Anti-DDoS-technologie voor productienetwerken

Peeryx Network plaatst filterservers aan de netwerkingang, op points of presence die verkeer ontvangen voordat het de beschermde infrastructuur bereikt. Het verkeer gaat door de mitigatielaag in bridge-modus, zodat filtering mogelijk is zonder zware applicatielogica of onnodige complexiteit aan klantzijde.

Dit model beschermt verschillende use-cases: beschermde IP-transit, BGP-prefixes, GRE/IPIP/VXLAN-tunnels, gaming reverse proxy, dedicated servers en gevoelige infrastructuur.

Peeryx gebruikt pakketverwerking op basis van DPDK in zijn mitigatiearchitectuur. De prestaties hangen af van de ingezette software, actieve regels, pakketgroottes en verdeling van het verkeer.

CPU, netwerkkaart, PCIe-bandbreedte, NUMA-plaatsing en ontvangstqueues begrenzen de doorvoer. Een poortsnelheid of aantal CPU-cores bewijst geen filtercapaciteit per server. Test Gbit/s en Mpps samen met representatieve pakketten, legitiem verkeer, ingeschakelde functies en een expliciete grens voor pakketverlies. Historische netwerktelemetrie is geen reproduceerbare benchmark van één server.

Te generieke Anti-DDoS-filtering kan spelers blokkeren, realtime applicaties breken of bedrijfsprotocollen verstoren. Peeryx gebruikt gedragsanalyse: gebruikte poorten, protocollen, normale volumes, pakketgroottes, bestemmingen en normale variaties van de dienst.

Wanneer een aanval start, vergelijkt de mitigatie inkomend verkeer met het verwachte gedrag. Regels worden aangepast om genoeg van de aanval te blokkeren terwijl nuttig verkeer behouden blijft, zelfs wanneer de aanvaller legitiem verkeer deels probeert na te bootsen.

Peeryx combineert upstream-transit met lokale filtering. Weerbaarheid hangt af van onafhankelijke, werkende paden en de resterende capaciteit na een storing. Geplande locaties zijn nog geen beschikbare capaciteit.

De genoemde 15 Tbps+ betreft capaciteit via upstream-providers. Dit is gedeelde netwerkcapaciteit, geen gereserveerde klantcapaciteit of meting van eigen lokale filtering. De klantpoort, oplevering van schoon verkeer en het mitigatiebeleid van de upstream blijven grenzen stellen.

Wanneer een aanval wordt gedetecteerd, kan Peeryx automatisch BGP FlowSpec-regels genereren die zich richten op geobserveerde kenmerken: protocol, poorten, TCP-flags, pakketlengtes of getroffen bestemmingen.

Een FlowSpec-instructie werkt alleen als de provider deze accepteert en de doorstuurapparatuur een ondersteunde actie installeert. Controleer welke legitieme pakketten overeenkomen, observeer het effect en leg vast wanneer de regel wordt ingetrokken. Een opgebouwde BGP-sessie bewijst op zichzelf geen actieve filtering.

Marseille is de locatie die momenteel als operationeel staat vermeld. Bevestig het opleverpunt en de beschikbare verbindingen voor uw dienst vóór de uitrol.

Latency hangt af van de werkelijke heen- en terugweg, peering en congestie. Meet vanuit de netwerken van uw gebruikers en vanaf de origin, zowel normaal als tijdens mitigatie. Geografische nabijheid alleen geeft geen latencygarantie.

De openbare reverse-proxy-aanbiedingen dekken FiveM en Minecraft Java. Ondersteunde versies, aflevering aan de origin, open poorten en eventuele beheer- of webeindpunten moeten worden gecontroleerd voor de gekozen dienst.

Netwerkfiltering en protocolspecifieke modules hebben elk hun eigen bereik. Andere spellen of toepassingen vereisen een compatibiliteitsbeoordeling. Een module in de filtercatalogus is niet automatisch in elk aanbod opgenomen of ingeschakeld. Daaruit volgt geen algemene L7-filtering of universele bescherming tegen bots.

Na automatische mitigatie kan Peeryx een post-filtering firewalllaag toepassen. Deze kan ongebruikte poorten blokkeren, specifieke flows beperken, administratiediensten beschermen of regels aanpassen aan een exacte infrastructuur.

Deze laag versterkt beveiliging zonder mitigatie te vervangen: ze werkt nadat het verkeer al door de Anti-DDoS-bescherming is gereinigd.

De beste Anti-DDoS-bescherming is de bescherming die eindgebruikers niet merken. Peeryx wil lage latency, minder false positives, netwerkstabiliteit en servicecontinuïteit behouden, ook tijdens aanvallen.

De technologie analyseert, past aan en beschermt in realtime. Het is niet alleen een capaciteitsbelofte; het is ontworpen om verkeer te leveren dat echt bruikbaar is.