Các lớp phòng thủ DDoS là gì, và mỗi lớp xử lý cái gì?

Question

Accepted Answer

Phòng thủ DDoS là **defense in depth**: không một biện pháp đơn lẻ nào chặn được mọi cuộc tấn công, nên bạn xếp chồng các lớp mà mỗi lớp hấp thụ, lọc, hoặc chặn một loại traffic khác nhau. Thứ tự quan trọng — đẩy càng nhiều việc ra biên (edge) càng tốt, ra xa origin của bạn.

## Các lớp, từ biên vào trong

- **CDN / scrubbing center** (Cloudflare, Akamai, AWS Shield) — lớp ngoài cùng. Với **anycast**, cùng một IP được quảng bá từ nhiều điểm hiện diện (PoP), nên một đợt flood thể tích được **trải khắp năng lực toàn cầu** thay vì một data center. Các scrubbing center hấp thụ flood và chỉ chuyển tiếp traffic sạch.
- **WAF (Web Application Firewall)** — kiểm tra các HTTP request và chặn mẫu độc hại: chữ ký xấu, user agent đáng ngờ, IP xấu đã biết, và các đợt flood **Layer 7** giả dạng request thật.
- **Rate limiting** — giới hạn số request theo IP, API key, hay user trong một cửa sổ thời gian, trả về `429 Too Many Requests`. Chặn client lạm dụng mà không hại client bình thường.
- **Upstream / ISP blackhole (null-route)** — biện pháp cuối cùng cho thể tích thô. Nhà cung cấp drop toàn bộ traffic tới IP bị nhắm (**remotely-triggered blackhole, RTBH**), hy sinh một IP đó để bảo vệ mọi thứ còn lại.
- **Autoscaling + overprovisioning** — năng lực origin dư ra để **hấp thụ** phần lọt qua, mua thời gian trong khi các lớp khác vào cuộc.

## Cách chúng phối hợp

Mô hình tư duy là **hấp thụ -> lọc -> chặn**:

```text
Flood từ Internet
  -> CDN + anycast      : HẤP THỤ thể tích khắp các PoP toàn cầu
  -> scrubbing          : drop rác hiển nhiên (flood L3/L4)
  -> WAF                : LỌC HTTP độc hại (L7)
  -> rate limiting       : bóp client lạm dụng (429)
  -> origin (autoscaled) : phục vụ phần sạch còn lại
  -> ISP null-route      : biện pháp cuối nếu IP origin bị áp đảo
```

Các tấn công thể tích chết ở lớp CDN/scrubbing; các tấn công tầng ứng dụng trông như traffic thật bị lọc bởi WAF và rate limiter.

## Tại sao điều này quan trọng

Dựa vào một lớp duy nhất sẽ thất bại theo cách đoán trước được: một WAF không chặn nổi một đợt flood 1 Tbps (đường ống bão hòa trước), và chỉ riêng một CDN sẽ vui vẻ chuyển một HTTP flood khéo léo thẳng tới origin của bạn. Phân lớp nghĩa là mỗi loại tấn công gặp một biện pháp được thiết kế cho nó, và origin chỉ bao giờ thấy traffic mà các lớp ngoài không tự xử lý được.