Une attaque ne commence pas par un ticket. Elle commence par une courbe qui monte, un lien qui se remplit, puis des clients qui appellent. Quand on exploite son propre réseau, les mesures sont souvent déjà là. Ce qui manque, c’est le lien entre ces mesures et la décision de faire passer le trafic par une protection externe.
Peeryx Flow Collector apporte ce lien. Installé chez vous, il lit les exports de votre routeur, suit le trafic à destination de vos /24 et peut déclencher leur bascule vers Peeryx selon les règles que vous avez choisies. Le logiciel est disponible gratuitement dès aujourd’hui.
Pour les équipes qui tiennent les commandes du réseau
Le collecteur s’adresse aux opérateurs, hébergeurs, datacenters et entreprises qui administrent leurs annonces BGP et souhaitent conserver leurs opérateurs habituels hors attaque. Il convient aussi aux sites qui disposent déjà de sFlow ou de NetStream, mais n’ont pas de mécanisme de bascule intégré à leur protection.
Il reste facultatif. Si votre trafic passe déjà en permanence par Peeryx, ou si votre dispositif de détection est déjà intégré, vous n’avez pas besoin de l’installer. Télécharger le logiciel est gratuit ; le service réseau et la protection Peeryx relèvent de votre offre.
Garder ses opérateurs au quotidien. Faire appel à Peeryx quand les mesures le justifient.
Les mesures restent chez vous. Le filtrage se fait chez Peeryx.
Votre routeur envoie ses mesures au collecteur. Celui-ci estime les débits et les taux de paquets par préfixe ; il ne se place pas sur le chemin du trafic client. Une attaque à plusieurs dizaines de Gbit/s ne traverse donc pas le port Ethernet de la VM qui l’héberge.
Après un dépassement confirmé, la bascule se déroule en plusieurs étapes : annoncer le /24 via Peeryx, vérifier l’annonce et le chemin de livraison du trafic nettoyé, puis retirer les annonces concurrentes prévues par les politiques BGP. Au retour à la normale, les opérateurs habituels sont réannoncés avant le retrait de Peeryx. Ce déroulement doit être validé sur votre architecture, y compris si plusieurs routeurs annoncent le même préfixe.
Des seuils que vous pouvez expliquer
Vous réglez TCP, UDP, ICMP, GRE, IPIP et Other en paquets par seconde ou en Gbit/s. Une règle de trafic IPv4 total, dite L3, permet aussi de déclencher sur le débit cumulé, tous protocoles confondus. Other désigne les protocoles qui ne sont pas comptés dans les cinq catégories précédentes. Des réglages avancés existent pour les drapeaux TCP.
Une règle active suffit à déclencher. Pour un préfixe particulier, une exception exclusive sur le débit total peut remplacer les seuils généraux. Les réglages se préparent dans l’espace client, puis s’appliquent au collecteur avec le fichier de configuration exporté. Un seuil doit tenir compte de votre trafic de pointe habituel : un volume élevé n’est pas, à lui seul, la preuve d’une attaque.
Vous choisissez aussi la durée minimale de maintien sur Peeryx : de 20 minutes à 7 jours après confirmation de la bascule complète. Une attaque persistante prolonge la protection. Le retour attend des mesures récentes indiquant la fin de l’attaque ; une défaillance du chemin de livraison ou de la supervision peut imposer un retour anticipé pour préserver la connectivité.
Une VM Linux, pas un serveur de filtrage
La version actuelle s’installe sur Debian 12 ou 13, ou Ubuntu Server 24.04 LTS, avec systemd, sur x86-64 ou ARM64. Une base recommandée : 2 cœurs CPU, 8 Go de RAM, 20 Go de disque libre et un port Ethernet 1 Gbit/s. Un petit Xeon ou une VM de capacité comparable convient comme point de départ ; le dimensionnement dépend du volume de mesures exportées.
Les formats pris en charge sont sFlow v5, NetFlow/NetStream v5 et v9, et IPFIX IPv4. Le guide précise les ports à ouvrir, le taux d’échantillonnage et les contraintes de fraîcheur des exports. Des mesures trop anciennes, ou comptées deux fois sur des interfaces différentes, ne permettent pas une détection fiable.
Les nouveaux préfixes suivent le réseau
Le collecteur découvre les /24 IPv4 publics que votre routeur lui annonce en BGP, à l’intérieur des plages autorisées pour votre service. Vous n’avez donc pas une liste de dix préfixes figée dans le logiciel. Les nouvelles allocations hors de ces plages doivent d’abord être autorisées ; les politiques de vos routeurs doivent elles aussi permettre leur protection.
Cette version travaille à l’échelle du /24 : elle ne découpe pas automatiquement une annonce plus large et ne pilote pas encore la bascule IPv6. La découverte d’un préfixe et la validation de son chemin de protection sont deux étapes distinctes.
Commencer par observer, puis activer
Dans l’espace client, ouvrez Services → Peeryx Flow Collector et choisissez le service réseau concerné. Le guide vous accompagne pour préparer Linux, télécharger l’installateur, associer le collecteur au service et configurer les exports du routeur. Cette rubrique apparaît pour les comptes disposant d’un service réseau éligible.
Le premier démarrage se fait en observation. Vous vérifiez les mesures, ajustez vos seuils et faites valider avec notre équipe l’annonce vers Peeryx, le retrait chez les autres opérateurs, la livraison du trafic nettoyé et le retour au routage normal. L’activation automatique vient après ces contrôles. Vous gardez ainsi un réglage lisible et un chemin de protection vérifié.
Le guide et vos réglages, au même endroit.
Ouvrir Peeryx Flow CollectorLogiciel gratuit · Service réseau requis pour la protection