Auf dieser Seite
Das Wichtigste
- Eine vollständige LieferketteVerkehr muss den Filter erreichen, legitime Kommunikation die Richtlinien passieren und anschließend zur Anwendung gelangen.
- Kapazitätszahlen trennenUpstream-Anbindung, lokale Paketverarbeitung und Weiterleitung nach dem Filter begrenzen unterschiedliche Teile des Dienstes.
- Den Betreiber bestimmenGeschützten Transit einzukaufen und Software für eigene Geräte zu lizenzieren verteilt Verantwortlichkeiten unterschiedlich.
Der Filterstandort ist nur ein Teil des Dienstes
Ein DDoS-Scrubbing-Center ist Infrastruktur, durch die Verkehr vor der Weiterleitung an ein geschütztes Ziel zur Angriffsabwehr geführt wird. Dazu gehören Netzanbindung, Verkehrsverarbeitung, Filterrichtlinien und ein Weiterleitungspfad. Das Ziel kann ein geroutetes Kundennetz, eine Hostingplattform oder ein einzelner öffentlicher Dienst sein.
Das Ziel ist nutzbare legitime Kommunikation bei reduziertem schädlichem Verkehr. „Bereinigter Verkehr“ bezeichnet das gewünschte Ergebnis; der Begriff garantiert weder die Harmlosigkeit jedes gelieferten Pakets noch den Ausschluss anderer Anwendungsfehler. Netz- und Anwendungsschutz benötigen weiterhin eine klare Aufgabenverteilung.
Verwechseln Sie den Filterstandort nicht mit dem vollständigen Schutzdienst. Erreicht der Verkehr den Filter nicht, verwirft eine Richtlinie legitime Anfragen oder ist der Ausgangspfad unbrauchbar, beweist ein intern gesunder Filterserver keine Dienstverfügbarkeit.
Vor der zu entlastenden Ressource filtern
Ein volumetrischer Angriff kann einen Link sättigen, bevor Pakete beim Zielhost ankommen. Host- oder Anwendungsregeln stellen dann die bereits belegte Upstream-Kapazität nicht wieder her. Ein entfernter Filterpfad hilft nur, wenn Verkehr vor der begrenzten Ressource dorthin geführt wird.
Andere Vorfälle erschöpfen zuerst Paketverarbeitung, Verbindungszustände oder eine Anwendungsfunktion. Große Upstream-Bandbreite löst diese Grenzen nicht automatisch. Die Architektur sollte nennen, welche Ressourcen geschützt werden und wie verbleibender Verkehr am Ursprung behandelt wird.
Verkehrszuführung und Weiterleitung nach dem Filter trennen
Die Zuführung bestimmt, wo öffentlicher Verkehr in den Schutzpfad eintritt. Die Weiterleitung bestimmt, wie verbleibender Verkehr das eigentliche Ziel erreicht. BGP-Routing, geschützte Adressen und spezialisierte Proxys gehören zu unterschiedlichen Modellen; sie sind keine austauschbaren Leistungen. Ein Tunnel allein kündigt kein Präfix im Internet an.
Bestätigen Sie bei gerouteten Netzen autorisierte Präfixe, Ankündigungsrichtlinien, Adressfamilien und Rückweg. Bei einem einzelnen Dienst zählen öffentlicher Eingang, Erreichbarkeit des Ursprungs, Ports und Anwendungskompatibilität. Die Übergabe kann einen Tunnel, eine physische Verbindung oder einen anderen ausdrücklich unterstützten Mechanismus verwenden.
Dokumentieren Sie Primär- und Wiederherstellungspfad gemeinsam. Unterschiedliche MTUs, gemeinsame Transportabhängigkeiten oder eine unerwartete statische Route können die Umschaltung trotz zweier gesunder BGP-Sitzungen beeinflussen. Prüfen Sie die gelieferte Architektur mit einer Referenzanwendung.
Zwischen Anbieterdienst und selbst betriebener Filterinfrastruktur wählen
Bei geschütztem Transit liefert der Anbieter einen definierten Netzdienst, dessen Übergabe der Kunde integriert. Klären Sie enthaltene Kapazität, Aktivierungsverhalten, Filterumfang und Support. Eine anbieterweite Netzwerkzahl ist weder ein reservierter Kundenport noch eine unbegrenzte Zusage für einen Kunden.
Bei Software wie Defense Fabric stellt der Betreiber kompatible Server und eine nutzbare Netzarchitektur bereit. Die Lizenz liefert keine Upstream-Links, Routingberechtigungen, physische Installation oder Betriebsmannschaft. Das Modell passt zu Teams, die ihre Hardware kontrollieren und diese Verantwortung tragen können.
