Zum Inhalt
PEERYXNETWORK
PEERYX NETWORK5 min

DDoS-Schutz auswählen: eine Checkliste für Betreiber

Vergleichen Sie Verkehrswege, Paketlast, Übergabegrenzen und Abnahmenachweise, bevor Sie einen DDoS-Dienst oder eine Filterplattform beauftragen.

Auf dieser Seite

Das Wichtigste

  • Den Dienst beschreibenPräfixe, Protokolle, übliche Spitzen und Betriebsbedingungen machen Angebote vergleichbar.
  • Kapazitätsangaben trennenTransport, Paketverarbeitung und der an Sie gelieferte Anschluss haben unterschiedliche Grenzen.
  • Die Abnahme vereinbarenLegen Sie Beobachtungen, Ausfallszenarien und die Verantwortung für die Wiederherstellung vor der Aktivierung fest.

Für jedes Angebot dasselbe Anforderungsblatt verwenden

Eine sinnvolle Anfrage beginnt mit dem Dienst, der erreichbar bleiben muss. Nennen Sie Anwendungen, Adressfamilien, geschützte Präfixe oder öffentliche Endpunkte, normalen Verkehr zur Hauptlastzeit und die Herkunft der Nutzer. Geben Sie an, ob Sie eine ASN und Präfixe verwalten, ob Routingänderungen möglich sind und wer den Zielserver betreibt. So kann der Anbieter Netzschutz, einen protokollspezifischen Proxy und Filtersoftware auf Ihrer Hardware unterscheiden.

Halten Sie den ersten Austausch kurz. Für eine erste Prüfung genügen Diensttyp, ungefähres Verkehrsvolumen, Übergabeanforderungen und ein Kontakt. Detaillierte Routingrichtlinien, Hardwareinventar und Vorfallsdaten können später über einen vereinbarten Kanal folgen. Zugangsdaten, private Schlüssel und unbereinigte Kundenmitschnitte gehören nicht in ein öffentliches Anfrageformular.

Für jedes Angebot dasselbe Anforderungsblatt verwenden
AnforderungNützliche AngabenFrage an den Anbieter
Adressierung und RoutingASN, freigegebene Präfixe, IPv4/IPv6 und aktuelle Anbieter.Was dürfen Sie ankündigen, und was wird vor der Übergabe geprüft?
Verkehr und AnwendungenNormale Gbit/s und Mpps, Verbindungsverhalten und benötigte Protokolle.Welche Funktionen gelten für diese Last, und welche nicht?
ÜbergabeTunnel oder physischer Anschluss, Standort und Bedingungen für den Rückweg.Welche Bandbreite, MTU und Routingparameter gelten für jeden Pfad?
BetriebVerantwortliche für Router, Server, Überwachung und Bereitschaft.Wer ändert Richtlinien, bestätigt die Wiederherstellung und nimmt fehlgeschlagene Änderungen zurück?

Jede Kapazitätsangabe einer Grenze zuordnen

Eine gemeinsam genutzte Netzkapazität ist keine Reservierung auf Ihrem Anschluss. Ein Serverbenchmark beschreibt nicht jede lizenzierte Konfiguration. Eine 100-Gbit/s-Schnittstelle beweist nicht, dass der Host kleinste Pakete mit den vorgesehenen Regeln verarbeiten kann. Fragen Sie nach Messpunkt, Richtung, Verkehr und danach, ob die Grenze physisch, lizenziert, geteilt oder vertraglich festgelegt ist.

Bei Durchsatzangaben benötigen Sie die Definition der Framegröße, Paketrate, Verkehrsverteilung, aktiven Funktionen sowie Hardware und Softwareversion. Weiterleitung großer Frames belegt keine Filterleistung für kleine Pakete. Auch lässt sich die Leistung einer Empfangswarteschlange nicht aus der mittleren CPU-Auslastung ableiten. Diese Fragen ermöglichen einen Vergleich; sie sprechen nicht grundsätzlich gegen Hardware oder Software.

Normalen, geschützten und rücklaufenden Verkehr darstellen

Die Zeichnung sollte zeigen, wo Verkehr beobachtet, umgeleitet und verworfen wird und wie der Rest den Dienst erreicht. Zeichnen Sie auch den Rückweg ein. Eine zustandsprüfende Funktion kann verlangen, dass beide Richtungen dieselbe Zustandsinstanz erreichen oder eine unterstützte Zustandssynchronisierung nutzen. Routensammler, Umleitungssteuerung und Filter im Datenpfad sind nicht austauschbar.

Ermitteln Sie bei redundanter Übergabe gemeinsam genutzte Router, Leitungen, Stromversorgung und Upstreams. Zwei Tunnel können unterschiedliche Adressen haben und trotzdem auf einem Router enden. Fragen Sie nach dem Verhalten bei Sitzungs-, Schnittstellen- und Geräteausfall. Ein Backup ist durch den geprüften Ausfallbereich qualifiziert, nicht durch die Anzahl grüner BGP-Anzeigen.

Gemeinsam mit dem Anbieter einen Abnahmeplan erstellen

Wählen Sie messbare Abnahmekriterien für Ihre Anwendung. Eine installierte Route oder ein steigender Angriffszähler sind nützliche Hinweise, beweisen aber keinen erfolgreichen Nutzerabschluss. Erfassen Sie fehlgeschlagene Verbindungen, Antwortzeiten und erwarteten Verkehr zusammen mit den Mitigationszählern.

