Un attacco non comincia con un ticket. Comincia con un grafico che sale, un collegamento che si riempie e clienti che chiamano. Chi gestisce una rete dispone spesso già delle misure. Manca invece il collegamento tra quei dati e la decisione di deviare il traffico verso una protezione esterna.
Peeryx Flow Collector crea questo collegamento. Installato nella vostra rete, legge le esportazioni del router, osserva il traffico diretto ai vostri /24 e può attivare la deviazione verso Peeryx secondo le regole scelte da voi. Il software è disponibile gratuitamente da oggi.
Per chi gestisce direttamente il routing
Il collector è pensato per operatori, hosting provider, datacenter e aziende che amministrano i propri annunci BGP e vogliono mantenere i normali operatori quando non c’è un attacco. È utile anche dove sFlow o NetStream sono già presenti, ma non collegati a un sistema di deviazione.
È facoltativo. Se il traffico passa già in modo permanente attraverso Peeryx, oppure il vostro rilevatore è già integrato, non serve installarlo. Il download è gratuito; servizio di rete e protezione Peeryx restano parte dell’offerta sottoscritta.
I vostri operatori ogni giorno. Peeryx quando le misure lo richiedono.
Le misure nella vostra rete. Il filtraggio in Peeryx.
Il router invia le misure al collector, che stima banda e pacchetti al secondo per prefisso. Il traffico dei clienti non lo attraversa: un attacco da decine di Gbit/s non passa quindi dalla porta Ethernet della VM.
Dopo un superamento confermato, il /24 viene annunciato tramite Peeryx. Si verificano annuncio e percorso di consegna del traffico pulito, poi si ritirano gli annunci concorrenti previsti dalle policy BGP. Al ripristino, gli operatori abituali vengono riannunciati prima del ritiro da Peeryx. La sequenza va validata sull’intera topologia, compresi altri router che originano lo stesso prefisso.
Soglie con una ragione precisa
Potete impostare TCP, UDP, ICMP, GRE, IPIP e Other in pacchetti al secondo o Gbit/s. Una regola L3 considera il traffico IPv4 totale di tutti i protocolli. Other comprende i protocolli esterni alle cinque categorie nominate. Sono disponibili anche impostazioni avanzate per i flag TCP.
Qualsiasi regola attiva può avviare la deviazione. Per un singolo prefisso, un’eccezione esclusiva sulla banda totale può sostituire le soglie generali. Preparate le impostazioni nel portale e applicate al collector il file esportato. Usate come riferimento il normale traffico di punta: un volume elevato, da solo, non prova un attacco.
La permanenza minima su Peeryx è configurabile da 20 minuti a 7 giorni dopo la conferma della deviazione completa. Un attacco persistente prolunga la protezione. Il ritorno richiede misure recenti che ne confermino la fine; un guasto del percorso di consegna o del monitoraggio può richiedere un ritorno anticipato per mantenere la connettività.
Una VM Linux, non un server di filtraggio
La versione attuale supporta Debian 12 o 13 e Ubuntu Server 24.04 LTS con systemd, su x86-64 o ARM64. Configurazione iniziale consigliata: 2 core, 8 GB di RAM, 20 GB liberi e una porta Ethernet da 1 Gbit/s. Un piccolo Xeon o una VM equivalente è un punto di partenza; il dimensionamento dipende dal volume delle esportazioni.
Sono supportati sFlow v5, NetFlow/NetStream v5 e v9 e IPFIX IPv4. La guida specifica porte, campionamento e requisiti di aggiornamento delle misure. Dati vecchi o conteggiati due volte su interfacce diverse rendono il rilevamento inaffidabile.
I nuovi prefissi seguono la rete
Il collector apprende via BGP i /24 IPv4 pubblici annunciati dal router all’interno degli intervalli autorizzati per il servizio. Non esiste una lista fissa di dieci prefissi. Nuove assegnazioni esterne richiedono prima l’autorizzazione, e anche le policy del router devono consentirne la protezione.
Questa versione opera per /24: non suddivide automaticamente annunci più ampi e non gestisce ancora la deviazione IPv6. Individuare un prefisso e validare il suo percorso di protezione sono due passaggi distinti.
Prima osservare, poi attivare
Nel portale clienti aprite Servizi → Peeryx Flow Collector e scegliete il servizio di rete. La guida accompagna nella preparazione di Linux, nell’installazione, nell’associazione al servizio e nella configurazione degli export. La sezione è visibile agli account con un servizio di rete idoneo.
Il collector parte in modalità osservazione. Verificate misure e soglie, poi validate con il nostro team l’annuncio a Peeryx, il ritiro dagli altri operatori, la consegna del traffico pulito e il ritorno al routing normale. L’automazione si attiva dopo queste verifiche.
Guida e impostazioni nello stesso posto.
Apri Peeryx Flow CollectorSoftware gratuito · Servizio di rete necessario per la protezione