Como as CDNs protegem os sites de failover contra ataques DDoS?

Estou no processo de design de um aplicativo Web Java que provavelmente acabarei implantando no Google App Engine (GAE). O bom do GAE é que eu realmente não preciso me preocupar em fortalecer meu aplicativo contra o terrível ataque DDoS - apenas especifique um "teto de cobrança" e, se meu tráfego atingir esse teto (DDoS ou não), o GAE apenas desligará meu aplicativo. Em outras palavras, o GAE será escalado para qualquer quantia até que você simplesmente não possa mais manter o aplicativo em execução.

Portanto, estou tentando planejar uma contingência na qual, se eu atingir esse limite de cobrança e o GAE encerrar meu aplicativo, as configurações de DNS do domínio do meu aplicativo da Web "falharão" para outro endereço IP não-GAE. Algumas pesquisas iniciais mostraram que certas CDNs, como o CloudFlare, oferecem serviços para essa situação exata. Basicamente, apenas mantenho minhas configurações de DNS com eles e eles fornecem uma API que posso acessar para automatizar um procedimento de failover. Portanto, se eu detectar que estou com 99% do meu limite de cobrança para o meu aplicativo GAE, posso acessar esta API do CloudFlare e o CloudFlare alterará dinamicamente minhas configurações de DNS para apontar para longe dos servidores GAE para outro endereço IP.

Minha contingência inicial seria o failover para uma versão "somente leitura" (somente conteúdo estático) do meu aplicativo da web hospedado em outro lugar, talvez pelo GoDaddy ou Rackspace.

Mas, de repente, me dei conta: se os ataques DDoS visam o nome de domínio, que diferença faz se eu passar do meu endereço IP do GAE para o meu (digamos) endereço IP do GoDaddy? Em essência, o failover não faria outra coisa senão permitir que os invasores DDoS derrubassem meu site de backup / GoDaddy!

Em outras palavras, os atacantes de DDoS coordenam um ataque no meu aplicativo da web, hospedado pelo GAE, at www.blah-whatever.com, que é realmente um endereço IP 100.2.3.4 . Eles fazem com que meu tráfego atinja 98% do meu limite de cobrança, e meu monitor personalizado aciona um failover do CloudFlare de 100.2.3.4 para 105.2.3.4 . Os atacantes DDoS não se importam! Eles ainda estão lançando um ataque contra www.blah-whatever.com! O ataque DDoS continua!

Então, pergunto: que proteção CDNs como o CloudFlare oferecem para que - quando você precise fazer o failover para outro DNS - não corra o risco do mesmo ataque DDoS contínuo? Se essa proteção existir, existem restrições técnicas (por exemplo, somente leitura, etc.) colocadas no site de failover? Se não, de que servem? Desde já, obrigado!

Eles não protegem contra ataques DDoS quando estão nessa configuração. Uma CDN não "protege" contra um ataque DDoS - eles apenas atenuam seus efeitos, tendo muito hardware e largura de banda para resolver o problema. Quando a CDN altera as configurações de DNS para apontar diretamente para o servidor, a CDN não está mais lidando com solicitações do seu site - os clientes nunca veem o IP da CDN, portanto, a CDN não pode mais oferecer proteção a você.

Tanto quanto "de que servem eles" - os ataques DDoS não são o ponto de usar uma CDN. O objetivo do uso de uma CDN é diminuir a latência entre quando alguém solicita uma grande parte dos dados de um de seus servidores da Web e a pessoa que os obtém, diminuindo a distância geográfica entre o servidor e o cliente. É uma otimização de desempenho que você pode fazer; mas realmente não foi projetado para fornecer segurança de DDoS.

Trabalho na Incapsula , uma empresa de segurança em nuvem que também fornece serviços de aceleração baseados em CDN (como CF).

Quero dizer que, embora (como declarado corretamente pelo @Billy ONeal), a CDN por si só não ofereça proteção DDoS, uma Rede Proxy baseada em nuvem é uma ferramenta de mitigação de DDoS MUITO eficaz.

E assim, no caso do DDoS on Cloud CDN, não é o "CDN", mas o "Cloud" que protege você, absorvendo todo o tráfego extra gerado pelo DDoS, enquanto ainda permite o acesso ao seu site a partir de diferentes POPs ao redor do mundo.

Além disso, por se tratar de uma solução proxy de front-gate, essa tecnologia pode ser usada para atenuar os ataques DDoS de rede de nível 3-4 (por exemplo, SYN Floods) que usam IPs falsificados para enviar inúmeras solicitações de SYN para seus servidores.

Nesse caso, um proxy não estabelecerá uma conexão até que uma resposta ACK seja recebida, impedindo que a inundação SYN aconteça.

Também existem outras maneiras de usar o Cloud para segurança do site (por exemplo, bloqueio de bot incorreto, WAF baseado em nuvem) e algumas delas também podem ser usadas para mitigação ou prevenção de DDoS (interromper os bots de scanner é um bom exemplo para os posteriores), mas o O principal a entender aqui é que tudo isso se baseia não na CDN, mas na tecnologia Cloud.