Ir al contenido
AS213382 / PEERYX NETWORK¿Bajo ataque?Contactar con el equipo de red
PEERYXNETWORK
Estudiar esta arquitectura

Requisitos de despliegue

Protección DDoS para ISP y operadores de red

Proteger una red de acceso significa preservar caminos compartidos por muchos abonados y mantener predecibles las responsabilidades de rutas y conexiones. Empiece por los prefijos que opera y la primera capacidad que se agota.

Estudiar esta arquitectura Comparar modelos de despliegue
Conexiones de fibra óptica en un panel de conexiones.
Fotografía ilustrativa · Brett Sayles / Pexels

Tres límites importan en una red de acceso

Enlaces compartidos y destinos distribuidos
Un ataque repartido entre varias direcciones de abonados puede cargar un enlace común sin que ningún destino domine una gráfica. Observe prefijos y upstreams además de direcciones individuales; un extremo tranquilo no demuestra margen en el camino agregado.
Estado de abonados y fuentes compartidas
CGNAT y equipos de borde con estado pueden sufrir presión de conexiones independientemente del ancho de banda. Muchos usuarios legítimos también pueden compartir una IP pública de origen. Por eso un límite por fuente necesita revisar la carga, no solo aplicar un umbral bajo a todos.
Más de un responsable de rutas
Prefijos propios, anuncios de clientes y direcciones del proveedor pueden tener autorizaciones y reglas de exportación diferentes. Defina alcance protegido, anuncios aceptados y expectativas de ruta por defecto antes de añadir un camino de protección.

Combine entrega upstream y controles propios

Transit IP protegido puede proporcionar la capa de red; un filtrado local compatible puede cumplir otra función detrás. Un diseño híbrido también necesita responsables explícitos de desvío, filtrado y restauración.

  1. Observe los caminos expuestos

    Recoja telemetría de routers y contadores de interfaces pertinentes con intervalo y dirección conocidos.

  2. Entregue tráfico protegido

    Valide túnel o conexión física acordados, selección de rutas, MTU y capacidad restante de entrega.

  3. Preserve el servicio del abonado

    Compruebe retorno y aplicaciones normales con los modos TCP y funciones con estado elegidos localmente.

Secuencia ilustrativa. La oferta y el acta de aceptación definen el servicio entregado.

Decisiones previas al pedido

¿Quién puede anunciar los prefijos protegidos?
Documente ASN, autorización de prefijos, filtros de rutas y propagación permitida. El estado BGP no demuestra que se acepten las rutas previstas.
¿Puede el retorno evitar el filtro local?
Depende del modo de protección. Valide los requisitos reales de enrutamiento antes de activar funciones con estado; varios vecinos no implican compatibilidad asimétrica.
¿Qué puede iniciar un desvío?
Separe observación, autorización y ejecución. Peeryx Flow Collector funciona fuera del camino de paquetes con el alcance publicado de desvío IPv4 /24 autorizado; no aporta capacidad de red ni filtrado en línea.

Demuestre que el acceso sobrevive al cambio acordado

  • Registre tráfico normal en hora punta, conexiones de abonados exitosas y contadores de estado antes de activar la protección.
  • Compruebe rutas aceptadas, ambos sentidos y transferencias pequeñas y grandes por cada camino entregado.
  • Coordine el fallo de camino o equipo elegido, registre la recuperación útil y mantenga un responsable de reversión.

Preguntas sobre este despliegue

¿La capacidad compartida reserva ese ancho de banda para mi ISP?

No. Commit, puerto entregado, capacidad upstream compartida y filtrado local medido son magnitudes distintas. La propuesta aplicable define el servicio entregado.

¿Un filtro local sustituye a la protección upstream en un acceso saturado?

No recupera paquetes perdidos antes de llegar a él. La protección que debe aliviar el cuello de botella debe actuar antes de ese punto.

Referencia técnica : RFC 7454: operación y seguridad BGP