Необходими бисквитки
Изисквания за внедряване
DDoS защита за интернет доставчици и оператори
Защитата на мрежа за достъп означава запазване на общите пътища за много абонати при предвидими отговорности за маршрутизацията и поведението на връзките. Започнете от управляваните префикси и ресурса, който се изчерпва пръв.
Три важни граници в мрежата за достъп
- Споделени връзки и разпределени цели
- Атака срещу няколко абонатни адреса може да натовари обща връзка, без една цел да доминира в графиката. Наблюдавайте префиксите и външните доставчици наред с отделните адреси; спокойна крайна точка не доказва свободен общ капацитет.
- Състояние на връзките и споделени източници
- CGNAT и граничните устройства със състояние могат да изпитват натиск върху връзките независимо от пропускателната способност. Много легитимни потребители могат да споделят един публичен източник. Ограничение по източник изисква оценка на натоварването, а не нисък праг за всички.
- Повече от един отговорник за маршрутите
- Собствени префикси, клиентски обявявания и адреси от доставчик могат да имат различни разрешения и правила за разпространение. Уточнете защитения обхват, приетите обявявания и очакванията за маршрут по подразбиране преди добавяне на защитен път.
Съчетайте външната доставка с вашите средства за контрол
Защитеният Transit IP може да осигури мрежовия слой; съвместимо локално филтриране може да има отделна роля след него. Хибридният проект също изисква ясна отговорност за пренасочване, филтриране и възстановяване.
Наблюдавайте изложените пътища
Събирайте подходяща телеметрия от маршрутизатори и броячи на интерфейси с известни интервал и посока.
Доставяйте защитен трафик
Проверете договорения тунел или физическо предаване, избора на маршрути, MTU и оставащия капацитет за доставка.
Запазете абонатната услуга
Проверете обратния трафик и нормалните приложения с избраните локални TCP режими и режими със състояние.
Примерна последователност. Офертата и приемателният протокол определят предоставената услуга.
Решения преди поръчката
- Кой има право да обявява защитените префикси?
- Документирайте ASN, разрешенията за префикси, маршрутните филтри и допустимото разпространение. Активна BGP сесия не доказва, че желаните маршрути са приети.
- Може ли обратният трафик да заобикаля локалния филтър?
- Зависи от избрания режим. Проверете действителните изисквания за маршрутизация преди включване на функции със състояние; няколко BGP съседи не доказват поддръжка на асиметрия.
- Какво може да задейства пренасочване?
- Разграничавайте наблюдение, разрешение и изпълнение. Peeryx Flow Collector работи извън пътя на трафика и използва публикувания обхват за разрешено пренасочване на IPv4 /24; не осигурява мрежов капацитет или inline филтриране.
Докажете, че услугата за достъп издържа договорената промяна
- Запишете нормалния трафик в натоварен час, успешните абонатни връзки и съответните броячи преди включване на защитата.
- Проверете приетите маршрути, двете посоки и малки и големи трансфери по всеки доставен път.
- Координирайте избрания тест за отказ на път или устройство, измерете възстановяването на полезната услуга и определете отговорник за връщане назад.
Въпроси за това внедряване
Споделеният мрежов капацитет резервиран ли е за моя доставчик?
Не. Commit, порт за доставка, споделен външен капацитет и измерен локален филтриращ капацитет са различни величини. Приложимата оферта определя вашата услуга.
Може ли локален филтър да замени външната защита при наситена връзка за достъп?
Той не може да възстанови пакети, изгубени преди да го достигнат. Поставете защитата, която трябва да разтовари тесния участък, преди този участък.
Технически източник : RFC 7454: експлоатация и сигурност на BGP