Auf dieser Seite
Das Wichtigste
- Beide Verkehrsrichtungen einzeichnenEingang, gefilterte Zustellung und Anwendungsrückweg können unterschiedlichen Bedingungen unterliegen.
- Beobachtung und Filterung trennenEin Flow-Collector misst Verkehr; die Durchsetzung von Paketentscheidungen benötigt eine weitere Komponente.
- Wartung und Ausfälle einbeziehenEin zweiter Knoten hilft nur, wenn Routing, Kapazität und Betriebsabläufe den vorgesehenen Ersatzweg tatsächlich ermöglichen.
Mit dem tatsächlichen Verkehrsweg beginnen
Ein brauchbarer DDoS-Entwurf beginnt bei geschützten Zielen, ihren Upstreampfaden und der zuerst erschöpfbaren Ressource. Zeichnen Sie den normalen Eingangspfad, den Mitigationspfad und den Rückweg ein. Markieren Sie begrenzte Übergaben und legen Sie fest, wer jedes Präfix ankündigen, umleiten oder zurückziehen darf.
Der Entwurf muss den Weg einer legitimen Anfrage bis zur Anwendungsantwort erklären. Endet die Zeichnung an einer Scrubbing-Cloud, fehlen Empfangsleitung, Tunnel, Firewall und Server, die den Restverkehr weiterhin verarbeiten müssen.
Vier Aufgaben auseinanderhalten
Diese Aufgaben können in einem Produkt liegen, brauchen aber getrennte Nachweise. Eine sichtbare BGP-Route belegt allein nicht, dass der Filter die gewünschte Regel durchsetzt. Empfangene Flow-Telemetrie bedeutet nicht, dass der Collector im Paketpfad liegt.
| Funktion | Ausgabe oder Aktion | Abnahmenachweis |
|---|---|---|
| Beobachten und erkennen | Stichproben, Zähler, Warnungen oder ein möglicher Vorfall. | Bekannter Messpunkt, Sampling, Verzögerung und Verhalten bei fehlenden Daten. |
| Entscheiden und lenken | Eine autorisierte Routen- oder Richtlinienänderung. | Umfang, Validierung, Konvergenz und Rücknahmeverfahren. |
| Prüfen und filtern | Paketweiterleitung, Verwerfen oder unterstützte Begrenzung. | Installierte Richtlinie, Entscheidungszähler und erfolgreicher legitimer Dienst. |
| Zustellen und bedienen | Gefilterter Verkehr erreicht die Anwendung, Antworten gelangen zurück. | Kapazität, MTU, Routing, Latenz und Anwendungsprüfungen. |
Den Standort nach dem tatsächlichen Engpass wählen
Vorgelagerte Mitigation ist relevant, wenn die angebotene Last den Kundenzugang erschöpfen kann. Lokales Filtern passt zu Betreibern mit ausreichender Eingangskapazität, die Paketentscheidungen auf eigener Hardware kontrollieren möchten. Ein hybrider Entwurf kann beides verbinden, erzeugt aber zusätzliche Wechselwirkungen bei Richtlinien und Ausfällen, die jemand verantworten muss.
Ein Anwendungsproxy kann für ein unterstütztes Protokoll und Zustellmodell geeignet sein. Er ist nicht mit dem Schutz beliebiger gerouteter Präfixe austauschbar. Ebenso deckt eine HTTP-Kontrolle nicht jeden UDP- oder TCP-Dienst ab. Benennen Sie Anwendungen und Adressfamilien ausdrücklich, statt Layer 7 als universelle Fähigkeit zu behandeln.
Always-on und On-demand brauchen unterschiedliche Tests
Bei Always-on nutzt normaler Verkehr dauerhaft den Schutzpfad. Validieren Sie alltägliche Latenz, Rückrouting, Wartungsverhalten und Kapazität. Bei On-demand müssen zusätzlich Erkennungs-, Entscheidungs- und Routenwechselzeiten gemessen werden. Der Übergang kann Sitzungen beeinträchtigen, obwohl der endgültige Pfad funktioniert.
Nutzen Sie Hysterese und ein ausdrückliches Wiederherstellungsverfahren, damit ein Schwellwert nicht ständig Aktivierung und Rücknahme auslöst. Fehlende oder veraltete Telemetrie braucht eine definierte Reaktion. Betreiber müssen wissen, ob die aktuelle Route bestehen bleibt, zurückgezogen wird oder einen Eingriff verlangt. Controller verhalten sich nicht automatisch gleich.
