Sur cette page
À retenir
- Répartition géographiqueAnycast attire les clients vers plusieurs PoP selon les décisions BGP.
- Pas un filtre magiqueIl répartit le trafic, mais ne distingue pas automatiquement attaque et légitime.
- Le retour propre compteAprès mitigation, le chemin vers le client doit rester stable et lisible.
Définition du problème
Anycast consiste à annoncer le même préfixe depuis plusieurs emplacements. BGP sélectionne ensuite un chemin selon la politique des réseaux intermédiaires, pas selon une notion parfaite de distance géographique. Deux utilisateurs proches peuvent donc arriver sur des PoP différents selon leurs opérateurs.
En DDoS, ce modèle aide à répartir une attaque volumétrique sur plusieurs points d’entrée. Le piège est de croire que la répartition suffit. Si chaque PoP n’a pas assez de capacité, si le filtrage est trop générique ou si la relivraison vers l’origine est mal pensée, l’attaque est seulement déplacée.
Pourquoi c’est important
Anycast est important parce qu’il change la surface d’absorption. Au lieu d’un seul port ou d’un seul scrubbing center, plusieurs sites peuvent encaisser une partie du volume. Cela réduit le risque qu’une attaque localisée coupe un service mondial.
Mais pour un hébergeur européen, un serveur de jeu ou une plateforme SaaS, l’expérience finale dépend aussi de la latence, de l’asymétrie et de la stabilité des routes. Un Anycast mal conçu peut créer des changements de PoP pendant une session, des chemins retour trop longs ou une relivraison qui devient le vrai goulot d’étranglement.
Les solutions possibles
La première approche est l’unicast protégé : un préfixe est annoncé depuis un point de mitigation principal, avec livraison propre par tunnel ou cross-connect. C’est simple et souvent suffisant pour des clients régionaux.
La seconde approche est l’Anycast complet : même préfixe annoncé depuis plusieurs PoP, mitigation locale et politiques BGP contrôlées. C’est pertinent pour des services distribués, des APIs mondiales ou des clients ayant une vraie base internationale.
La troisième approche est hybride : Anycast pour l’entrée et architecture de relivraison adaptée au client. Ce modèle évite de forcer tous les services dans le même design, notamment quand le retour vers un serveur unique doit rester prévisible.
- Unicast protégé
- Simple, lisible et souvent efficace pour un besoin régional.
- Anycast global
- Répartit le volume, mais exige capacité et politiques cohérentes.
- Hybride
- Combine entrée distribuée et relivraison propre vers l’origine.
| Modèle | Avantage | Limite |
|---|---|---|
| Unicast protégé | Très lisible | Moins distribué |
| Anycast | Répartit l’entrée | Nécessite plusieurs PoP solides |
| Hybride | Adapté au client | Demande plus de design |
Cas concret ou exemple d’usage
Un client SaaS européen veut protéger une API utilisée en France, Allemagne et Espagne. Anycast peut rapprocher les entrées et absorber une attaque distribuée. Si la plateforme est elle-même distribuée, le modèle est très cohérent.
À l’inverse, un serveur FiveM hébergé dans un seul datacenter peut avoir besoin d’une entrée protégée, mais pas forcément d’un Anycast mondial. Une relivraison propre depuis Marseille avec faible latence peut être plus pertinente qu’une annonce globale qui rend le chemin moins prévisible.
Erreurs fréquentes
La plupart des erreurs viennent d’une vision trop marketing de l’Anycast. Une carte avec plusieurs points lumineux ne prouve pas que le service sera mieux protégé.
- Croire qu’Anycast filtre automatiquement le trafic mauvais.
- Négliger la capacité et les règles de chaque PoP.
- Oublier la relivraison du trafic propre vers l’origine.
- Forcer du temps réel ou du gaming dans un modèle global instable.
- Ne pas tester les chemins depuis les principaux FAI clients.
FAQ
Anycast réduit-il toujours la latence ?
Non. Il peut rapprocher l’entrée, mais BGP ne choisit pas toujours le chemin géographique le plus court.
Anycast suffit-il contre un DDoS ?
Non. Il aide à absorber et répartir, mais il faut un vrai filtrage et une relivraison propre.
Est-ce adapté aux serveurs de jeu ?
Parfois, mais la stabilité de session et le chemin retour sont souvent plus importants que la présence mondiale.
Peut-on combiner Anycast et tunnels ?
Oui, si le design précise où le trafic entre, où il est nettoyé et comment il revient.
