DDoS सुरक्षा असल में कैसे काम करती है

DMCA & resilience · 8 मिनट रीड

संक्षिप्त उत्तर: DDoS सुरक्षा इंटरनेट और आपके सर्वर के बीच बैठकर काम करती है, दुर्भावनापूर्ण ट्रैफिक को सोखकर और फ़िल्टर करके ताकि केवल वैध अनुरोध आपके एप्लिकेशन तक पहुँचें। व्यवहार में इसका मतलब है एक वॉल्यूमेट्रिक बाढ़ को सोखने के लिए पर्याप्त अपस्ट्रीम नेटवर्क क्षमता, ऑटोमेटेड डिटेक्शन जो सेकंडों के भीतर हमले के ट्रैफिक को असली यूज़र से अलग बताता है, और स्क्रबिंग जो खराब ट्रैफिक को ड्रॉप या रेट-लिमिट करती है जबकि आपकी सेवा पहुँच योग्य बनी रहती है।

DDoS हमला असल में क्या करता है

एक डिस्ट्रिब्यूटेड डिनायल-ऑफ-सर्विस हमला किसी सेवा पर निर्भर किसी संसाधन को भारी बोझ से दबाकर उसे अनुपलब्ध बनाने की कोशिश करता है, न कि उसमें सेंध लगाकर। वह संसाधन कच्चा नेटवर्क बैंडविड्थ (एक वॉल्यूमेट्रिक हमला, Gbps में मापा गया), राउटरों और फ़ायरवॉल की कनेक्शन-हैंडलिंग क्षमता (एक प्रोटोकॉल हमला, प्रति सेकंड पैकेट में मापा गया), या खुद एप्लिकेशन परत (एक HTTP फ्लड जो असली ट्रैफिक जैसा दिखता है लेकिन इतनी मात्रा में आता है जिसे ऐप प्रोसेस नहीं कर सकता) हो सकता है। हर श्रेणी को अलग सुरक्षा चाहिए, यही वजह है कि 'DDoS सुरक्षा' असल में कई अलग-अलग तकनीकों का बंडल है, न कि कोई एक स्विच जिसे आप ऑन कर दें।

'डिस्ट्रिब्यूटेड' हिस्सा मायने रखता है: हमले का ट्रैफिक आमतौर पर एक साथ हज़ारों अलग-अलग सोर्स IP से शुरू होता है, अक्सर कॉम्प्रोमाइज़्ड डिवाइस के किसी बॉटनेट से, यही वजह है कि सिर्फ एक IP पते को ब्लॉक करने से शायद ही कभी मदद मिलती है। एक अच्छी तरह चलाई गई anti-ddos hosting सेटअप को यह मान कर चलना पड़ता है कि हमले का ट्रैफिक हर जगह से आता दिखेगा, और उसके हिसाब से डिज़ाइन करना पड़ता है, न कि किसी मैन्युअल रूप से बनाए रखी गई ब्लॉकलिस्ट पर भरोसा करना।

तीन परतें जिन पर DDoS सुरक्षा असल में काम करती है

वॉल्यूमेट्रिक हमले खुद नेटवर्क लिंक को संतृप्त करने का लक्ष्य रखते हैं, आम वेक्टर में UDP फ्लड, DNS एम्प्लिफिकेशन, और NTP एम्प्लिफिकेशन शामिल हैं, जहाँ एक हमलावर आपके IP को स्पूफ करता है और थर्ड-पार्टी सर्वरों को आपको एक छोटे अनुरोध के जवाबों से बाढ़ में डुबाने के लिए बहका देता है। इस परत के खिलाफ बचाव ज़्यादातर क्षमता और अपस्ट्रीम फ़िल्टरिंग के बारे में है: अगर आपके प्रोवाइडर का नेटवर्क आपके असली लिंक की ज़रूरत से कहीं ज़्यादा इनबाउंड ट्रैफिक सोख सकता है, और वह फ़िल्टरिंग ट्रैफिक के आपके सर्वर के लोकल कनेक्शन तक पहुँचने से पहले होती है, तो एक वॉल्यूमेट्रिक बाढ़ अपस्ट्रीम में साफ हो जाती है बजाय आपके VPS को दबाने के।

