Auf dieser Seite
Das Wichtigste
- PPS bricht zuerstFirewall oder Server können bei 100Mpps kollabieren, obwohl Bandbreite übrig scheint.
- Früh verwerfenJe näher der Drop am Netzrand passiert, desto weniger CPU, Speicher und Queues verbraucht der Angriff.
- Sauber liefernEntscheidend ist ein erreichbarer Dienst, nicht nur ein schönes Blocked-Traffic-Diagramm.
100 Mpps erfordert eine physische Mindestbandbreite
100 Mpps bedeutet 100 Millionen Pakete pro Sekunde. Bei minimalen Ethernet-Frames von 64 Byte einschließlich FCS kommen 8 Byte Präambel/Startbegrenzer und 12 Byte Frame-Abstand hinzu. Das nominale Leitungsbudget beträgt 100.000.000 × (64 + 20) × 8 = 67,2 Gbit/s.
Das ist eine physische Berechnung, kein Filterbenchmark. Größere Frames benötigen mehr Bandbreite. IP-Byte-Zähler, Frame-Zähler und summierte Ein-/Ausgangswerte verwenden unterschiedliche Messgrenzen. Dokumentieren Sie diese vor einem Vergleich.
Warum es für Umsatz und Verfügbarkeit wichtig ist
Wenn ein Dienst unter hoher PPS ausfällt, sieht der Nutzer keinen komplexen Angriff. Er sieht eine offline Anwendung, einen unspielbaren Gameserver, Timeouts oder überlasteten Support.
Hohe PPS erhöht auch False-Positive-Risiken. Unter Druck setzen Teams oft breite Blocks, die die Plattform retten, aber legitimes UDP, TCP-Sessions oder latenzkritische Flows beschädigen.
Wer geschützten IP-Transit, Anti-DDoS Dedicated Server oder Gaming-Schutz verkauft, muss zeigen, dass reale Paketraten verstanden werden, nicht nur Tbps-Marketing.
Im Abschnitt „Warum es für Umsatz und Verfügbarkeit wichtig ist“ konzentriert sich dieser Guide zu „Wie man 100Mpps+ in der DDoS-Mitigation bewältigt, ohne die Infrastruktur zu überlasten“ auf Latenz, um dieses Szenario von anderen DDoS-Angriffen zu trennen.
Mögliche Lösungen für 100Mpps+
Die erste Antwort ist Upstream-Filtering: Paketlärm reduzieren, bevor er Kundenport oder Server erreicht. Möglich sind FlowSpec, Netzwerk-ACLs, Scrubbing oder geschützter Transit.
Die zweite Ebene ist schnelles lokales Filtering: XDP, eBPF, DPDK, VPP oder spezialisierte Appliances. Der Hot Path sollte einfach, messbar und möglichst stateless bleiben.
Danach zählt Delivery. GRE, IPIP, VXLAN, Cross-Connect oder Router-VM müssen für den verbleibenden sauberen Traffic dimensioniert sein.
Im Abschnitt „Mögliche Lösungen für 100Mpps+“ konzentriert sich dieser Guide zu „Wie man 100Mpps+ in der DDoS-Mitigation bewältigt, ohne die Infrastruktur zu überlasten“ auf Protokoll, um dieses Szenario von anderen DDoS-Angriffen zu trennen.
- Upstream-Entlastung
- PPS reduzieren, bevor der Kunde den Flood erhält.
- Lokaler Fast Path
- State, teure Logs und unnötiges Parsing vermeiden.
- Sauberer Handoff
- Nutztraffic über das passende Delivery-Modell zurückführen.
Konkreter Fall: Gaming-Dienst unter 120Mpps
Bei derselben Mindestframe-Konvention belegen 120 Mpps 80,64 Gbit/s. Ein 100-Gbit/s-Ethernet-Port hat für diese Frames eine theoretische Obergrenze von etwa 148,81 Mpps. Beide Werte belegen nicht den Filter- oder Weiterleitungsdurchsatz einer bestimmten Softwarerichtlinie.
Qualifizieren Sie die vollständige Last: Empfangsqueues, CPU-/NUMA-Zuordnung, aktive Regeln, Flussanzahl, Tunnelverarbeitung, Verlust und erfolgreiche legitime Vorgänge. Ein entsprechend geprüfter Server kann die Anforderung erfüllen; Portgeschwindigkeit oder CPU-Modell allein sind kein Nachweis.
Häufige Fehler
Der erste Fehler ist Dimensionierung nur in Gbps. Der zweite ist, eine stateful Firewall die volle erste Welle sehen zu lassen. Der dritte ist die Annahme, ein starker Server ersetze eine gute Topologie.
Auch falsch ist, Mitigation-Diagramme mit echter Qualität zu verwechseln. Wenn sauberer Traffic mit Jitter oder False Positives zurückkommt, erfüllt der Schutz den Geschäftszweck nicht.
- Nur Gbps betrachten und Pakete pro Sekunde ignorieren.
- Eine stateful Firewall die erste Welle aufnehmen lassen.
- Breite Regeln einsetzen, die UDP oder legitime Sessions beschädigen.
- Latenz und Jitter nach der Mitigation vergessen.
Weiterlesen
Diese Ressourcen verbinden 100Mpps+ mit konkreten Angeboten: Transit, Dedicated Server und Gaming-Reverse-Proxy.
Im Abschnitt „Weiterlesen“ konzentriert sich dieser Guide zu „Wie man 100Mpps+ in der DDoS-Mitigation bewältigt, ohne die Infrastruktur zu überlasten“ auf Betrieb, um dieses Szenario von anderen DDoS-Angriffen zu trennen.
Fragen und Antworten
Passen 100 Mpps durch einen 10-Gbit/s-Ethernet-Port?
Nicht als 100 Millionen minimale Ethernet-Frames je Sekunde in einer Richtung. Mit der genannten 64-Byte-Konvention sind dafür 67,2 Gbit/s nötig. Prüfen Sie, ob eine angezeigte Rate mehrere Schnittstellen oder Richtungen summiert.
Beweist ein 100-Gbit/s-Port eine Filterleistung von 100 Mpps?
Nein. Physisches Linkbudget und gemessene Kapazität der Filterengine sind unterschiedliche Grenzen. Testen Sie reale Hardware, Softwareversion und aktive Richtlinie.
Was gehört in einen Benchmark?
Framegrößen, Overhead-Konvention, Richtungen, Flussverteilung, Regeln, Hardware- und Softwareversionen, Dauer, angebotene Last, Verlust und Ergebnisse für legitimen Verkehr. Lasttests gehören in einen genehmigten isolierten Aufbau.
