Ein Angriff beginnt nicht mit einem Supportticket. Zuerst steigt eine Kurve, dann füllt sich eine Leitung, schließlich rufen Kunden an. Wer ein eigenes Netzwerk betreibt, hat die Messdaten häufig schon. Was fehlt, ist der Schritt von der Messung zur Umleitung über einen externen Schutzdienst.
Genau hier setzt Peeryx Flow Collector an. Er läuft in Ihrem Netzwerk, liest die Exporte Ihres Routers und überwacht den Verkehr zu Ihren /24-Präfixen. Nach Ihren Regeln kann er die Umleitung zu Peeryx auslösen. Die Software steht ab sofort kostenlos zum Download bereit.
Für Teams, die ihr Routing selbst betreiben
Der Collector richtet sich an Netzbetreiber, Hoster, Rechenzentren und Unternehmen mit eigenen BGP-Ankündigungen, die ihre bisherigen Provider außerhalb eines Angriffs weiter nutzen möchten. Auch vorhandene sFlow- oder NetStream-Exporte lassen sich so mit einem Schutzdienst verbinden.
Die Installation ist optional. Läuft Ihr Verkehr bereits dauerhaft über Peeryx oder ist Ihre bestehende Erkennung angebunden, benötigen Sie keinen zusätzlichen Collector. Die Software ist kostenlos; Netzwerkdienst und DDoS-Schutz sind Bestandteil Ihres gebuchten Angebots.
Im Alltag bleiben Ihre Provider. Wenn die Messwerte es erfordern, kommt Peeryx hinzu.
Messung bei Ihnen, Filterung bei Peeryx
Der Router liefert Messdaten. Der Collector schätzt daraus Bandbreite und Paketraten je Präfix, ohne im Pfad des Kundenverkehrs zu liegen. Ein Angriff mit mehreren zehn Gbit/s läuft deshalb nicht durch den Ethernet-Port der Collector-VM.
Bei einer bestätigten Überschreitung wird das /24 zuerst über Peeryx angekündigt. Erst nach Prüfung der Ankündigung und des Pfads für bereinigten Verkehr werden die vorgesehenen Ankündigungen bei anderen Providern zurückgezogen. Beim Rückwechsel werden die üblichen Provider vor dem Rückzug von Peeryx wieder angekündigt. Diese Abfolge muss zur gesamten Topologie passen, auch wenn mehrere Router dasselbe Präfix originieren.
Schwellenwerte, die nachvollziehbar bleiben
TCP, UDP, ICMP, GRE, IPIP und Other lassen sich in Paketen pro Sekunde oder Gbit/s begrenzen. Eine L3-Regel erfasst den gesamten IPv4-Verkehr über alle Protokolle. Other umfasst die Protokolle außerhalb der fünf genannten Kategorien. Erweiterte Einstellungen für TCP-Flags sind ebenfalls vorhanden.
Jede aktive Regel kann eine Umleitung auslösen. Eine exklusive Ausnahme für die Gesamtbandbreite eines Präfixes kann die allgemeinen Regeln ersetzen. Sie bereiten Einstellungen im Kundenportal vor und wenden die exportierte Datei am Collector an. Maßstab sollte Ihre normale Spitzenlast sein: Viel Verkehr allein belegt noch keinen Angriff.
Die Mindestdauer auf Peeryx wählen Sie zwischen 20 Minuten und 7 Tagen ab bestätigter vollständiger Umleitung. Ein anhaltender Angriff verlängert den Schutz. Für die Rückkehr müssen aktuelle Messdaten das Angriffsende bestätigen. Ein Ausfall des Lieferpfads oder der Überwachung kann eine frühere Rückkehr zur Erhaltung der Erreichbarkeit erforderlich machen.
Eine Linux-VM statt eines Filterservers
Unterstützt werden Debian 12 oder 13 sowie Ubuntu Server 24.04 LTS mit systemd auf x86-64 oder ARM64. Empfohlener Ausgangspunkt: 2 CPU-Kerne, 8 GB RAM, 20 GB freier Speicher und 1-Gbit/s-Ethernet. Ein kleiner Xeon oder eine vergleichbare VM genügt als Startpunkt; die Auslegung hängt vom Exportvolumen ab.
Der Collector verarbeitet sFlow v5, NetFlow/NetStream v5 und v9 sowie IPv4-IPFIX. Die Anleitung beschreibt Ports, Sampling und Anforderungen an die Aktualität der Exporte. Veraltete oder über mehrere Schnittstellen doppelt gezählte Daten sind keine verlässliche Grundlage.
Neue Präfixe werden mit erfasst
Öffentliche IPv4-/24-Präfixe werden über BGP vom Router gelernt, soweit sie innerhalb der für Ihren Dienst autorisierten Bereiche liegen. Die Software ist nicht auf eine feste Liste von zehn Präfixen beschränkt. Neue Zuteilungen außerhalb dieser Bereiche müssen zuerst freigegeben werden; auch die Router-Policies müssen den Schutz erlauben.
Diese Version arbeitet auf /24-Ebene. Sie zerlegt größere Ankündigungen nicht automatisch und steuert noch keine IPv6-Umleitung. Ein Präfix zu entdecken und seinen Schutzpfad zu prüfen sind zwei getrennte Schritte.
Erst beobachten, dann aktivieren
Öffnen Sie im Kundenportal Dienste → Peeryx Flow Collector und wählen Sie Ihren Netzwerkdienst. Die Anleitung führt durch Linux-Vorbereitung, Installation, Zuordnung zum Dienst und Router-Exporte. Der Bereich erscheint für Konten mit einem geeigneten Netzwerkdienst.
Der Collector startet im Beobachtungsmodus. Prüfen Sie Messdaten und Schwellenwerte. Gemeinsam mit unserem Team validieren Sie Ankündigung, Rückzug bei den anderen Providern, Zustellung des bereinigten Verkehrs und Rückkehr zum normalen Routing. Danach aktivieren Sie die Automatik.
Anleitung und Einstellungen an einem Ort.
Peeryx Flow Collector öffnenKostenlose Software · Netzwerkdienst für den Schutz erforderlich