Auf dieser Seite
Definition des Problems
Das Problem ist, mehrere Transitprovider mit vollständiger DDoS-Mitigation zu verwechseln. Redundanz verbessert Verfügbarkeit, filtert aber keinen Flood automatisch.
Multi-Upstream-DDoS-Schutz zwingt dazu, den kompletten Pfad zu betrachten: BGP-Announcement, gewählter Upstream, echte Portkapazität, verfügbares Filtering, Clean-Traffic-Handoff und Verhalten des Dienstes.
Mögliche Lösungen
Die Architektur muss festlegen, welcher Upstream Traffic anzieht, welcher filtert, welcher Backup bleibt und welche BGP-Communities im Incident genutzt werden.
Auch die wirtschaftliche Seite zählt. Mehrere Upstreams bedeuten nicht automatisch, dass jedes Port dauerhaft voll ausgelastet werden muss. Oft ist es sinnvoller, einen Teil der Kapazität als Reserve für Angriffsspitzen zu behalten, die Commitments sauber zu dimensionieren und die technischen Schutzfunktionen jedes Carriers in die Kostenbetrachtung einzubeziehen. Ein günstiger Transit ohne brauchbare DDoS-Werkzeuge kann im Angriff teurer werden als ein etwas teurerer Anbieter mit schneller Eskalation und präzisen Communities.
- Anycast-DDoS-Schutz: wann er hilft und wann nicht
Verstehen, wann Anycast hilft und wann nicht.
Zwei Ports mit 100 Gbit/s: jeden Eingang prüfen
Zwei Ports mit jeweils 100 Gbit/s bieten zusammen nominal 200 Gbit/s Eingangskapazität, aber keine garantiert gleichmäßige Verteilung. Ein Angriff mit 120 Gbit/s allein kann nicht gleichzeitig beide Ports mit jeweils 100 Gbit/s auslasten. Er kann einen Port überlasten, wenn beispielsweise 110 Gbit/s über einen Pfad und 10 Gbit/s über den anderen eintreffen.
Normaler Verkehr, Paketverarbeitung und gemeinsam genutzte Infrastruktur schaffen weitere Grenzen. Messen Sie jeden Port und seine Paketrate. Freie 90 Gbit/s am zweiten Port entlasten den ersten nicht automatisch. BGP entscheidet nach Routingrichtlinien, nicht nach momentaner Last.
Local Preference wählt hauptsächlich Ihren ausgehenden Pfad. Eingehender Verkehr hängt davon ab, welche Ankündigungen entfernte Netze akzeptieren und bevorzugen und welche Provider-Communities unterstützt werden. Prüfen Sie Präfixberechtigung, Verbreitung und Übergabe, bevor Sie sich auf einen geschützten Ersatzpfad verlassen.
