Geschützter IP-Transit gegen DDoS: Mitigation zum Erhalt legitimen Traffics

Die Grenzen des klassischen Modells unter DDoS

Bevor man über geschützten Transit spricht, muss man verstehen, warum das klassische Modell nicht mehr funktioniert, sobald ein Dienst ernsthafte oder wiederholte Angriffe anzieht.

In einer Standardumgebung kommt bösartiger Traffic der Produktion zu nahe, bevor wirklich entschlossen gefiltert wird. Dort beginnen Sättigung, Rechnungsspitzen und übermäßig zerstörerische Notfallreaktionen.

Netzwerksättigung

Ein volumetrischer Angriff kann 100 Gbps oder sogar mehrere Tbps überschreiten. Ein 10G-, 25G- oder 100G-Port kann voll sein, bevor der Dienst reagieren kann.

Kostenanstieg

Nein. Die Auswirkung hängt von Abrechnungszeitraum, Messpunkt, Messintervall und Anteil hoher Werte ab. Vergleichen Sie den vereinbarten Commit mit dem gemessenen P95, nicht mit der maximalen Verkehrsspitze.

Blackholing der IP

In vielen Umgebungen wird die Notfallreaktion zum Blackhole der angegriffenen IP. Das restliche Netz bleibt vielleicht online, der betroffene Kunde aber nicht.

Was ist geschützter IP-Transit anti-DDoS?

Geschützter IP-Transit verbindet Internetanbindung mit DDoS-Filterung vor dem vereinbarten Übergabepunkt. Ziel ist weniger Angriffsverkehr bei weiterhin erreichbaren Diensten. Das Ergebnis hängt von Verkehr, Richtlinie, verfügbarer Kapazität und Übergabepfad ab.

Wie geschützter Transit praktisch funktioniert

Der Verkehr geschützter Präfixe wird durch die vereinbarte Routingrichtlinie angezogen. BGP steuert Erreichbarkeit; die Mitigationsinfrastruktur filtert. Dauerhafte und bedarfsgesteuerte Pfade haben unterschiedliche Anforderungen an Konvergenz und Betrieb.

Gefilterter Verkehr wird über die vertraglich vorgesehene Verbindung übergeben. Prüfen Sie Empfangskapazität, MTU, Rückweg und reale Anwendungsvorgänge vor dem Produktiveinsatz. Die gesamte Mitigationskapazität ist keine einem einzelnen Port oder Tunnel reservierte Bandbreite.

1. Routing

   Angekündigte Präfixe, Berechtigungen und vorgesehenen Eingang prüfen.

2. Beobachtung

   Bandbreite, Paketrate und Anwendungssymptome mit Normalverkehr vergleichen.

3. Filterung

   Gewählte Richtlinie anwenden und tatsächlichen Zustand prüfen.

4. Übergabe

   Empfangspfad und erfolgreiche legitime Anwendungsvorgänge kontrollieren.

Erkennung, Regelanwendung und Überprüfung

Die Mitigation vergleicht beobachteten Verkehr mit konfigurierten Schwellenwerten und Regeln. Erkennung, Entscheidung, Regelanwendung und Wiederherstellung des Dienstes sind getrennte Schritte. Ihre Dauer hängt von Sampling, Angriff, Konfiguration und Netzwerkpfad ab.

Dieser Leitfaden belegt keine gemessene Reaktionszeit über den gesamten Pfad. Erfassen Sie bei der Qualifikation Angriffsbeginn, wirksame Regelanwendung und erfolgreiche legitime Anwendungsvorgänge. Eine schnelle lokale Entscheidung beweist allein keine Wiederherstellung im gesamten Netz.

Übergabe von sauberem Traffic

Die bestehende Infrastruktur kann erhalten bleiben, wenn Adressierung, Routing und Endpunktkapazität es ermöglichen. Kapselung transportiert Pakete; sie erkennt selbst keinen Angriff.

GRE / IPIP

L3-Übergabe an einen bestehenden Endpunkt; Underlay, MTU und Rückweg prüfen.

VXLAN

Overlay für Ethernet-Übergabe und Segmentierung; zusätzlichen Overhead berücksichtigen.

Cross-Connect

Physische Verbindung: Port, VLAN, Redundanz und verfügbare Kapazität bestätigen.

Router-VM

Routing- oder Tunnelendpunkt. Nutzbarer Durchsatz hängt vom virtualisierten Pfad und den zugewiesenen Ressourcen ab.

Konkrete Anwendungsfälle

Bestehenden Server schützen

Eine Schutzschicht für OVH-, Hetzner- oder ähnliche Dedicated Server ergänzen, ohne die gesamte Infrastruktur zu verlagern.

Eigene Filterlogik hosten

Einen Dedicated Server mit XDP oder anderer Logik nutzen, um das Filtering nach dem Upstream-Relief abzuschließen.

Gaming-Workloads

FiveM, Minecraft und andere latenzsensitive Dienste brauchen eine schnelle, saubere und möglichst wenig intrusive Mitigation.

SaaS, APIs und kritische Dienste

Nicht standardisierte Anwendungen und atypische Flüsse profitieren stark von einer Mitigation, die um reales Traffic-Verhalten gebaut ist.

Filterung mit legitimem Verkehr bewerten

Messen Sie akzeptierte und verworfene Pakete, erfolgreiche neue Verbindungen, Verlust und Antwortzeiten der Anwendung. Eine kleinere Angriffsmenge hilft nur, wenn der Dienst nutzbar bleibt. Keine Richtlinie sollte als grundsätzlich frei von Fehlalarmen oder Leistungseinbußen gelten.

Ports, Paketrate, Kapselung und empfangende Geräte begrenzen die Übergabe. Prüfen Sie optionale UDP- oder TCP-Limits je Quelle mit gemeinsamem NAT, VPNs und legitimen Lastspitzen. Eine Adresse kann mehrere Nutzer vertreten.

Upstream-FlowSpec kann ein bestätigtes Angriffsmuster vor einem begrenzten Link reduzieren. Prüfen Sie Umfang, unterstützte Aktion, Rücknahmebedingung und Auswirkungen auf legitimen Verkehr. Eine breite Regel kann den Dienst unterbrechen, obwohl die Angriffsgrafik besser aussieht.

Häufige Fehler vermeiden

Ein gutes Anti-DDoS-Design muss Link, Rechnung, Nutzererlebnis und Geschäftslogik des Dienstes schützen. Wenn es nur eine dieser Ebenen schützt, bleibt es unvollständig.

• Nur auf Gbps zu schauen, obwohl PPS oft der eigentliche limitierende Faktor ist.
• Ein generisches Schutzmodell für Traffic zu wählen, der nicht in Standardmuster passt.
• Routing-Design zu ignorieren, obwohl symmetrische und asymmetrische Modelle sehr unterschiedliche Latenz- und Kostenfolgen haben können.
• Zu glauben, geschützter Transit ersetze jede ergänzende Schicht, obwohl ein mehrschichtiges Design oft operativ am saubersten bleibt.

Fragen und Antworten