Auf dieser Seite
Definition des Problems
Das Problem ist, dass Peering zu einem ungeschützten Eingang werden kann. Ein kurzer und günstiger Pfad kann sättigen, wenn er nicht mit der Mitigation verbunden ist.
Peering vs Transit DDoS zwingt dazu, den kompletten Pfad zu betrachten: BGP-Announcement, gewählter Upstream, echte Portkapazität, verfügbares Filtering, Clean-Traffic-Handoff und Verhalten des Dienstes.
Mögliche Lösungen
Die richtige Frage ist nicht Peering oder Transit absolut, sondern welcher Pfad Kapazität, Filtering, Support und sauberen Handoff im Angriff bietet.
Die Entscheidung sollte außerdem regelmäßig überprüft werden. Ein Peer, der heute nützlich ist, kann morgen ein Risiko werden, wenn Volumen stark steigt, neue Kunden mit empfindlichem UDP-Traffic hinzukommen oder die Angriffsmuster sich ändern. Ebenso kann ein Transit, der teuer wirkt, strategisch sinnvoll sein, wenn er bessere Pfade zu wichtigen Endkundennetzen, klare DDoS-Prozesse oder zuverlässigere Rückwege bietet. Gute Architektur ist deshalb kein statisches Diagramm, sondern ein laufender Routing- und Kapazitätsplan.
- Wie BGP funktioniert: Präfixe, AS-Pfade, Routing-Entscheidungen und DDoS-Auswirkung
Präfixe, AS Path und BGP-Entscheidungen prüfen.
Konkreter Anwendungsfall
Ein Gaming-Dienst behält Peering für normalen Traffic, verschiebt aber das angegriffene Präfix zu geschütztem Transit, wenn ein Flood aus einem bestimmten ISP-Netz kommt.
Transit ist dagegen oft teurer pro Mbps, bringt aber vertragliche Betriebsprozesse, globale Erreichbarkeit und teilweise DDoS-Funktionen wie Blackhole, Communities oder FlowSpec mit. Die richtige Antwort ist häufig eine Mischung: Peering für kontrollierte Volumen und gute Pfade, Transit für Reichweite, Schutzfunktionen und berechenbare Eskalation.