Führen Sie keine störenden Labor-Durchsatztests über ein Produktionsnetz aus. RFC 6815 erläutert, warum die Annahmen von RFC-2544-Benchmarks nicht zu einem gemeinsam genutzten Live-Netz passen. Die betriebliche Abnahme eines laufenden Dienstes braucht ein abgestimmtes, begrenztes Verfahren; zerstörerische Lasttests gehören in eine getrennte Umgebung.

  1. Normalbetrieb nachweisen

    Anwendungserfolg, Latenz, Routenauswahl und Zähler vor Schutzänderungen erfassen.

  2. Den gelieferten Pfad prüfen

    Vereinbarte Adressfamilien, kleine und große Übertragungen, MTU-Verhalten und beide Richtungen kontrollieren.

  3. Filterung isoliert validieren

    Freigegebenen Testverkehr, Schwellen und erwartetes legitimes Verhalten in einer isolierten Umgebung vereinbaren.

  4. Wiederherstellung erproben

    Routenrücknahme, Backup-Weiterleitung, Rückkehr zum bevorzugten Pfad und Zuständigkeit für jede Rücknahme prüfen.

Betriebsbedingungen ebenso gründlich wie Funktionen lesen

Fragen Sie, was der Monatspreis umfasst, wann Mehrverbrauch berechnet wird, welche Statistik zählt und wie der Abrechnungszeitraum definiert ist. Trennen Sie Commit, Anschlussgeschwindigkeit, Burst-Regeln, geschützte Adressen, Softwarekapazität und optionalen Support. Perzentil, gemessene Spitze und Portgeschwindigkeit beschreiben unterschiedliche Größen.

Ein SLA muss den abgedeckten Dienst, Messpunkt, Ausnahmen und Ausgleich benennen. Eine Support-Reaktionszeit ist nicht automatisch eine Wiederherstellungsgarantie. Klären Sie Eskalation, Freigabe von Notfallfiltern, Umgang mit Fehlalarmen und verfügbare Nachweise nach einem Vorfall. Diese Punkte gehören ins Angebot oder in den Vertrag; ein Werbesiegel ersetzt sie nicht.

Gleichartige Betriebsmodelle vergleichen

Vergleichen Sie einen verwalteten Netzdienst einschließlich Übergabe und Betriebsumfang. Vergleichen Sie eine Softwarelizenz einschließlich benötigter Server, Schnittstellen, Transportwege und Personal. Ein Komponentenpreis kann angemessen sein und dennoch nur einen Teil des Verkehrswegs abdecken. Halten Sie Erkennung, Steuerung, Durchsetzung und Netzkapazität in getrennten Spalten fest, damit fehlende Ebenen sichtbar bleiben.

Bei Peeryx erfüllen geschützter Transit IP, Defense Fabric und Flow Collector unterschiedliche Aufgaben. Defense Fabric lizenziert Filterung auf einer kompatiblen Installation; eine dedizierte Zuteilung der gemeinsam genutzten Peeryx-Netzkapazität ist nicht enthalten. Flow Collector beobachtet Telemetrie und kann freigegebene Umleitungen steuern; er filtert keine Pakete im Datenpfad. Gaming-Übergaben erfordern eine Prüfung der unterstützten Anwendung.

Offene Punkte vor der Bestellung dokumentieren

Halten Sie für jede Anforderung Anbieterantwort, Beleg, Abnahmetest und offene Bedingung fest. Kennzeichnen Sie fehlende Messungen als unbekannt, statt daraus eine Leistungsschätzung zu machen. Damit bleibt die noch nötige technische Arbeit sichtbar, und beide Teams erhalten eine brauchbare Übergabe nach dem Kauf.

Ein kleiner freigegebener Pilot kann eine konkrete Kompatibilitätsfrage beantworten. Er beweist weder unbegrenzte Kapazität noch jede Angriffsfamilie oder jedes Wiederherstellungsszenario. Übernehmen Sie ungeprüfte Bedingungen in das Produktions-Abnahmeprotokoll, statt einen gelungenen Pilot stillschweigend als vollständige Qualifikation zu behandeln.

Fragen vor Vertragsabschluss

Ist eine größere beworbene Tbit/s-Zahl immer besser?

Sie kann mehr gemeinsam genutzte Netzkapazität beschreiben, belegt aber weder Ihre gelieferte Bandbreite noch reservierte Ressourcen, Paketlast oder Anwendungsschutz. Vergleichen Sie diese Punkte getrennt.

Welche Angaben braucht eine erste Anfrage mindestens?

Nennen Sie Dienst, normalen Verkehr, Adressen oder Routingmodell und die wichtigste Übergabebedingung. Das detaillierte Inventar folgt nach der ersten Eingrenzung.

Ersetzt eine Testphase den technischen Abnahmeplan?

Nein. Eine Testphase kann festgelegte Bedingungen prüfen. Nachweise, Ausfallszenarien und verbleibende Unbekannte müssen trotzdem dokumentiert werden.

Messungen für die nächste Entscheidung nutzen.

Flow Collector beobachtet außerhalb des Datenpfads und kann autorisierte Schutzabläufe auslösen. Die Rechner legen Link- und Serverkapazitätsberechnungen offen; sie ersetzen keinen isolierten Qualifikationstest.

Weitere Leitfäden zu diesem Thema ↗