En esta página
Puntos clave
- Una cadena de entrega completaEl tráfico debe alcanzar el filtro, conservar los intercambios legítimos y llegar a la aplicación.
- Separar las cifras de capacidadConectividad aguas arriba, procesamiento local y entrega tras el filtrado limitan partes distintas del servicio.
- Decidir quién lo operaContratar tránsito protegido y licenciar software sobre equipos propios asignan responsabilidades diferentes.
El lugar de filtrado es solo una parte del servicio
Un centro de limpieza DDoS es una infraestructura por la que se dirige tráfico para mitigar ataques antes de entregarlo a un destino protegido. Combina conectividad, tratamiento del tráfico, política de filtrado y una ruta de salida. El destino puede ser una red de cliente, una plataforma de alojamiento o un servicio público individual.
El objetivo es mantener utilizables los intercambios legítimos mientras se reduce el tráfico dañino. «Tráfico limpio» describe el resultado buscado; no certifica que cada paquete sea inocuo ni que la aplicación no pueda fallar por otra causa. Las defensas de red y aplicación necesitan un reparto de funciones acordado.
No confunda el lugar de filtrado con el servicio completo. Si el tráfico no llega, las reglas eliminan solicitudes legítimas o la salida no funciona, un servidor de filtrado sano no demuestra la disponibilidad del servicio.
Filtrar antes del recurso que se pretende aliviar
Un ataque volumétrico puede saturar un enlace antes de que el host reciba los paquetes. Las reglas locales no recuperan la capacidad consumida aguas arriba. Un recorrido de filtrado remoto ayuda únicamente si el tráfico llega a él antes del recurso limitado.
Otros incidentes agotan primero el procesamiento, los estados de conexión o una función de aplicación. Una gran capacidad aguas arriba no soluciona automáticamente esos límites. El diseño debe indicar qué recursos protege y cómo se procesa el tráfico restante en el origen.
Separar la atracción del tráfico y su entrega tras el filtrado
La atracción determina dónde entra el tráfico público en la protección. La entrega determina cómo llega el tráfico conservado al destino real. BGP, direcciones protegidas y proxies específicos son componentes de diseños distintos, no compras intercambiables. Un túnel por sí solo no anuncia un prefijo en Internet.
Para una red enrutada, confirme prefijos autorizados, política de anuncios, familias de direcciones y retorno. Para un servicio individual, confirme entrada pública, acceso al origen, puertos y compatibilidad. La entrega puede emplear túnel, conexión física u otro mecanismo expresamente admitido.
Documente juntos el recorrido principal y el de recuperación. Diferentes MTU, dependencias comunes o una ruta estática inesperada pueden afectar la conmutación pese a dos sesiones BGP sanas. Pruebe la arquitectura entregada con una aplicación de referencia.
Elegir entre servicio del proveedor y filtrado operado internamente
Con tránsito protegido, el proveedor entrega un servicio de red definido y el cliente integra su conexión. Confirme capacidad, activación, filtrado y soporte incluidos. La capacidad global del proveedor no equivale a un puerto reservado ni a un compromiso ilimitado para un cliente.
Con software como Defense Fabric, el operador aporta servidores compatibles y una arquitectura utilizable. La licencia no proporciona enlaces, permisos de enrutamiento, instalación física ni personal para operar el centro. Este modelo encaja con equipos que quieren controlar su hardware y pueden asumir esas responsabilidades.
Una arquitectura combinada puede situar filtros del proveedor antes de controles locales. Defina entrega y carga residual en vez de sumar capacidades anunciadas. Compatibilidad, responsabilidades y criterios de aceptación importan más que llamarla «híbrida».
Solicitar pruebas correspondientes al servicio necesario
Compare ofertas con el mismo alcance y fronteras de medida. Un total de red compartido, un benchmark de equipo y la velocidad de puerto responden a preguntas distintas. Pida medidas disponibles, configuración y distinción entre límites publicados, supuestos de diseño y resultados medidos.
| Pregunta de compra | Evidencia solicitada | Distinción necesaria |
|---|---|---|
| ¿Cómo llega el tráfico al filtro? | Plan autorizado de atracción y retirada | Enrutamiento normal, durante ataque y reversión |
| ¿Qué puede transportar el recorrido? | Límites de entrada, procesamiento y salida | Capacidad compartida, reservada y medida |
| ¿Qué filtra el servicio? | Protocolos, alcance de reglas y pruebas legítimas | Protección de red y controles de aplicación |
| ¿Cómo se entrega el tráfico? | Direcciones, encapsulación, MTU y retorno | Recorrido principal, recuperación y dependencias comunes |
| ¿Quién gestiona el incidente? | Contactos, visibilidad, permisos de cambio y soporte | Estado observado y compromisos contractuales |
Adaptar la arquitectura a lo que controla
Un ISP o proveedor de alojamiento puede controlar anuncios de prefijos y varias conexiones. Debe revisar permisos, clientes aguas abajo, distribución y dominios de fallo. El cliente de un dedicado en un tercero quizá solo controle la máquina y un extremo de túnel permitido. Las políticas del alojamiento y la exposición directa del origen pasan a ser restricciones esenciales.
Un servicio de juego añade requisitos propios de protocolo y recorrido del jugador. Un filtro general no es automáticamente un proxy compatible. Identifique edición, entrada pública, recorrido al backend y funciones antes de elegir una oferta especializada.
No comprar una cifra de capacidad sin sus límites
- Separe capacidad compartida aguas arriba, medidas del filtrado local y puerto de entrega del cliente.
- Compruebe falsos positivos y recuperación de aplicaciones además del número de paquetes descartados.
- No suponga que una licencia incluye tránsito, hardware compatible u operación de red.
- Una segunda sesión, un panel accesible o un ping breve no demuestran conmutación completa.
- Registre quién cambia rutas y políticas, qué ocurre al fallar y cómo se restaura el estado anterior.
Preguntas sobre servicios de limpieza DDoS
¿Garantiza un centro de limpieza la disponibilidad de la aplicación?
La arquitectura no implica una garantía universal. Importan capacidad, rutas, reglas, entrega y aplicación. Revise alcance real y compromisos contractuales.
¿Puedo construir un centro comprando una licencia de software?
La licencia puede aportar un componente. Aún necesita equipos compatibles, capacidad de red, enrutamiento, entrega, supervisión, responsables y aceptación.
¿Cuál es el siguiente paso tras elegir el modelo?
Documente recorridos y responsabilidades, confirme condiciones y acuerde controles de aceptación. La guía operativa explica qué observar desde la atracción hasta la recuperación.
