Auf dieser Seite
Das Wichtigste
- Blackhole schützt KapazitätEs entfernt sämtlichen Traffic zu einem Ziel.
- FlowSpec ist selektivFilter nach Protokoll, Ports, Länge, Flags oder Fragmenten.
- Automatisierung braucht GrenzenRegeln benötigen Schwelle, Ablaufzeit und Rollback.
Das Problem definieren
RTBH kündigt eine spezielle Route an, damit Traffic zu IP oder Präfix verworfen wird. Es ist einfach und breit unterstützt, macht den Dienst aber offline.
FlowSpec transportiert Filterregeln per BGP. Die Präzision ist stark, aber eine zu breite Regel kann echte Nutzer still beeinträchtigen.
Der operative Unterschied zeigt sich bei Sättigung. Blackhole verändert die Erreichbarkeit eines Ziels; FlowSpec verändert die Behandlung bestimmter Pakete in der Routing-Infrastruktur. Deshalb braucht jede FlowSpec-Regel Vertrauen: stabile Felder, normales Nutzerverhalten und eine Aktion, die schnell zurückgenommen werden kann.
Zur Bewertung von Blackhole und FlowSpec müssen drei Ebenen getrennt werden: BGP-Signal, realer Traffic und Nutzererlebnis.
Warum es wichtig ist
Die falsche Wahl kann teurer sein als der Angriff. Blackhole verhindert Sättigung, erzeugt aber Ausfall. Eine schlechte FlowSpec-Regel sieht in Graphen sauber aus und blockiert trotzdem echte Nutzer.
Bei Protected Transit zahlt der Kunde für Erreichbarkeit. Entscheidungen brauchen Messwerte: pps, Gbps, Ports, Paketprofil und Stabilität der Signatur.
Ein Runbook muss auch festlegen, wer upstream Regeln propagieren darf. Ein lokaler Drop ist schnell getestet; upstream FlowSpec wirkt in einem größeren Bereich. Für Netze mit Kundentraffic sind Freigabe, Logging und Ablaufzeit Teil des Produkts.
Mögliche Lösungen
Manuelles RTBH ist die Notbremse, wenn ein Ziel andere Kunden bedroht.
Manuelles FlowSpec hilft bei stabilen Angriffen mit klaren Merkmalen, ist aber langsam.
Reif ist kontrollierte Automatisierung mit Port-Schwellen, kurzen Regeln, Ablaufzeit, Monitoring legitimen Traffics und Blackhole nur als letzte Option.
Manchmal ist Rate-Limit sicherer als Drop. Wenn sich Angriffssignatur und legitimer Traffic überlappen, senkt ein temporärer Policer Druck, während Captures und Metriken eine strengere Regel bestätigen.
- RTBH
- Schnell, aber das Ziel wird geopfert.
- Präzises FlowSpec
- Wirkt, wenn mehrere Felder den Angriff beschreiben.
- Hybride Pipeline
- FlowSpec senkt Volumen, spezialisierte Mitigation schützt den Dienst.
| Kriterium | BGP Blackhole | BGP FlowSpec |
|---|---|---|
| Auswirkung | Ziel offline | Gezielter Filter bei Präzision |
| Komplexität | Niedrig | Mittel bis hoch |
| Idealer Einsatz | Letzte Option | Angriffsvolumen senken |
Konkretes Beispiel
Ein Gameserver erhält 80 Gbps UDP. Blackhole stoppt Sättigung, trennt aber alle Spieler.
Die bessere Antwort kombiniert Paketlänge, Source-Ports, pps/Gbps-Verhältnis und Fragmente, sodass Angriff verschwindet und echte Clients bleiben.
Dasselbe gilt für TCP-Floods. Eine Regel auf Flags kann bei ungewöhnlichen SYN- oder ACK-Mustern helfen, muss aber mit normalem Verbindungsverhalten verglichen werden.
Häufige Fehler
Fehler entstehen meist durch zu schnelle Aktionen ohne Belege.
Ein weiterer Fehler ist fehlende Kundenkommunikation. Bei Blackhole muss der Kunde den bewussten Ausfall verstehen; bei FlowSpec muss klar sein, dass die Regel temporär und überwacht ist.
- FlowSpec als Applikationsfirewall behandeln.
- Regeln nach dem Angriff aktiv lassen.
- Nur nach einem Feld filtern.
- Ein ganzes Präfix für eine IP blackholen.
- Legitimen Traffic nicht vor/nach der Regel messen.
FAQ
Ersetzt FlowSpec DDoS-Schutz?
Nein, es reduziert nur bestimmte Muster upstream.
Ist Blackhole noch sinnvoll?
Ja, als letzte Option.
Ist es für UDP-Games sicher?
Ja, mit kombinierten Kriterien und Monitoring.
Wie lange lebt eine Regel?
So kurz wie möglich, oft Minuten.
