Auf dieser Seite
Das Wichtigste
- Die erschöpfte Ressource findenEine volle Leitung, eine belegte Verbindungstabelle und eine langsame Anwendung erfordern unterschiedliche Messungen und Maßnahmen.
- Sinnvolle Firewallregeln beibehaltenDDoS-Abwehr ergänzt die Zugriffskontrolle. Die Firewall abzuschalten ist keine Strategie zur Störungsbehebung.
- Die tatsächliche Konfiguration messenEin beworbener Durchsatz beschreibt nicht jede Paketmischung, Prüffunktion oder Verbindungsrate.
Eine Firewall hat einen Standort und begrenzte Kapazität
Eine Firewall setzt Zugriffsregeln durch, verwirft unerwünschten Verkehr und kann je nach Produkt und Konfiguration spezielle DDoS-Funktionen oder Hardwarebeschleunigung bieten. Dass jede Firewall bei jedem DDoS-Angriff versagt, ist falsch. Entscheidend ist, welche Ressource erschöpft wird und ob das Gerät davor eingreifen kann.
Ein Filter hinter einem überlasteten Zugang kann bereits upstream verlorene legitime Pakete nicht zurückholen. Umgekehrt kann eine Leitung mit freier Bandbreite mehr Paketentscheidungen oder neue Zustände liefern, als ein bestimmtes System verarbeitet. Für Nutzer sehen beide Fälle ähnlich aus, verlangen aber unterschiedliche Lösungen.
Vor Regeländerungen vier Grenzen unterscheiden
Erheben Sie diese Werte im selben Zeitraum und benennen Sie den Messpunkt. Firewall-Eingang, Ausgang und vorgelagerte Flow-Stichproben sind keine austauschbaren Ansichten. Vergleichen Sie einen nachweislich gesunden Zeitraum mit der Störung, bevor ein einzelner Graph zur Diagnose wird.
| Ressource | Benötigte Messwerte | Was sie nicht belegen |
|---|---|---|
| Zugangskapazität | Angebotene und empfangene Bitraten, vorgelagerte Verluste und Schnittstellenfehler. | Wenig empfangener Verkehr schließt Verluste vor der Firewall nicht aus. |
| Paketverarbeitung | Pakete pro Sekunde, Verluste in Empfangsqueues und Last je CPU-Kern. | Eine niedrige mittlere CPU-Last schließt einen überlasteten Worker oder eine volle Queue nicht aus. |
| Verbindungszustände | Neue Verbindungen, belegte Einträge, Grenzen und fehlgeschlagene Allokationen. | Die Anzahl der Einträge allein identifiziert keine schädlichen Sitzungen. |
| Anwendungsarbeit | Erfolgreiche Anfragen, Latenz, Verbindungsfehler und Backendlast. | Ein HTTP-Fehler allein beweist keinen DDoS-Angriff auf das Netzwerk. |
Kontrollen vor der zu schützenden Ressource platzieren
Ist der Zugang der Engpass, prüfen Sie vorgelagertes Filtern oder einen geschützten Zustellweg. Ist das Gerät selbst überlastet, können eng begrenzte zustandslose Regeln, unterstützte frühe Filterpfade oder spezialisierte Mitigation vor aufwendiger Verarbeitung entlasten. Anwendungsmissbrauch kann zusätzlich Authentifizierung, Anfragekontrollen oder einen kompatiblen Proxy erfordern.
Erhalten Sie notwendige Zugriffsregeln, Verwaltungszugang und Steuerverkehr. Moderne Firewalls unterscheiden sich bei Zustandsverwaltung, Beschleunigung und DDoS-Funktionen. Prüfen Sie die reale Konfiguration und Messwerte für die aktivierten Funktionen. Die Bezeichnungen Hardware oder Software sagen nicht, welche Last bewältigt wird.
Zustandszähler lesen, bevor eine Lösung gewählt wird
Unter Linux meldet nf_conntrack_count die belegten Flow-Einträge, während nf_conntrack_max die konfigurierte Obergrenze angibt. Betrachten Sie beide zusammen mit Allokationsfehlern und dem Verkehrsverhalten. Eine steigende Anzahl kann legitimes Wachstum sein; eine niedrige beweist keinen gesunden restlichen Netzwerkstack.