Eine kombinierte Architektur kann Anbieterfilter vor lokal betriebene Kontrollen setzen. Definieren Sie Übergabe und Restlast, statt beworbene Kapazitäten zu addieren. Kompatibilität, betriebliche Zuständigkeiten und Abnahmekriterien zählen mehr als die Bezeichnung „hybrid“.
Nachweise verlangen, die zum benötigten Dienst passen
Vergleichen Sie Angebote mit demselben Umfang und denselben Messgrenzen. Gemeinsame Netzkapazität, Gerätebenchmark und Portgeschwindigkeit beantworten unterschiedliche Fragen. Fragen Sie nach vorhandenen Messungen, deren Konfiguration sowie nach veröffentlichten Leistungsgrenzen und reinen Planungsannahmen.
| Auswahlfrage | Benötigter Nachweis | Erforderliche Unterscheidung |
|---|---|---|
| Wie erreicht Verkehr den Filter? | Autorisierter Zuführungs- und Rücknahmeplan | Normalrouting, Angriffspfad und Rückbau |
| Was kann der Pfad transportieren? | Grenzen für Eingang, Paketverarbeitung und Ausgang | Gemeinsame, reservierte und gemessene Kapazität |
| Was wird gefiltert? | Unterstützte Protokolle, Regelumfang und Tests legitimen Verkehrs | Netzschutz und anwendungsspezifische Kontrollen |
| Wie wird Verkehr übergeben? | Adressierung, Kapselung, MTU und Rückweganforderungen | Primärpfad, Wiederanlauf und gemeinsame Abhängigkeiten |
| Wer betreibt die Störungsbehebung? | Kontakte, Einblick, Änderungsbefugnisse und Supportbedingungen | Beobachteter Status und vertragliche Zusagen |
Die Architektur an den eigenen Einflussbereich anpassen
Ein ISP oder Hoster kontrolliert möglicherweise Präfixankündigungen und mehrere Netzübergaben. Seine Prüfung sollte Routingrechte, nachgelagerte Kunden, Verkehrsverteilung und Fehlerdomänen erfassen. Bei einem dedizierten Server eines Dritten kontrolliert der Kunde vielleicht nur den Server und einen erlaubten Tunnelendpunkt. Anbieterregeln und direkte Ursprungserreichbarkeit sind dann wesentliche Grenzen.
Ein Spieldienst bringt eigene Protokoll- und Nutzeranforderungen mit. Ein allgemeiner Netzfilter ist nicht automatisch ein kompatibler Anwendungsproxy. Klären Sie Edition, öffentlichen Listener, Backend-Pfad und benötigte Funktionen vor der Auswahl eines spezialisierten Angebots.
Keine Kapazitätszahl ohne ihre Grenzen einkaufen
- Trennen Sie gemeinsame Upstream-Kapazität von lokalen Filtermessungen und dem Kundenübergabeport.
- Prüfen Sie Fehlalarmbehandlung und Anwendungswiederherstellung zusätzlich zu verworfenen Paketen.
- Nehmen Sie nicht an, dass eine Softwarelizenz Transit, passende Hardware oder Netzbetrieb enthält.
- Eine zweite Sitzung, ein erreichbares Dashboard oder ein kurzer Ping beweisen keine vollständige Ausfallsicherung.
- Dokumentieren Sie Änderungsrechte für Routing und Regeln, Fehlerverhalten und Wiederherstellung des vorherigen Zustands.
Fragen zu Scrubbing-Diensten
Garantiert ein Scrubbing-Center die Anwendungsverfügbarkeit?
Aus der Architektur folgt keine universelle Garantie. Kapazität, Routing, Filterregeln, Übergabe und Anwendung spielen zusammen. Prüfen Sie den tatsächlichen Umfang und die vertraglichen Zusagen.
Kann ich mit einer Softwarelizenz ein Scrubbing-Center aufbauen?
Die Lizenz kann einen Baustein liefern. Zusätzlich brauchen Sie kompatible Hardware, Netzkapazität, Routing, Übergabe, Monitoring, betriebliche Zuständigkeit und eine Abnahme.
Was folgt nach der Auswahl des Modells?
Dokumentieren Sie Datenpfad und Zuständigkeiten, bestätigen Sie Übergabebedingungen und vereinbaren Sie Abnahmekriterien. Der Betriebsleitfaden beschreibt Beobachtungen von der Zuführung bis zur Wiederherstellung.
