ISP・ネットワーク事業者向け DDoS 対策

アクセス網で重要な三つの境界

共有回線と分散した攻撃対象

複数の加入者アドレスへの攻撃は、一つの宛先がグラフで目立たなくても共通アップリンクを圧迫します。アドレス単位だけでなくプレフィックスと上流でも観測してください。一つの宛先が静かでも、経路全体の余力は証明できません。

加入者の接続状態と共有送信元

CGNAT や状態を保持する境界機器では、帯域と別に接続数が問題になる場合があります。多数の正規利用者が一つの公開送信元アドレスを共有することもあります。送信元単位の制限は、一律に低い閾値を設定せず実際の負荷を確認します。

経路の管理者が複数存在する

自社プレフィックス、顧客の広告、プロバイダー割り当てアドレスには異なる許可やエクスポート規則が適用されます。保護経路を追加する前に、対象範囲、受け入れる広告、デフォルトルートの想定を定義してください。

上流での提供と自社の制御を組み合わせる

保護付き Transit IP がネットワーク層を担い、その後段で互換性のあるローカルフィルターが別の役割を担う構成が可能です。併用時も迂回、フィルター、復旧の責任を明確にします。

1. 1

   外部に公開された経路を観測

   関連するルーターのテレメトリとインターフェースカウンターを、サンプリング間隔と方向を明記して収集します。

2. 2

   保護したトラフィックを提供

   合意したトンネルまたは物理引き渡し、経路選択、MTU、残りの提供容量を確認します。

3. 3

   加入者のサービスを維持

   選択したローカル TCP モードと状態保持モードで、戻りトラフィックと通常の加入者アプリケーションを確認します。

導入手順の一例です。実際のサービスは見積書と受入記録で定義します。

注文前に決めること

保護対象のプレフィックスを広告できるのは誰ですか？

ASN、プレフィックスの権限、経路フィルター、許可する伝播範囲を文書化します。BGP セッションが確立していても、目的の経路が受理された証拠にはなりません。

戻りトラフィックはローカルフィルターを迂回できますか？

選択した保護モードによります。状態保持機能を有効にする前に実際の経路要件を検証してください。ピアが複数あるだけでは非対称経路への対応は判断できません。

何が迂回を開始できますか？

観測、許可、実行を区別します。Peeryx Flow Collector は通信経路の外で動作し、公開された許可済み IPv4 /24 の迂回範囲を使用します。ネットワーク容量やインラインフィルタリングは提供しません。

合意した変更後もアクセスサービスが使えることを確認

• 保護を有効にする前に、通常の繁忙時間帯のトラフィック、成功した加入者接続、関連する状態カウンターを記録します。
• 各提供経路で受理された経路、双方向の通信、小規模・大規模の転送を確認します。
• 選定した経路または機器の障害試験を調整し、実サービスの復旧を記録して、切り戻し責任者を決めます。

この導入に関する質問