Notwendige Cookies
Anforderungen an den Aufbau
DDoS-Schutz für ISPs und Netzbetreiber
Der Schutz eines Zugangsnetzes muss gemeinsam genutzte Teilnehmerpfade erhalten und zugleich Routenverantwortung und Verbindungsverhalten berechenbar halten. Beginnen Sie mit Ihren Präfixen und der Ressource, die zuerst an ihre Grenze stößt.
Drei Grenzen zählen im Zugangsnetz
- Gemeinsame Leitungen und verteilte Ziele
- Ein auf mehrere Teilnehmeradressen verteilter Angriff kann einen gemeinsamen Uplink belasten, ohne dass ein einzelnes Ziel im Diagramm dominiert. Beobachten Sie neben einzelnen Adressen auch Präfixe und Upstreams. Ein ruhiger Endpunkt beweist keine Reserve im gemeinsamen Pfad.
- Teilnehmerzustand und gemeinsame Quelladressen
- CGNAT und zustandsabhängige Randgeräte können unabhängig von der Bandbreite durch Verbindungen belastet werden. Viele legitime Nutzer können außerdem dieselbe öffentliche Quelladresse teilen. Ein Quelllimit braucht deshalb eine Prüfung des Verkehrs, nicht nur einen niedrigen Grenzwert für alle Teilnehmer.
- Mehrere Routingverantwortliche
- Eigene Präfixe, Kundenankündigungen und providerseitige Adressen können unterschiedlichen Freigabe- und Exportregeln folgen. Definieren Sie geschützten Umfang, akzeptierte Ankündigungen und Erwartungen an die Standardroute vor dem Hinzufügen eines Schutzpfads.
Vorgeschaltete Übergabe und eigene Kontrollen kombinieren
Geschützter Transit IP kann die Netzebene liefern; kompatible lokale Filterung kann dahinter eine eigene Aufgabe erfüllen. Auch ein hybrides Design benötigt klare Verantwortliche für Umleitung, Filterung und Wiederherstellung.
Exponierte Pfade beobachten
Erfassen Sie passende Routertelemetrie und Schnittstellenzähler mit bekanntem Messintervall und bekannter Richtung.
Geschützten Verkehr übergeben
Qualifizieren Sie vereinbarten Tunnel oder physischen Anschluss, Routenauswahl, MTU und verbleibende Übergabekapazität.
Teilnehmerdienste erhalten
Prüfen Sie Rückverkehr und normale Anwendungen mit den gewählten lokalen TCP- und Zustandsmodi.
Beispielhafter Ablauf. Angebot und Abnahmeprotokoll bestimmen den gelieferten Dienst.
Entscheidungen vor der Bestellung
- Wer darf die geschützten Präfixe ankündigen?
- Dokumentieren Sie ASN, Präfixfreigabe, Routenfilter und erlaubte Weitergabe. Eine aufgebaute BGP-Sitzung belegt nicht, dass die vorgesehenen Routen akzeptiert werden.
- Darf der Rückverkehr den lokalen Filter umgehen?
- Das hängt vom Schutzmodus ab. Prüfen Sie dessen Routinganforderungen vor dem Aktivieren zustandsabhängiger Funktionen. Mehrere Peers belegen keine Unterstützung asymmetrischer Pfade.
- Was darf eine Umleitung auslösen?
- Trennen Sie Beobachtung, Freigabe und Durchsetzung. Peeryx Flow Collector arbeitet außerhalb des Paketpfads im veröffentlichten Umfang autorisierter IPv4-/24-Umleitungen; er liefert weder Netzkapazität noch Inlinefilterung.
Nachweisen, dass der Zugangsdienst die vereinbarte Änderung übersteht
- Erfassen Sie normalen Verkehr zur Hauptlastzeit, erfolgreiche Teilnehmerverbindungen und relevante Zustandszähler vor der Aktivierung.
- Prüfen Sie akzeptierte Routen, beide Richtungen sowie kleine und große Übertragungen auf jedem gelieferten Pfad.
- Stimmen Sie den gewählten Pfad- oder Geräteausfall ab, messen Sie die nutzbare Wiederherstellung und benennen Sie einen Rücknahmeverantwortlichen.
Fragen zu diesem Aufbau
Reserviert die gemeinsame Netzkapazität diese Bandbreite für meinen ISP?
Nein. Commit, gelieferter Port, geteilte Upstream-Kapazität und gemessene lokale Filterleistung sind getrennte Größen. Das geltende Angebot definiert Ihren gelieferten Dienst.
Ersetzt ein lokaler Filter vorgeschalteten Schutz bei einem überlasteten Zugang?
Er kann bereits vor seinem Eingang verlorene Pakete nicht zurückholen. Der Schutz muss vor dem Engpass wirken, den er entlasten soll.
Technische Referenz : RFC 7454: BGP-Betrieb und Sicherheit