DDoS تحفظ کی تہیں اور ہر ایک کیا سنبھالتا ہے؟

Question

Accepted Answer

DDoS تحفظ **گہرائی میں تحفظ** ہے: کوئی بھی ایک کنٹرول ہر حملے کو روک نہیں سکتا، اس لیے آپ ایسی تہیں بناتے ہیں جو ہر ایک ٹریفک کی مختلف قسم کو جذب، فلٹر یا روکتا ہے۔ ترتیب اہم ہے — جتنا ممکن ہو سکے کام کو کنارے کی طرف دھکیلیں، اپنی اصل سے دور۔

## تہیں، بیرونی سے اندرونی

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — بیرونی ترین تہ۔ **anycast** کے ساتھ، وہی IP بہت سی موجودگی سے اعلان کیا جاتا ہے، اس لیے volumetric سیلاب **عالمی صلاحیت میں پھیل جاتا ہے** ایک ڈیٹا سنٹر کی بجائے۔ Scrubbing centers سیلاب کو جذب کرتے ہیں اور صرف صاف ٹریفک آگے بھیجتے ہیں۔
- **WAF (Web Application Firewall)** — HTTP درخواستوں کا معائنہ کرتا ہے اور خطرناک نمونے روکتا ہے: خراب دستخطیں، مشکوک صارف ایجنٹس، معلوم خراب IPs، اور **Layer 7** سیلاب جو حقیقی درخواستوں کی نقل کرتے ہیں۔
- **Rate limiting** — ایک وقت کی کھڑکی میں IP، API کلید، یا صارف کے لحاظ سے درخواستوں کو ٹوپی کرتا ہے، `429 Too Many Requests` واپس کرتا ہے۔ بدسلوک گاہکوں کو روکتا ہے بغیر عام لوگوں کو نقصان پہنچائے۔
- **Upstream / ISP blackhole (null-route)** — خام حجم کے لیے آخری حربہ۔ فراہم کنندہ ہدف شدہ IP کی تمام ٹریفک چھوڑ دیتا ہے (**remotely-triggered blackhole، RTBH**)، اس ایک IP کو قربان کرتے ہوئے باقی سب کو محفوظ رکھنے کے لیے۔
- **Autoscaling + overprovisioning** — اضافی اصل صلاحیت جو **جذب** کرے جو پھسل جائے، دوسری تہوں کے کام میں آنے تک وقت خریدتے ہوئے۔

## وہ کیسے مل کر کام کرتے ہیں

ذہنی ماڈل ہے **جذب -> فلٹر -> روک**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetric حملے CDN/scrubbing تہ پر مر جاتے ہیں؛ application-layer حملے جو حقیقی ٹریفک کی طرح لگتے ہیں، WAF اور rate limiter سے فلٹر ہوتے ہیں۔

## اہمیت

ایک تہ پر انحصار قابل توقع ناکام ہوتا ہے: ایک WAF 1 Tbps سیلاب نہیں روک سکتا (پائپ پہلے سنترپت ہوتا ہے)، اور ایک CDN اکیلا خوشی سے ایک چالاک HTTP سیلاب کو آپ کے اصل کے ذریعے گزار دے گا۔ تہوں بنانے کا مطلب ہے ہر حملے کی قسم ایک کنٹرول سے ملتی ہے جو اس کے لیے ڈیزائن کیا گیا ہے، اور اصل صرف کبھی بھی ٹریفک دیکھتا ہے جو بیرونی تہیں اپنے آپ سے نہیں سنبھال سکتیں۔