प्रोटोकॉल हमले कच्चे बैंडविड्थ के बजाय राउटरों, लोड बैलेंसर्स, और फ़ायरवॉल की कनेक्शन-स्टेट मशीनरी को लक्षित करते हैं, एक क्लासिक उदाहरण है SYN फ्लड जो कनेक्शन टेबल को खत्म करने के लिए बड़ी संख्या में आधे-अधूरे TCP हैंडशेक खोलता है। यहाँ मिटिगेशन SYN कुकीज़, कनेक्शन रेट लिमिटिंग, और नेटवर्क एज पर स्टेटलेस पैकेट वेलिडेशन जैसी तकनीकों पर निर्भर करता है, जो उद्देश्य-निर्मित हार्डवेयर या सॉफ्टवेयर द्वारा फ्लड के आपके एप्लिकेशन चलाने वाले ऑपरेटिंग सिस्टम तक पहुँचने से पहले किया जाता है।

एप्लिकेशन-परत के हमले पकड़ने में सबसे मुश्किल हैं क्योंकि व्यक्तिगत अनुरोध अक्सर तकनीकी रूप से वैध होते हैं, एक सर्च एंडपॉइंट या लॉगिन पेज को असली-दिखने वाले अनुरोधों से हथौड़ा मारने वाला HTTP फ्लड बिना कभी असामान्य बैंडविड्थ के रूप में दिखे किसी सेवा को गिरा सकता है। इस परत को व्यवहारिक विश्लेषण की ज़रूरत होती है: प्रति सोर्स रेट लिमिटिंग, चैलेंज-रिस्पॉन्स मैकेनिज़्म, और पैटर्न डिटेक्शन जो वैध रुचि की एक बाढ़ को एक समन्वित फ्लड से अलग बता सके, क्योंकि केवल ट्रैफिक वॉल्यूम पर ब्लॉक करना या तो हमले को चूक जाता है या असली यूज़र को ब्लॉक कर देता है।

वॉल्यूमेट्रिक (नेटवर्क/ट्रांसपोर्ट परत): UDP फ्लड, DNS/NTP एम्प्लिफिकेशन, Gbps में मापा गया
प्रोटोकॉल/स्टेट-एक्सहॉशन: SYN फ्लड, मैलफॉर्म्ड पैकेट फ्लड, प्रति सेकंड पैकेट में मापा गया
एप्लिकेशन परत: HTTP फ्लड, स्लो-रिक्वेस्ट हमले, प्रति सेकंड अनुरोधों में मापा गया और असली ट्रैफिक से अलग बताना कहीं ज़्यादा कठिन

मिटिगेशन असल में रीयल टाइम में कैसे होता है

असरदार anti-ddos hosting इनबाउंड ट्रैफिक को ओरिजिन सर्वर तक पहुँचने से पहले स्क्रबिंग इन्फ्रास्ट्रक्चर के ज़रिए रूट करती है, ताकि मिटिगेशन उस बॉक्स पर नहीं बल्कि अपस्ट्रीम में हो जिस पर हमला हो रहा है। जब किसी IP पर आने वाला ट्रैफिक किसी डिटेक्शन थ्रेशोल्ड को पार करता है, चाहे एक फिक्स्ड बेसलाइन हो या मौजूदा ट्रैफिक की सामान्य पैटर्न से तुलना करने वाला कोई असामान्यता डिटेक्शन मॉडल, सिस्टम उस ट्रैफिक को फ़िल्टरिंग नोड्स के ज़रिए दोबारा रूट करता है जो दुर्भावनापूर्ण पैकेट ड्रॉप करते हैं और साफ ट्रैफिक आगे भेज देते हैं, आमतौर पर एक अच्छी तरह ट्यून की गई सेटअप के लिए सेकंडों के भीतर, हालाँकि सटीक डिटेक्शन विंडो हमले के प्रकार और थ्रेशोल्ड कितने रूढ़िवादी सेट किए गए हैं इस पर निर्भर करती है।

