Miunduko ya ulinzi wa DDoS ni yapi, na kila moja inatumia nini?

Question

Accepted Answer

Ulinzi wa DDoS ni **ulinzi wa kina**: hakuna huduma moja inayosimamisha kila shambuzi, kwa hivyo unaunganisha miunduko inayofyonza, kuchuja, au kuzuia daraja tofauti la trafiki. Mpangilio na mambo - kusukuma kazi nyingi kadri inavyowezekana hadi kwenye ukingo, mbali na asili yako.

## Miunduko, kutoka ukingo kwenda ndani

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — safu ya nje zaidi. Na **anycast**, kiwango sawa kinajifungua kutokaa pointi nyingi za kuwepo, kwa hivyo mgogoro wa kiasi **kusambazwa kwa uwezo wa ulimwengu** badala ya kituo kimoja cha data. Scrubbing centers zinafyonza mgogoro na kuzamisha trafiki safi tu.
- **WAF (Web Application Firewall)** — inachunguza maombi ya HTTP na kuzuia muundo mbaya: saini mbaya, wakalimani wa watumiaji wasiojulikana, IP mbaya inayojulikana, na **Layer 7** mibu inayojiganya kuwa maombi halisi.
- **Rate limiting** — hupunguza maombi kwa IP, ufunguo wa API, au mtumiaji kwa dirisha la wakati, inarejesha `429 Too Many Requests`. Inasimamisha wateja wasiozihitaji bila kujeruhi wanaokazijulikana.
- **Upstream / ISP blackhole (null-route)** — kesi ya mwisho kwa kiwango safi. Mtoa huduma anang'oa trafiki yote kwa IP inayokusudiwa (**remotely-triggered blackhole, RTBH**), ikitolea IP hiyo moja kulinza kila kitu kingine.
- **Autoscaling + overprovisioning** — uwezo wa asili wa ziada kukamatia kile kinachong'oka, kukauza wakati wakati tabaka lingine linashirikiana.

## Jinsi unavyofanya kazi pamoja

Mfano wa akili ni **fyonza -> kuchuja -> kuzuia**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Mibu ya kiasi inakufa katika safu ya CDN/scrubbing; mibu ya matakala ya programu inayonzaa kuwa trafiki halisi inakufa na kuchujwa na WAF na rate limiter.

## Kwa nini na maana

Kutegemea safu moja kushindwa kwa njia inayoweza kubashiriwa: WAF haiwezi kusimamisha mgogoro wa Tbps 1 (bomba linajazwa kwanza), na CDN peke yake itakuwa hiyoyo kupita mgogoro wa HTTP ukerevu hadi asili yako. Kuunganisha maana kila daraja la shambuzi hukutana na huduma iliyorundwa kwa ajili yake, na asili inakabula trafiki tu ambayo tabaka la nje haliweza kushughulikia kwa mwenyewe.