Cookies nécessaires
Conditions de déploiement
Protection DDoS pour datacenters et colocation
Une architecture de datacenter doit relier la protection réseau à des interfaces réelles, aux routes des clients et aux dépendances communes. Vitesse de port, performance locale de filtrage et capacité amont demandent chacune un périmètre de recette.
Rendre explicites les limites physiques et opérationnelles
- La livraison ne se résume pas à la vitesse d’un port
- Type d’interface, optiques, VLAN, adresses, MTU, politique de routage et lieu déterminent si une livraison est utilisable. Disponibilité physique et frais de mise en place sont à étudier pour le site demandé ; un calculateur en ligne ne confirme pas un cross-connect.
- Une redondance peut masquer une dépendance commune
- Des adresses de tunnel ou noms de serveurs différents peuvent dépendre du même routeur, commutateur, circuit électrique ou amont. Documentez la panne à laquelle résister avant de considérer le second chemin comme une capacité indépendante.
- Plusieurs clients partagent la bordure protégée
- Les clients en colocation peuvent maîtriser leurs routeurs et annonces. Convenez des autorisations de préfixes, des responsabilités de politique et du point de restitution du trafic. Un compteur de mitigation sur un appareil ne démontre pas la disponibilité de chaque baie.
Concevoir ensemble la livraison et la capacité restante
Livraison protégée en amont et filtrage local peuvent être associés si le déploiement le permet. Dimensionnez le chemin restant après panne aussi soigneusement que le chemin normal, avec ses ports d’entrée et de sortie et sa réserve d’exploitation.
Confirmer le site et l’interface
Étudiez emplacement, accès, paramètres physiques et responsable du cross-connect ou du tunnel.
Qualifier le chemin de filtrage
Mesurez le matériel et la politique retenus avec une charge en paquets définie ; distinguez ce résultat de la vitesse d’interface.
Restituer le trafic au bon client
Validez routes autorisées, retour et application du client à la limite de responsabilité convenue.
Exemple de cheminement. Le devis et le procès-verbal de recette définissent le service livré.
Points à résoudre dans le dossier de livraison
- Quelle capacité reste après la panne prévue ?
- Tenez compte des interfaces appairées, des nœuds de secours, de la marge et du transport partagé. Un serveur de réserve n’ajoute pas de capacité active s’il doit rester disponible pour la reprise.
- Quel MTU s’applique à chaque chemin ?
- Utilisez le MTU livré pour le chemin complet. Une encapsulation supplémentaire ou un transport différent peut imposer des MTU distincts au tunnel principal et au secours.
- Qui peut modifier les routes et le filtrage ?
- Documentez autorisations, périmètre client, accès de retour arrière et escalade entre datacenter, opérateur de protection et client. La propriété d’un équipement ne suffit pas à déduire ces responsabilités.
Recetter la livraison complète, au-delà du lien actif
- Vérifiez interfaces réelles, VLAN, adresses et routes acceptées par rapport au dossier de livraison.
- Validez le trafic utile dans les deux sens, avec des tailles représentatives et le mode de protection prévu.
- Coordonnez la panne du composant convenu, observez convergence et reprise applicative, et relevez les limites non testées.
Questions sur ce déploiement
Un port 400 Gbit/s prouve-t-il un filtrage à 400 Gbit/s ?
Non. L’interface est une limite parmi d’autres. Le filtrage doit être qualifié avec le matériel, la répartition des paquets et les fonctions actives ; l’étiquette du port ne donne pas la performance du serveur.
Deux tunnels sur un routeur prouvent-ils une redondance de routeurs ?
Non. Ils peuvent fournir des chemins différents tout en partageant l’appareil. La qualification doit couvrir le domaine de panne auquel le service doit résister.