Erhöhen Sie Verbindungsgrenzen nicht blind und verkürzen Sie nicht pauschal alle Zeitlimits. Speicherverbrauch, bestehende Sitzungen und Protokollverhalten gehören zur Entscheidung. Jedes Paket während einer Flut zu protokollieren kann zusätzliche Arbeit erzeugen und wichtige Ereignisse verdecken. Nutzen Sie begrenzte Zähler und passende Protokollierungsfunktionen der Implementierung.
Beispiel: 12 Mpps füllen nicht automatisch 10 Gbit/s
Betrachten Sie einen hypothetischen Strom aus 12 Millionen minimalen Ethernet-Frames pro Sekunde. Bei 64 Byte je Frame einschließlich FCS und weiteren 20 Byte für Präambel und Interframe-Zeit ergibt sich eine nominelle Leitungsbelegung von 8,064 Gbit/s in einer Richtung. Das allein füllt keine 10-Gbit/s-Leitung. Größere Frames, weiterer Verkehr und die Zählweise können das Ergebnis verändern.
Diese Rechnung sagt auch nicht, ob eine bestimmte Firewall den Strom prüfen kann. Ihr konfigurierter Verarbeitungspfad und die Zustandslast müssen gemessen werden. Es ist ein Dimensionierungsbeispiel, kein Kundenereignis oder Produktbenchmark. Eine mit 40 Gbit/s beworbene Firewall lässt sich anhand dieser Zahl allein weder als ausreichend noch als überlastet einstufen.
Erfolg über den Verwerfzähler hinaus definieren
Eine Referenz erfassen
Messen Sie legitime Spitzenlast, Paketgrößen, neue Verbindungen und erfolgreiche Anwendungsvorgänge. Beziehen Sie Monitoring und Verwaltungszugang ein.
Die relevante Grenze kontrolliert nachstellen
Nutzen Sie einen autorisierten isolierten Testpfad mit den vorgesehenen Regeln. Erfassen Sie angebotene Last, zugestellten legitimen Verkehr, Verlust und Latenz. Überlasten Sie keine gemeinsam genutzte Produktionsleitung, um deren Grenze zu entdecken.
Die geschützte Übergabe prüfen
Bestätigen Sie nach dem Filtern, dass Restverkehr in Empfangsleitung, Firewall und Anwendung passt. Beobachten Sie neue Verbindungen und bestehende Sitzungen.
Die Rücknahme testen
Benennen Sie Verantwortliche, Umfang und Entfernungsschritte. Prüfen Sie, ob das Zurückziehen einer Regel die erwartete Richtlinie wiederherstellt, ohne fremde Dienste offenzulegen.
Änderungen vermeiden, die den eigentlichen Fehler verdecken
- Viele verworfene Pakete bedeuten noch keinen wiederhergestellten Dienst: prüfen Sie erfolgreiche Nutzeraktionen.
- Schalten Sie nicht die gesamte Firewall ab, um ein ungeklärtes Leistungsproblem zu umgehen.
- Vergleichen Sie keinen Weiterleitungstest großer Frames mit zustandsbehafteter Prüfung kleiner Pakete.
- Nehmen Sie nicht an, dass vorgelagertes Filtern jede unerwünschte Anwendungsanfrage entfernt.
- Verwechseln Sie den Mittelwert eines kurzen Vorfalls nicht mit seiner höchsten Paket- oder Verbindungsrate.
Die Grenzen jeder Schutzschicht dokumentieren
Halten Sie fest, welche Komponente Zugriffsregeln, Paketreduktion, Routenänderungen und Anwendungskontrollen verantwortet. Dokumentieren Sie Kapazitätsnachweise und Wiederherstellung. So kann der Betrieb gezielt eskalieren, wenn der nächste Vorfall eine andere Ressource betrifft.
Fragen und Antworten
Kann eine Firewall bestimmte DDoS-Angriffe stoppen?
Ja, wenn Standort, freie Ressourcen und unterstützte Kontrollen zum Angriff passen. Ein lokales Gerät kann bereits auf einem überlasteten vorgelagerten Pfad verlorenen Verkehr nicht zurückholen.
Sollte die Verbindungstabelle immer vergrößert werden?
Nein. Prüfen Sie Allokationsdruck, Speicherkosten und legitime Sitzungsanforderungen vor einer Änderung. Eine größere Tabelle löst nicht jeden Verarbeitungs- oder Anwendungsengpass.
Ersetzt geschützter Transit die Firewallrichtlinie?
Nein. Vorgelagerte Reduktion und lokale Zugriffskontrolle haben unterschiedliche Aufgaben. Behalten und validieren Sie die für den Dienst erforderliche Richtlinie.
