Cookies nécessaires
Architecture et choix d’une solution
Defense Fabric ou FastNetMon Advanced : le comparatif
FastNetMon Advanced sert à la télémétrie et à l’automatisation des actions réseau. Sa documentation décrit aussi FastACL, un plugin VPP de filtrage en ligne. Le comparatif doit donc préciser les composants réellement déployés.
Dans quels cas retenir chaque approche
Defense Fabric propose un parcours de filtrage local et de gestion des politiques, avec inscription des serveurs, pool de ports sous licence et portail Peeryx. La version installée et le chemin réseau doivent être qualifiés.
FastNetMon Advanced peut automatiser des routeurs ou des services de nettoyage existants. Pour le filtrage en ligne, étudiez FastACL séparément : un abonnement de collecte ne permet pas d’en déduire la disponibilité, le support ni le prix.
Comparaison technique et commerciale
Déploiement et chemin du trafic
| Critère | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| Périmètre du produit | Détection locale, filtrage des paquets et gestion des politiques sur vos serveurs. [1] |
Advanced détecte et automatise les actions réseau ; FastACL est un composant de filtrage VPP documenté. [4] [5] |
| Appliance ou logiciel | Logiciel Linux sous licence ; le serveur et le réseau sont fournis par l’opérateur. [1] |
Logiciel sur l’infrastructure de l’opérateur ; distinguer le collecteur, l’expérimentation XDP et FastACL. [4] [6] [5] |
| Matériel utilisé | Serveurs standards compatibles et cartes réseau qualifiées ; TPM 2.0 requis. [1] |
Serveurs standards ou VM pour la collecte ; cartes et moteur en ligne à qualifier séparément. [4] [5] |
| Installation sur site | Installateur distribué : Debian 12, x86-64, VPP 25.10-release. [1] |
Collecteur local ; FastACL fonctionne en ligne dans VPP. [4] [5] |
| Filtrage en ligne | Acheminement en ligne pris en charge ; le contournement matériel doit être prévu séparément. [1] |
FastACL gère le filtrage en pont et en mode routé. La fonction XDP sur hôte, distincte, est expérimentale. [5] [6] |
| Déviation du trafic | Déviation BGP vers un prochain saut de filtrage validé, avec un retour propre distinct. [1] |
Advanced automatise la déviation BGP vers une destination de filtrage externe. [7] |
Détection et protection
| Critère | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| NetFlow / sFlow / IPFIX | Collecte sFlow, NetFlow et IPFIX ; échantillonnage et délai d’export à valider. [1] |
Entrées sFlow, NetFlow, IPFIX et copies de paquets documentées. [4] |
| Inspection des paquets | Filtrage local fondé sur VPP ; les captures échantillonnées ne représentent pas toute l’attaque. [1] |
Analyse des paquets copiés et application en ligne distincte ; moteur déployé à préciser. [4] [5] |
| Filtrage L3/L4 | Seuils par protocole, validation TCP, quotas par source et pare-feu après filtrage. [1] |
Règles FlowSpec appliquées par les routeurs ou le composant en ligne retenu. [7] [5] |
| Périmètre applicatif | Les modules par protocole nécessitent une qualification ; aucune couverture WAF ou L7 universelle n’est annoncée. [1] |
Le générateur FlowSpec documenté analyse L3/L4, pas la charge utile applicative. [7] |
| Signatures d’attaque générées | Les signatures adaptatives peuvent être observées ou appliquées ; vérifiez leurs effets sur le trafic légitime. [1] |
Les échantillons de trafic servent à générer statistiquement des règles d’attaque. [7] |
| BGP FlowSpec | Simulation et export actif ; routeur et famille BGP compatibles requis ; limite de 50 règles dans le panel. [1] |
Advanced génère du BGP FlowSpec ; FastACL applique des critères de type FlowSpec IPv4 et IPv6. [7] [5] |
| Pilotage par BGP | Sessions et déviation gérées par l’agent ; installation et retrait dans la FIB à vérifier. [1] |
Actions BGP et déviation vers le filtrage ; prochains sauts installés et retrait à valider. [7] |
| Blackholing RTBH | Blackholing de destination en dernier recours ; le trafic légitime est également supprimé. [1] |
Annonces BGP automatiques de blackhole prises en charge. [7] |
| Protection propre aux jeux | Module Game en option ; chaque protocole et architecture doivent être qualifiés avant commande. [3] |
Trafic de jeu à qualifier séparément ; la détection L3/L4 ne garantit pas la validation des sessions de jeu. [7] |
Exploitation et continuité
| Critère | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| Rapports et éléments d’analyse | Historique du panel et éléments PCAP, ZIP et PDF disponibles ; échantillonnage et durée de conservation s’appliquent. [1] |
Métriques et historique d’attaques ; LiveView est une interface web payante en option. [4] [8] |
| API et interfaces d’automatisation | OpenAPI authentifiée publiée ; une modification versionnée reste en attente jusqu’à son application par le nœud. [2] |
API Advanced et callbacks documentés ; FastACL possède une référence CLI VPP. [9] [5] |
