データセンター・コロケーション向け DDoS 対策

物理面と運用面の境界を明確にする

引き渡しはポート速度だけでは決まらない

インターフェース種別、光モジュール、VLAN、アドレス、MTU、経路ポリシー、場所が実用性を左右します。物理提供の可否と初期費用は拠点ごとの確認が必要で、オンライン計算ではクロスコネクトを確定できません。

冗長構成に隠れた共通依存がある場合

異なるトンネルアドレスやサーバー名でも、一台のルーター、スイッチ、電源、上流に依存する場合があります。第二経路を独立と数える前に、耐えるべき障害範囲を記録してください。

複数テナントが保護された境界を共有

コロケーション顧客は自社ルーターと広告を制御する場合があります。プレフィックス権限、ポリシー責任、通信の引き渡し点を合意します。一台の緩和カウンターは、全ラックのサービス稼働を証明しません。

引き渡しと障害後の容量を一緒に設計

互換性があれば、上流の保護付き提供とローカルフィルターを組み合わせられます。残存経路も通常経路と同様に、入出力ポートと運用上の予備を含めて慎重に設計します。

1. 1

   拠点とインターフェースを確認

   場所、接続方法、物理仕様、クロスコネクトまたはトンネルの提供者を確認します。

2. 2

   フィルター経路を検証

   パケット負荷を明示し、選択したハードウェアとポリシーを測定します。インターフェース速度と測定結果は別に扱います。

3. 3

   正しいテナントへ引き渡す

   合意した責任境界で許可経路、戻り通信、テナントアプリケーションを検証します。

導入手順の一例です。実際のサービスは見積書と受入記録で定義します。

提供記録で解決しておく項目

想定した障害後にどれだけ容量が残りますか？

対になるインターフェース、予備ノード、余力、共有伝送を考慮します。復旧用に待機する必要があるサーバーは、追加の稼働容量ではありません。

各経路に適用する MTU は何ですか？

その経路全体に指定された値を使います。追加カプセル化や異なる下位ネットワークにより、主系と予備トンネルの MTU が異なる場合があります。

誰が経路とフィルターポリシーを変更できますか？

データセンター、保護運用者、テナント間で、承認、顧客範囲、切り戻しアクセス、エスカレーション担当を文書化します。機器所有者だけから責任を判断しないでください。

リンクアップだけでなく提供全体を受け入れる

• 実際のインターフェース、VLAN、アドレス、受理経路を提供文書と照合します。
• 代表的なパケットサイズと予定の保護モードで、双方向の実通信を検証します。
• 合意した部品障害を調整し、経路収束とアプリケーション復旧を観測して、未試験の限界を記録します。

この導入に関する質問