Sur cette page
À retenir
- Le PPS casse avant le GbpsUn firewall ou un serveur peut tomber sous 100Mpps même si la bande passante semble encore disponible.
- Filtrer tôtPlus le drop est proche de l’entrée réseau, moins l’attaque consomme de CPU, mémoire et files d’attente.
- Relivrer propreLe vrai résultat attendu est un service joignable, pas seulement un graphe de trafic bloqué.
100 Mpps impose un débit physique minimal
100 Mpps représente 100 millions de paquets par seconde. Pour des trames Ethernet minimales de 64 octets, FCS compris, ajoutez 8 octets de préambule/délimiteur et 12 octets d’intervalle intertrame. Le budget nominal sur le lien vaut 100 000 000 × (64 + 20) × 8 = 67,2 Gbit/s.
Il s’agit d’un calcul physique, pas d’une mesure de filtrage. Des trames plus grandes nécessitent davantage de bande passante. Les compteurs d’octets IP, de trames et les cumuls entrée/sortie n’utilisent pas le même périmètre : indiquez cette convention avant de comparer les résultats.
Pourquoi c’est critique pour les ventes et la disponibilité
Lorsqu’un service tombe sous haute PPS, le client final ne voit pas “une attaque complexe”. Il voit un site indisponible, un serveur de jeu injouable, des timeouts ou un support qui ne répond plus assez vite.
Le PPS élevé augmente aussi le risque de faux positifs. Sous pression, beaucoup d’opérateurs appliquent des règles larges pour sauver l’infrastructure, mais ces règles peuvent bloquer des clients légitimes, casser UDP ou dégrader la latence.
Pour vendre du transit IP protégé, du serveur dédié Anti-DDoS ou de la protection gaming, il faut donc prouver que l’architecture comprend les limites PPS réelles, pas seulement afficher un chiffre en Tbps.
Les solutions possibles pour absorber 100Mpps+
La première solution est le filtrage amont : réduire le bruit avant que le trafic touche les ports ou machines du client. Cela peut passer par FlowSpec, règles ACL réseau, scrubbing ou capacité de transit protégée.
La deuxième couche concerne le filtrage local très rapide : XDP, eBPF, DPDK, VPP ou appliances spécialisées selon le contexte. Cette couche doit rester simple, mesurable et éviter tout état inutile sur le chemin chaud.
Enfin, la relivraison compte autant que le drop. GRE, IPIP, VXLAN, cross-connect ou router VM doivent être dimensionnés pour le trafic propre restant, avec une latence prévisible.
- Filtrage amont
- Réduire le PPS avant que le client ne reçoive le trafic.
- Fast path local
- Éviter l’état, les logs coûteux et les traitements inutiles sur le chemin chaud.
- Handoff propre
- Relivrer le trafic utile par le modèle le plus adapté.
Un service gaming sous 120Mpps
Avec la même convention de trame minimale, 120 Mpps occupe 80,64 Gbit/s. Un port Ethernet de 100 Gbit/s a un plafond théorique d’environ 148,81 Mpps pour ces trames. Ces chiffres ne démontrent pas la capacité de filtrage ou de transfert d’une politique logicielle particulière.
Qualifiez la charge complète : files de réception, placement CPU et NUMA, règles actives, nombre de flux, tunnels, pertes et transactions légitimes. Un serveur correctement qualifié peut répondre au besoin ; son débit de port ou son modèle de CPU ne suffit pas à le prouver.
Erreurs fréquentes
La première erreur est de dimensionner uniquement en Gbps. La seconde est de laisser un firewall stateful voir tout le flood avant de le filtrer. La troisième est de croire qu’un serveur puissant compensera une topologie mal placée.
Une autre erreur consiste à confondre graphe de mitigation et qualité réelle : si le trafic propre revient avec trop de jitter ou de faux positifs, la protection ne répond pas au besoin commercial.
- Ne regarder que les Gbps et ignorer les paquets par seconde.
- Laisser un firewall stateful absorber la première vague.
- Appliquer des règles trop larges qui cassent UDP ou les sessions légitimes.
- Oublier la latence et le jitter après mitigation.
Continuer la lecture
Ces ressources permettent de relier le sujet 100Mpps+ aux offres concrètes : transit, serveur dédié et reverse proxy gaming.
Questions fréquentes
100 Mpps peut-il traverser un port Ethernet de 10 Gbit/s ?
Pas sous la forme de 100 millions de trames minimales par seconde dans un seul sens. Cela nécessite 67,2 Gbit/s avec la convention de trame de 64 octets indiquée. Vérifiez si la mesure cumule plusieurs interfaces ou directions.
Un port de 100 Gbit/s prouve-t-il un filtrage à 100 Mpps ?
Non. Le budget physique du lien et la capacité mesurée du moteur sont deux limites différentes. Testez le matériel, la version logicielle et la politique réellement utilisés.
Que doit préciser un benchmark ?
Tailles de trames, surcharge comptée, directions, répartition des flux, règles, versions matérielles et logicielles, durée, charge proposée, pertes et résultats du trafic légitime. Réservez les essais de charge à un environnement isolé et autorisé.