Anycast रूटिंग इसका एक सामान्य आर्किटेक्चरल हिस्सा है: वही IP पता कई नेटवर्क स्थानों से प्रसारित होता है, इसलिए आने वाला ट्रैफिक (हमले के ट्रैफिक सहित) स्वाभाविक रूप से एक लिंक पर केंद्रित होने के बजाय कई प्रेजेंस पॉइंट में फैल जाता है, जो प्रभावी सोखने की क्षमता को अकेले किसी एक डेटा सेंटर की संभाल सकने की क्षमता से काफी ज़्यादा बढ़ा देता है।

इनमें से कुछ भी अच्छे एप्लिकेशन डिज़ाइन की ज़रूरत को खत्म नहीं करता। ऐप स्तर पर रेट लिमिटिंग, प्रति अनुरोध लोड कम करने के लिए कैशिंग, और अनावश्यक सेवाओं को पब्लिक-फेसिंग पोर्ट से दूर रखना, ये सब कम करते हैं कि एक एप्लिकेशन-परत बाढ़ आपको असल में कितना नुकसान पहुँचा सकती है, भले ही मज़बूत अपस्ट्रीम सुरक्षा मौजूद हो।

किसी प्रोवाइडर के एंटी-DDoS दावों का मूल्यांकन करते समय असल में क्या देखें

'10 Gbps तक' या '100 Gbps मिटिगेशन' जैसी हेडलाइन संख्याएँ अपस्ट्रीम नेटवर्क क्षमता का वर्णन करती हैं, हर संभावित हमले की गारंटी नहीं; एक परिष्कृत, अच्छी तरह वितरित एप्लिकेशन-परत हमला अभी भी उस सीमा से काफी नीचे समस्याएँ पैदा कर सकता है अगर फ़िल्टरिंग लॉजिक खुद कमज़ोर हो। पूछें कि असल में कौन सी परतें कवर होती हैं (केवल वॉल्यूमेट्रिक, या प्रोटोकॉल और एप्लिकेशन भी), क्या मिटिगेशन हमेशा-ऑन है या केवल किसी हमले के पहले से सेवा को खराब कर देने के बाद प्रतिक्रियात्मक रूप से चालू होता है, और क्या कोई सार्थक SLA है या केवल एक मार्केटिंग दावा है।

विशेष रूप से किसी VPS के लिए, व्यावहारिक सवाल एंटरप्राइज़ इन्फ्रास्ट्रक्चर की तुलना में संकरे हैं: क्या प्रोवाइडर का नेटवर्क आपकी वर्चुअल मशीन के इंटरफेस तक पहुँचने से पहले ट्रैफिक फ़िल्टर करता है, क्या मिटिगेशन बेस प्राइस में शामिल है या पेड ऐड-ऑन है, और क्या सुरक्षित बैंडविड्थ पर कोई सख्त सीमा है जिसके बाद प्रोवाइडर फ़िल्टर करना जारी रखने के बजाय आपके IP को null-route (ब्लैकहोल) कर देता है। वह आखिरी बात लोगों की अपेक्षा से ज़्यादा मायने रखती है, कुछ बजट होस्ट ऐसी DDoS सुरक्षा का विज्ञापन करते हैं जो असल में हमले के दौरान आपके सर्वर को null-route करने के लिए बस एक तेज़ ट्रिगर है, जो नेटवर्क पर दूसरे ग्राहकों को हमले के प्रभाव से बचाता है लेकिन आपकी सेवा को पूरी तरह ऑफलाइन भी कर देता है।

कौन सी परतें कवर हैं: केवल वॉल्यूमेट्रिक बनाम वॉल्यूमेट्रिक + प्रोटोकॉल + एप्लिकेशन
हमेशा-ऑन फ़िल्टरिंग बनाम गिरावट पहले से दिखने के बाद ट्रिगर होने वाला प्रतिक्रियात्मक मिटिगेशन
क्या बताई गई Gbps संख्या अपस्ट्रीम नेटवर्क क्षमता है या प्रति-VPS गारंटी है
मिटिगेशन सीमा से ऊपर क्या होता है: फ़िल्टरिंग जारी रहती है या IP null-route हो जाता है

