Sur cette page
À retenir
- La capacité ne fait pas toutUn réseau anti-DDoS crédible doit aussi maîtriser la latence et la qualité de livraison.
- Le routage asymétrique peut être utileIl n’est pas forcément un problème si le cas d’usage et le retour de trafic sont bien pensés.
- Le trafic propre est la vraie métrique métierLe but n’est pas seulement de bloquer l’attaque, mais de livrer le trafic légitime correctement.
- Gbps et Mpps doivent être lus ensembleUne attaque faible en Gbps peut rester violente en paquets par seconde.
Pourquoi la latence compte autant que la mitigation brute
Un service peut techniquement rester “en ligne” tout en devenant inutilisable si la latence grimpe trop. C’est particulièrement vrai pour le jeu en ligne, les API sensibles au temps de réponse, les panels d’administration et certains flux transactionnels.
Un design anti-DDoS sérieux ne doit donc pas seulement absorber une attaque. Il doit aussi préserver un chemin raisonnable pour le trafic légitime, avec une logique réseau adaptée au service protégé.
Le routage asymétrique n’est pas forcément un problème
Le routage asymétrique signifie en pratique que l’entrée et la sortie du trafic ne suivent pas exactement le même chemin. Dans un contexte anti-DDoS, cela peut être un choix très pertinent lorsqu’il permet d’entrer par la couche de mitigation et de sortir localement au plus proche de l’infrastructure du client.
Ce modèle peut réduire la latence de sortie, simplifier certains déploiements et éviter une migration complète. Il demande simplement d’être réfléchi correctement : retour de trafic, annonces, état des sessions et contraintes applicatives doivent être compris dès le départ.
- Asymétrique utile
- Pratique quand le trafic doit entrer par la protection mais sortir plus directement vers Internet ou vers l’infra du client.
- Symétrique utile
- Intéressant quand on veut garder un chemin homogène ou répondre à des contraintes réseau spécifiques.
- Aucun modèle universel
- Le bon choix dépend du service protégé, de sa sensibilité à la latence et de la manière dont il est exploité.
Pourquoi la relivraison du trafic propre est un sujet central
La partie la plus importante n’est pas seulement le filtrage : c’est la qualité de la relivraison du trafic légitime après filtrage. Si le trafic propre est renvoyé vers le client d’une manière instable, trop complexe ou trop contraignante, l’architecture perd une partie de sa valeur.
Cross-connect, GRE, IPIP, VXLAN ou autres modes de delivery doivent être vus comme un prolongement direct de la mitigation. Le service final n’a de valeur que si le trafic propre arrive de manière exploitable en production.
- Limiter la complexité inutile
- Valider le MTU et le retour de trafic
- Choisir un mode de livraison cohérent avec l’infra existante
- Mesurer l’effet réel sur la latence applicative
Gbps, Mpps et réalité des attaques
Un acteur anti-DDoS ne peut pas regarder uniquement les Gbps. Certaines attaques restent modérées en bande passante mais extrêmement agressives en paquets par seconde, ce qui peut saturer des équipements, des files d’attente, des firewalls ou des stacks logicielles bien avant de saturer un lien.
Inversement, une attaque très lourde en bande passante mais plus faible en Mpps n’a pas le même effet sur tous les environnements. Lire correctement une attaque, c’est toujours regarder à la fois le volume, le rythme et la manière dont le trafic traverse le système.
Lire la bande passante
Utile pour estimer la pression sur les liens et le risque de saturation amont.
Lire les paquets par seconde
Indispensable pour comprendre la charge réelle sur les équipements et les logiciels.
Lire la forme du trafic
Protocoles, tailles de paquets, symétrie et répartition comptent autant que le volume brut.
Adapter la mitigation
Le bon filtrage dépend du profil exact de l’attaque, pas d’un seul indicateur.
Cas d’usage concrets où ces choix font la différence
Pour un serveur de jeu, quelques millisecondes de plus peuvent déjà être visibles. Pour un service web, la stabilité globale et la capacité à garder le frontend disponible priment souvent davantage. Pour un hébergeur ou une plateforme multi-services, l’enjeu est souvent de préserver la souplesse de livraison sans créer une architecture trop rigide.
C’est pour cela qu’une architecture anti-DDoS crédible doit être pensée comme une chaîne complète : entrée sur la mitigation, décisions de filtrage, choix du routage, puis relivraison du trafic propre.
- Jeu en ligne
- Priorité forte sur la latence et sur la stabilité des flux pendant l’attaque.
- API / SaaS
- Importance de la disponibilité, des temps de réponse et du maintien des sessions.
- Hébergeur
- Besoin d’un modèle flexible, propre et réplicable sur plusieurs services.
- Infra déjà en production
- Le bon design est souvent celui qui protège sans imposer une refonte complète.
Erreurs fréquentes à éviter
La première erreur est de se focaliser uniquement sur des chiffres de capacité. La seconde est de traiter le routage asymétrique comme un défaut automatique. La troisième est d’oublier que la relivraison du trafic propre est aussi importante que le filtrage lui-même.
Une très grande capacité affichée garantit-elle une bonne protection ?
Non. Elle compte, mais elle ne remplace ni une bonne architecture de delivery ni une bonne maîtrise de la latence et du trafic légitime.
Le routage asymétrique est-il mauvais par nature ?
Non. Il peut être très pertinent si le design réseau est cohérent avec le service et le retour de trafic.
Pourquoi parler de Mpps si le lien n’est pas saturé ?
Parce que beaucoup d’équipements ou de logiciels peuvent souffrir d’une forte charge en paquets bien avant une saturation en Gbps.
Le choix du mode de livraison a-t-il un impact business ?
Oui, car il conditionne la rapidité de déploiement, la stabilité de la prod et l’expérience réelle du client final.
