

- **CDN / qendra çyrjesh** (Cloudflare, Akamai, AWS Shield) — shtresa më e jashtme. Me **anycast**, i njëjti IP shpallet nga shumë pika prania, kështu që një përmbytje vëllimore është **shpërndarë në kapacitet global** në vend të një qendre të dhënash të vetme. Qendrat çyrjesh absorbon përmbytjen dhe përprojnë vetëm trafikun e pastër.
- **WAF (Web Application Firewall)** — inspiektojnë kërkesa HTTP dhe bllokojnë shenjat e liga: nënshkrime të këqija, agjentë përdoruesish të dyshimtë, IP-ra të këqija të njohur, dhe **shtresa 7** përmbytje që imitojnë kërkesa reale.
- **Rate limiting** — kufizojnë kërkesa për IP, çelës API, ose përdorues në një dritare kohore, duke kthyer `429 Too Many Requests`. Ndalon klientë abuzues pa dëmtuar ata normalë.
- **Upstream / ISP blackhole (null-route)** — zgjidhja e fundit për vëllimin e papërpunuar. Ofruesja përputhet me të gjithë trafikun në IP-në e synuar (**remotely-triggered blackhole, RTBH**), duke sakrifikuar atë një IP për të mbrojtur gjithçka tjetër.
- **Autoscaling + overprovisioning** — kapacitet shtesë origjine për të **absorbuar** atë që kalon nëpër, duke blerë kohë ndërsa shtresat e tjera marrin pjesë.

## Si funksionojnë ato së bashku

Modeli mendor është **absorbo -> filtro -> blloko**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Sulmet volumetrike vdesin në shtresën CDN/çyrjesh; sulmet në shtresën e aplikacionit që duken si trafik real filtrohen nga WAF-i dhe limitues i normës.

## Pse ka rëndësi

Mbështetja në një shtresë dështon në mënyrë të parashikueshme: një WAF nuk mund të ndalojë një përmbytje 1 Tbps (tubi i ngopur së pari), dhe një CDN vetëm do të kalojë me kënaqësi një përmbytje të zgjueshme HTTP për tek origjina juaj. Grumbullimi do të thotë se secila klasë sulmesh takon një kontroll i dizajnuar për të, dhe origjina vetëm kurrë sheh trafikun e shtresat e jashtme nuk mund të manipulojnë në vetvete.