व्यापक लचीलापन योजना में DDoS सुरक्षा कहाँ फिट होती है

DDoS मिटिगेशन लचीलापन रणनीति की एक परत है, पूरी बात नहीं। एन्क्रिप्टेड NVMe स्टोरेज पर समर्पित KVM कोर और वर्तमान स्नैपशॉट के साथ चलने वाला VPS किसी भी व्यवधान से, DDoS-संबंधित हो या न हो, उस VPS की तुलना में तेज़ी से रिकवर करता है जिसके पास ये बुनियादी बातें नहीं हैं, और IPv4 तथा IPv6 सपोर्ट आपको ज़्यादा रूटिंग लचीलापन देता है अगर आपको कभी ट्रैफिक फिर से असाइन करने की ज़रूरत पड़े। इनमें से कोई भी नेटवर्क-स्तरीय फ़िल्टरिंग की जगह नहीं लेता, लेकिन एक लचीली सेटअप DDoS सुरक्षा को मज़बूत इन्फ्रास्ट्रक्चर बुनियादी बातों के साथ एक टुकड़े के रूप में मानती है, उनके विकल्प के रूप में नहीं।

VPS GOAT अपने पूरे KVM VPS लाइनअप में बेस इन्फ्रास्ट्रक्चर के हिस्से के रूप में 10 Gbps तक की एंटी-DDoS सुरक्षा शामिल करता है, एन्क्रिप्टेड NVMe पर समर्पित कोर, स्नैपशॉट, और पूर्ण API एक्सेस के साथ, अपने लाइव क्षेत्राधिकारों में लगभग 55 सेकंड में डिप्लॉय किया जाता है। किसी प्रोजेक्ट को जिस विशिष्ट मिटिगेशन क्षमता की ज़रूरत है वह काफी हद तक उसके थ्रेट प्रोफाइल पर निर्भर करती है, एक छोटे व्यक्तिगत प्रोजेक्ट और पहले लक्षित हो चुकी किसी पब्लिक-फेसिंग सेवा की ज़रूरतें बहुत अलग होती हैं, और इसे ईमानदारी से मापना ज़रूरी है बजाय यह मान लेने के कि कोई एक फ्लैट संख्या हर स्थिति के लिए पर्याप्त है।

DDoS हमले के प्रकार और मिटिगेशन हर एक को कैसे संबोधित करता है
हमले की परत	उदाहरण वेक्टर	असल में इसे क्या रोकता है	आमतौर पर मापी जाने वाली इकाई
वॉल्यूमेट्रिक	UDP फ्लड, DNS एम्प्लिफिकेशन, NTP एम्प्लिफिकेशन	ओरिजिन तक ट्रैफिक पहुँचने से पहले अपस्ट्रीम नेटवर्क क्षमता और स्क्रबिंग	Gbps
प्रोटोकॉल / स्टेट एक्सहॉशन	SYN फ्लड, मैलफॉर्म्ड पैकेट फ्लड	SYN कुकीज़, कनेक्शन रेट लिमिटिंग, स्टेटलेस एज वेलिडेशन	प्रति सेकंड पैकेट
एप्लिकेशन परत	HTTP फ्लड, स्लो-रिक्वेस्ट (Slowloris-शैली) हमले	व्यवहारिक डिटेक्शन, प्रति-सोर्स रेट लिमिटिंग, चैलेंज-रिस्पॉन्स	प्रति सेकंड अनुरोध
रूटिंग-स्तरीय अवशोषण	किसी भी परत पर, बड़े पैमाने पर	कई प्रेजेंस पॉइंट में Anycast वितरण	कुल नेटवर्क क्षमता

