Vilka är lagren av DDoS-försvar, och vad hanterar varje lager?

Question

Accepted Answer

DDoS-försvar är **försvarsdjup**: ingen enskild kontroll stoppar alla attacker, så du staplar lager som var och en absorberar, filtrerar eller blockerar en annan trafiktyp. Ordningen spelar roll — pusha så mycket arbete som möjligt till kanten, bort från din origin.

## Lagren, från kanten inåt

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — det yttersta lagret. Med **anycast**, tillkännages samma IP från många närvaro-punkter, så en volymöversvämning är **spridd över global kapacitet** istället för ett data center. Scrubbing centers absorberar översvämningen och vidarebefordrar endast ren trafik.
- **WAF (Web Application Firewall)** — inspekterar HTTP-förfrågningar och blockerar ondska mönster: dåliga signaturer, misstänkta användar-agenter, kända dåliga IP-adresser, och **Layer 7**-översvämningar som efterliknar verkliga förfrågningar.
- **Rate limiting** — begränsar förfrågningar per IP, API-nyckel eller användare över ett tidsintervall, returnerar `429 Too Many Requests`. Stoppar missbrukande klienter utan att skada normala.
- **Upstream / ISP blackhole (null-route)** — sista möjligheten för rå volym. Leverantören tappar all trafik till den riktade IP-adressen (**remotely-triggered blackhole, RTBH**), offrar den ena IP-adressen för att skydda allt annat.
- **Autoscaling + överetablering** — extra origin-kapacitet för att **absorbera** det som slår igenom, och köper tid medan andra lager aktiveras.

## Hur de fungerar tillsammans

Mentalmodellen är **absorbera -> filtrera -> blockera**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volymattacker dör på CDN/scrubbing-lagret; applikationslagrets attacker som ser ut som verklig trafik filtreras av WAF och rate limiter.

## Varför det spelar roll

Att förlita sig på ett lager misslyckas på ett förutsägbart sätt: en WAF kan inte stoppa en 1 Tbps-översvämning (röret blir mättad först), och en CDN ensam vidarebefordrar gärna en smart HTTP-översvämning till din origin. Lagering innebär att varje attackklass möter en kontroll utformad för den, och origin ser endast trafik som de yttre lagren inte kunde hantera på egen hand.