| Haute disponibilité | La bascule réseau doit être conçue ; un second serveur n’implique pas une réplication automatique des états. [1] |
Déploiement haute disponibilité documenté ; les instances supplémentaires doivent être couvertes par la licence. [10] [8] |
| Plusieurs serveurs ou sites | Pool de ports partagé entre 128 serveurs gérés au maximum ; second lien ECMP à qualifier. [1] |
Plusieurs collecteurs et sites possibles ; nombre d’instances et périmètre de licence agrégé à respecter. [8] |
| Fonctionnement automatique | Modes observation, automatique et permanent ; durée de maintien et seuil de sortie pilotent la reprise. [1] |
Actions selon les seuils et retour à la normale ; réponse déterminée par la configuration. [7] |
Licences, coûts et validation
| Critère | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| Unité de licence | Licence de base avec un port 10G ; les ports supplémentaires forment un pool partagé entre les serveurs. [3] |
Advanced se base sur le trafic observé et le nombre d’instances ; conditions commerciales de FastACL à confirmer séparément. [8] [5] |
| Conditions d’essai | Essai de 14 jours ; ajouter un serveur ne le relance pas. Les limites physiques et d’activation restent applicables. [1] |
Essai Advanced d’un mois ; inclusion du périmètre de filtrage en ligne à confirmer. [8] |
| Base tarifaire publique | 350,00 € par mois HT ; serveur, réseau et modules optionnels séparés. [3] |
Advanced à partir de 115 $/mois pour 10G observés et une instance, plus 85 $ de frais uniques d’activation pour un abonnement mensuel. [8] |
| Périmètre du support | Support technique Peeryx ; responsabilités de déploiement et délais contractuels à confirmer. [3] |
Nombre de tickets selon l’offre ; conditions entreprise et support du composant en ligne à confirmer. [8] |
| Contraintes de déploiement | TPM, cartes compatibles, HTTPS de gestion et routage testé ; SYN proxy exige un chemin symétrique. [1] |
La licence actuelle utilise la moyenne cumulée entrante et sortante du réseau, pas le P95 ni le débit de filtrage. [8] |
| Preuves de performance | Aucun benchmark reproductible publié pour les serveurs de référence ; mesurez votre propre charge. [1] |
Bande passante observée et débit de filtrage en ligne sont différents ; aucun benchmark commun réalisé. [8] [5] |
| Saturation en amont | Le filtrage local ne désature pas un lien déjà saturé en amont ; le transit est un service distinct. [1] |
L’application sur un routeur amont ou un contrat de filtrage externe reste nécessaire contre la saturation du lien. [4] |
Les prix conservent la devise et la période de facturation publiées. Bande passante observée, ports sous licence et capacité de filtrage sont des grandeurs différentes : ces montants ne constituent pas des devis équivalents. Matériel, taxes et options peuvent s’ajouter.
Points à vérifier avant de choisir
- FastACL prend en charge les modes pont et routé de VPP. L’ancien filtre XDP expérimental sur hôte a d’autres limites : ce sont deux implémentations différentes.
- Le tarif Advanced utilise le trafic réseau observé et le nombre d’instances. Ces quantités ne représentent pas une capacité garantie de nettoyage.
- Incluez les utilisateurs LiveView, instances supplémentaires, frais d’activation et conditions du composant en ligne avant de comparer les totaux.
Demander à chaque fournisseur les mêmes essais
- Notez les versions, le matériel, les tailles de paquets, les règles et le trafic légitime. Comparez le chemin complet, pas seulement la vitesse des ports.
- Testez les connexions nouvelles et déjà établies pendant la mitigation. Mesurez les pertes et la latence applicative, en plus du débit d’attaque.
- Testez séparément la perte de télémétrie, de BGP ou d’un nœud, le retrait des routes et la reprise. Consignez l’effet sur le trafic client.
- Chiffrez l’ensemble : instances, ports, modules, support, matériel, hébergement, alimentation et services réseau.
Méthode de comparaison
Comparatif rédigé par Peeryx à partir de la documentation publique des éditeurs, citée ci-dessous, et de la version distribuée de Defense Fabric. Il décrit le périmètre des produits ; aucun test de performance commun n’a été réalisé. Les points non confirmés sont à vérifier pour la configuration proposée et ne signifient pas qu’une fonction est absente. Les sources externes sont généralement en anglais.
Sources consultées:
Sources et périmètre
- Documentation de déploiement ↗
- Defense Fabric public OpenAPI ↗
- Defense Fabric et ses tarifs ↗
- FastNetMon Advanced overview ↗
- FastACL operator reference ↗
- FastNetMon experimental XDP filter ↗
- FastNetMon BGP mitigation modes ↗
- FastNetMon pricing and licensing basis ↗
- FastNetMon Advanced API ↗
- FastNetMon HA deployment ↗
Valider Defense Fabric sur votre réseau
Préparez les modèles de serveurs, les vitesses d’interface, la topologie et le profil du trafic habituel. L’essai sert à vérifier le comportement et la capacité de la configuration que vous comptez réellement déployer.