सामान्य प्रश्न

बिना असली विज़िटर को ब्लॉक किए DDoS सुरक्षा कैसे काम करती है?+

यह पूर्ण ब्लॉकिंग के बजाय व्यवहारिक विश्लेषण पर निर्भर करती है: मौजूदा ट्रैफिक की सामान्य बेसलाइन से तुलना करना, अलग-अलग सोर्स को रेट-लिमिट करना, और चैलेंज-रिस्पॉन्स चेक का उपयोग करना ताकि फ़िल्टरिंग पूरी IP रेंज के बजाय असामान्य पैटर्न को लक्षित करे। कोई सिस्टम परफेक्ट नहीं है, लेकिन एक अच्छी तरह ट्यून किया गया मिटिगेशन केवल वॉल्यूम नहीं बल्कि ट्रैफिक व्यवहार देखकर फॉल्स पॉज़िटिव कम रखता है।

किसी VPS के लिए '10 Gbps तक एंटी-DDoS' का असल में क्या मतलब है?+

यह उस अपस्ट्रीम नेटवर्क क्षमता का वर्णन करता है जो हमले के ट्रैफिक को आपके वर्चुअल सर्वर तक पहुँचने से पहले सोखने और फ़िल्टर करने के लिए उपलब्ध है, प्रति-ग्राहक बैंडविड्थ आवंटन नहीं। वॉल्यूमेट्रिक बाढ़ के प्रति प्रतिरोध को मापने के लिए यह एक उपयोगी संख्या है, लेकिन एप्लिकेशन-परत हमलों को अलग से कम किया जाता है और वे उस एक संख्या में पूरी तरह शामिल नहीं होते।

क्या किसी VPS को बिना किसी विशेष कॉन्फ़िगरेशन के DDoS हमलों से सुरक्षित किया जा सकता है?+

नेटवर्क-स्तरीय मिटिगेशन, प्रोवाइडर के एज पर फ़िल्टरिंग, आपकी तरफ से बिना किसी कॉन्फ़िगरेशन के काम करती है, लेकिन एप्लिकेशन-परत लचीलापन बुनियादी हार्डनिंग से फायदा उठाता है: आपके ऐप या वेब सर्वर में रेट लिमिटिंग, कैशिंग, और अनुपयोगी पोर्ट बंद करना। एप्लिकेशन-परत की बुनियादी बातों को नज़रअंदाज़ करते हुए केवल अपस्ट्रीम सुरक्षा पर भरोसा करना एक असली गैप छोड़ देता है।

DDoS मिटिगेशन और किसी हमला किए गए IP को सिर्फ null-route करने में क्या अंतर है?+

मिटिगेशन दुर्भावनापूर्ण ट्रैफिक को फ़िल्टर करता है जबकि वैध अनुरोधों को गुज़रने देना जारी रखता है, सेवा को ऑनलाइन रखते हुए। Null-routing (ब्लैकहोलिंग) लक्षित IP पर सभी ट्रैफिक को सीधे ड्रॉप कर देता है, जो बाकी नेटवर्क की सुरक्षा करता है लेकिन हमला की गई सेवा को पूरी तरह ऑफलाइन कर देता है, इसलिए यह सुरक्षा का बहुत कमज़ोर रूप है, भले ही इसे कभी-कभी DDoS डिफेंस के रूप में मार्केट किया जाए।

क्या मुझे एक छोटे व्यक्तिगत VPS के लिए एंटी-DDoS सुरक्षा चाहिए?+

यह आकार से ज़्यादा एक्सपोज़र पर निर्भर करता है: एक कम-ट्रैफिक व्यक्तिगत प्रोजेक्ट कम संभावित लक्ष्य है, लेकिन किसी भी पब्लिक-फेसिंग IP पर मौका-परस्त या ऑटोमेटेड हमले हो सकते हैं, और थोड़ी सी भी आउटेज से रिकवर करना व्यवधान पैदा करता है। महँगे ऐड-ऑन के रूप में खरीदने के बजाय होस्टिंग के साथ शामिल बेसलाइन नेटवर्क-स्तरीय सुरक्षा अधिकांश VPS उपयोग-मामलों के लिए एक उचित डिफ़ॉल्ट है।

ऑफशोर जाने के लिए तैयार हैं?

कोई KYC नहीं, कोई ईमेल नहीं — बस एक अनाम की और क्रिप्टो। ~55 सेकंड में डिप्लॉय करें।

अपना VPS कॉन्फ़िगर करें →