Auf dieser Seite
Definition des Problems
Das Problem ist, dass Angriffstraffic den Kundenlink erreicht, bevor lokale Filter greifen können. Ist der Port bereits gesättigt, hilft die beste Serverlogik nicht mehr.
upstream filtering DDoS zwingt dazu, den kompletten Pfad zu betrachten: BGP-Announcement, gewählter Upstream, echte Portkapazität, verfügbares Filtering, Clean-Traffic-Handoff und Verhalten des Dienstes.
Mögliche Lösungen
Ziel ist es, nutzloses Volumen beim Upstream zu entfernen, ohne den Dienst komplett abzuschalten. Die Regel muss präzise sein: Protokoll, Ports, Paketlänge, TCP-Flags oder erkennbare Reflexionsquellen.
Ein weiterer Punkt ist die Abstimmung mit dem Geschäftsmodell des Kunden. Ein Game-Hoster, ein SaaS-Anbieter und ein Betreiber eigener ASN haben nicht dieselben Risikotoleranzen. Bei einem Game-Service kann zu hartes Filtern von UDP sofort Spieler trennen, während bei einer Unternehmensanwendung einzelne Zielports deutlich strenger geschützt werden können. Genau deshalb sollte Upstream-Filtering nicht als Standardknopf verstanden werden, sondern als Werkzeug, das an Portmodell, Protokollprofil, Kundentyp und Angriffsmuster angepasst wird.
- BGP Blackhole vs BGP FlowSpec: das richtige DDoS-Filterwerkzeug wählen
Blackhole und FlowSpec-Regeln vergleichen.
Konkreter Anwendungsfall
Ein Hoster mit Gameservern erhält einen UDP-Flood oberhalb seiner Portkapazität. Das offensichtliche Muster wird upstream gefiltert, legitimes UDP bleibt erhalten und sauberer Traffic kommt über GRE, IPIP, VXLAN oder Cross-Connect zurück.
Im Betrieb sollte jede Regel zeitlich begrenzt, messbar und reversibel sein. Entscheidend ist nicht nur, ob der Upstream Traffic verwirft, sondern ob der Kunde danach noch erreichbar bleibt, ob UDP-Antworten, BGP-Sessions, Monitoring und administrative Zugänge weiter funktionieren und ob die Regel nach dem Angriff automatisch oder manuell sauber entfernt wird.
