Sur cette page
À retenir
- Une chaîne de livraison complèteLe trafic doit atteindre le filtrage, les échanges légitimes doivent traverser les règles, puis parvenir à l’application.
- Distinguer les capacitésConnectivité amont, traitement local des paquets et livraison après filtrage limitent des parties différentes du service.
- Choisir qui l’exploiteAcheter du transit protégé et licencier un logiciel sur votre matériel n’attribuent pas les mêmes responsabilités.
Le lieu de filtrage n’est qu’une partie du service
Un centre de nettoyage DDoS est une infrastructure vers laquelle le trafic est acheminé pour réduire les attaques avant sa livraison à une destination protégée. Il associe connectivité, traitement du trafic, politique de filtrage et chemin de sortie. La destination peut être un réseau client routé, une plateforme d’hébergement ou un service public individuel.
L’objectif est de maintenir les échanges légitimes utilisables tout en réduisant le trafic nuisible. Le « trafic propre » désigne le résultat recherché ; ce terme ne certifie pas que chaque paquet livré est inoffensif ou que l’application ne peut pas tomber pour une autre raison. Les protections réseau et applicatives doivent garder un partage des rôles explicite.
Ne confondez pas le lieu de filtrage et le service complet. Si le trafic ne l’atteint pas, si les règles éliminent des requêtes légitimes ou si la sortie est inutilisable, un serveur de filtrage sain ne démontre pas la disponibilité de l’application.
Filtrer avant la ressource que l’on cherche à soulager
Une attaque volumétrique peut saturer un lien avant que la machine cible reçoive les paquets. Les règles de l’hôte ou de l’application ne restituent alors pas la capacité déjà consommée en amont. Un chemin de filtrage distant aide uniquement si le trafic y est acheminé avant la ressource limitée.
D’autres incidents épuisent d’abord le traitement des paquets, les états de connexion ou une fonction applicative. Une grande bande passante amont ne règle pas automatiquement ces limites. L’architecture doit préciser les ressources protégées et le traitement du trafic restant à l’origine.
Séparer l’acheminement vers le filtrage et la livraison après filtrage
L’acheminement initial détermine où le trafic public entre dans la protection. La livraison détermine comment le trafic conservé atteint la destination réelle. Routage BGP, adressage protégé et proxy spécialisé participent à des architectures différentes ; ce ne sont pas des achats interchangeables. Un tunnel seul n’annonce pas un préfixe sur Internet.
Pour un réseau routé, confirmez les préfixes autorisés, la politique d’annonce, les familles d’adresses et le retour requis. Pour un service individuel, confirmez l’entrée publique, la joignabilité de l’origine, les ports et la compatibilité applicative. La livraison peut utiliser un tunnel, une liaison physique ou un autre mécanisme explicitement pris en charge.
Documentez ensemble le chemin principal et la reprise. Des MTU différents, des dépendances de transport communes ou une route statique inattendue peuvent affecter la bascule malgré deux sessions BGP saines. Testez l’architecture livrée avec une application de référence.
Choisir entre service fournisseur et filtrage exploité en interne
En transit protégé, le fournisseur fournit un service réseau défini et le client en intègre la livraison. Confirmez capacité, activation, périmètre de filtrage et support réellement inclus. La capacité globale du fournisseur n’est ni un port réservé au client ni un engagement illimité pour son trafic.
Avec un logiciel comme Defense Fabric, l’opérateur fournit les serveurs compatibles et une architecture réseau utilisable. La licence n’apporte pas les liens amont, les autorisations de routage, le déploiement physique ou les équipes nécessaires à un centre de nettoyage. Ce modèle convient aux équipes qui veulent contrôler leur matériel et peuvent assumer ces responsabilités.
Une architecture combinée peut placer le filtrage du fournisseur avant des contrôles locaux. Définissez la livraison et la charge résiduelle au lieu d’additionner les capacités commerciales. Compatibilité, exploitation et critères de recette comptent davantage que l’étiquette « hybride ».
Demander des preuves correspondant au service recherché
Comparez des offres ayant le même périmètre et les mêmes frontières de mesure. Une capacité réseau mutualisée, un benchmark d’équipement et un débit de port répondent à des questions différentes. Demandez quelles mesures existent, dans quelle configuration, et quels chiffres sont des limites contractuelles ou des hypothèses de dimensionnement.
| Question d’achat | Preuve à demander | Distinction attendue |
|---|---|---|
| Comment le trafic atteint-il le filtrage ? | Plan d’acheminement et de retrait autorisé | Routage normal, sous attaque et retour arrière |
| Que peut transporter le chemin ? | Limites d’entrée, de traitement des paquets et de sortie | Capacité mutualisée, réservée et mesurée |
| Que filtre le service ? | Protocoles pris en charge, périmètre des règles et tests légitimes | Protection réseau et contrôles propres à l’application |
| Comment le trafic est-il livré ? | Adressage, encapsulation, MTU et exigences de retour | Chemin principal, reprise et dépendances communes |
| Qui gère l’incident ? | Contacts, visibilité, autorité de changement et support convenu | État observé et engagements contractuels |
Adapter l’architecture à ce que vous contrôlez
Un FAI ou un hébergeur peut contrôler les annonces de préfixes et plusieurs livraisons réseau. Sa revue doit couvrir autorisations, clients en aval, répartition du trafic et domaines de panne. Le client d’un dédié chez un tiers ne contrôle parfois que sa machine et un endpoint de tunnel autorisé. Les règles de l’hébergeur et l’exposition directe de l’origine deviennent alors essentielles.
Un service de jeu ajoute ses exigences de protocole et de parcours joueur. Un filtre réseau général n’est pas automatiquement un proxy applicatif compatible. Identifiez l’édition, le point d’entrée public, le chemin vers les serveurs et les fonctions requises avant de choisir une offre spécialisée.
Ne pas acheter un chiffre de capacité sans son périmètre
- Distinguez capacité amont mutualisée, mesures du filtrage local et port de livraison client.
- Vérifiez la gestion des faux positifs et la reprise applicative, en plus du nombre de paquets bloqués.
- Ne supposez pas qu’une licence logicielle inclut transit, matériel compatible ou exploitation réseau.
- Une seconde session, un tableau de bord accessible ou un petit ping ne prouvent pas une bascule complète.
- Précisez qui peut modifier routage et règles, le comportement en panne et le rétablissement de l’état précédent.
Questions sur les services de nettoyage DDoS
Un centre de nettoyage garantit-il la disponibilité de l’application ?
Aucune garantie universelle ne découle de cette architecture. Capacité, routage, filtrage, livraison et application comptent tous. Consultez le périmètre réel et les engagements contractuels.
Peut-on construire un centre de nettoyage en achetant une licence ?
La licence peut fournir un composant. Il faut encore du matériel compatible, de la capacité réseau, du routage, une livraison, de la supervision, une équipe responsable et une recette.
Quelle est l’étape suivante après le choix du modèle ?
Documentez les chemins et responsabilités, confirmez les conditions de livraison et convenez des contrôles de recette. Le guide d’exploitation précise les observations utiles jusqu’à la reprise.