Peeryx Flow Collector beobachtet außerhalb des Paketpfads und koordiniert Umleitungen; er ist kein Inline-Paketfilter. Die automatische Umleitung ist auf autorisierte IPv4-/24-Präfixe begrenzt. Eignung, Routingberechtigungen und geschützter Dienst müssen separat geprüft werden. Daraus folgt keine automatische IPv6-Umleitung.
Beispiel: vorgelagerte Reduktion mit lokalen Zugriffsregeln
Angenommen, ein Betreiber hat eine Empfangsübergabe mit 10 Gbit/s und Anwendungen hinter einer lokalen Firewall. Übersteigt der eingehende Verkehr diese Übergabe, verlagert ein stärkerer Filter dahinter den Verlustpunkt nicht. Ein vorgelagerter Schutzpfad kann diese Grenze adressieren, während die lokale Schicht weiterhin Zugriffsregeln durchsetzt.
Bei GRE-Zustellung dokumentieren Sie äußeren Pfad, wirksame innere MTU und Rückrouten. Testen Sie ausreichend große Anwendungstransfers, um MTU-Probleme sichtbar zu machen; ein kleiner Ping reicht nicht. Zustandsbehaftete Kontrollen können einen mit dem Zustand kompatiblen Pfad in beiden Richtungen verlangen. Dies ist ein Entwurfsbeispiel, keine Zusage unterbrechungsfreier Umleitung.
Die Übergabe prüfbar machen
Berechtigung und Erreichbarkeit nachweisen
Bestätigen Sie Präfixbesitz oder Autorisierung, akzeptierte Ankündigungen, nächste Hops und jede erforderliche Adressfamilie. Prüfen Sie Normal- und Schutzpfad von unabhängigen Beobachtungspunkten.
Kapazität im Fehlerfall qualifizieren
Messen Sie die Verkehrsmischung mit den vorgesehenen Funktionen. Berücksichtigen Sie ungleiche Verteilung, Empfangsleitungen und den Verlust des Knotens oder Uplinks, den der Entwurf tolerieren soll.
Die Anwendung prüfen
Testen Sie neue und bestehende Sitzungen, relevante Protokolle, MTU-sensitive Transfers und Rückverkehr. Beobachten Sie legitime Erfolge zusammen mit Mitigationszählern.
Die Wiederherstellung üben
Testen Sie den vorgesehenen Prozess-, Leitungs- oder Knotenausfall isoliert oder im vereinbarten Wartungsfenster. Erfassen Sie Konvergenz, Sitzungsauswirkungen, Rücknahme und Verwaltungszugang.
Die Bezeichnung Backup beweist keine Umschaltung
- Zwei Tunnel auf demselben physischen Router schützen nicht vor dessen Ausfall.
- Eine etablierte Backup-BGP-Sitzung beweist nicht, dass beim Ausfall des Primärpfads nutzbare Routen und die richtige Weiterleitung gewählt werden.
- Ein Bypass kann Erreichbarkeit erhalten und dabei den Filter umgehen; prüfen Sie den resultierenden Schutzstatus.
- Zwei gleich schnelle Leitungen garantieren weder gleichmäßige Verteilung noch doppelte Kapazität für einen einzelnen Flow.
- Ein für zustandslose Pakete funktionierendes Failover kann Sitzungen mit gemeinsamem Zustand dennoch unterbrechen.
Eine kurze Betriebsakte führen
Die Übergabeakte sollte Topologie, Schutzumfang, Kapazitätsannahmen, Abnahmeergebnisse, Alarmverantwortliche und Rücknahmeverfahren enthalten. Trennen Sie vorgesehenes Verhalten von beobachteten Ergebnissen. Wiederholen Sie betroffene Tests nach Routing-, Software- oder physischen Pfadänderungen.
Fragen und Antworten
Filtert ein Collector den von ihm angezeigten Verkehr?
Nicht unbedingt. Flow-Telemetrie kann an einen Beobachter außerhalb des Weiterleitungspfads exportiert werden. Identifizieren Sie die separate Komponente, die tatsächlich Pakete prüft oder verwirft.
Garantiert ein zweiter Tunnel Routerredundanz?
Nein. Prüfen Sie physische Geräte, Underlaypfade, ausgewählte Routen und das getestete Fehlerszenario. Zwei Tunnel können denselben Ausfallpunkt teilen.
Validiert ein erfolgreicher Ping den ganzen Entwurf?
Nein. Er bestätigt nur einen begrenzten Erreichbarkeitstest. Prüfen Sie relevante Paketgrößen, Anwendungen, Last, Rückwege und das vorgesehene Ausfallverfahren.
