Op deze pagina
Kernpunten
- PPS breekt eerstEen firewall of server kan onder 100Mpps uitvallen terwijl bandbreedte nog beschikbaar lijkt.
- Vroeg droppenHoe dichter bij de netwerkrand de drop gebeurt, hoe minder CPU, geheugen en queues de aanval verbruikt.
- Schoon leverenHet nuttige resultaat is een bereikbare dienst, niet alleen een mooi geblokkeerd-verkeerdiagram.
100 Mpps vereist een fysieke minimumbandbreedte
100 Mpps betekent 100 miljoen pakketten per seconde. Bij minimale Ethernet-frames van 64 bytes inclusief FCS komen 8 bytes preambule/startmarkering en 12 bytes tussenruimte. Het nominale budget op de verbinding is 100.000.000 × (64 + 20) × 8 = 67,2 Gbit/s.
Dit is een fysieke berekening, geen filteringbenchmark. Grotere frames vragen meer bandbreedte. IP-bytecounters, framecounters en opgetelde in-/uitgaande counters hanteren andere meetgrenzen. Leg die conventie vast vóór u resultaten vergelijkt.
Waarom dit belangrijk is voor omzet en beschikbaarheid
Wanneer een dienst onder hoge PPS uitvalt, ziet de gebruiker geen complexe aanval. Hij ziet een offline applicatie, onspeelbare gameserver, timeouts of overbelaste support.
Hoge PPS verhoogt ook het risico op false positives. Onder druk gebruiken teams vaak brede blokkades die het platform redden maar legitiem UDP, TCP-sessies of latencygevoelige flows beschadigen.
Wie beschermde IP-transit, Anti-DDoS dedicated servers of gamingbescherming verkoopt, moet laten zien dat echte packetratelimieten begrepen worden, niet alleen Tbps-marketing.
In de sectie “Waarom dit belangrijk is voor omzet en beschikbaarheid” focust deze gids over “Hoe u 100Mpps+ DDoS-verkeer beheert zonder uw infrastructuur te verzadigen” op latency om dit scenario te onderscheiden van andere DDoS-aanvallen.
Mogelijke oplossingen voor 100Mpps+
De eerste oplossing is upstream filtering: pakkettenruis verminderen voordat die de klantpoort of server raakt. Dat kan met FlowSpec, netwerk-ACLs, scrubbing of beschermde transit.
De tweede laag is snelle lokale filtering: XDP, eBPF, DPDK, VPP of gespecialiseerde appliances. Het hot path moet eenvoudig, meetbaar en zo stateless mogelijk blijven.
Daarna telt delivery. GRE, IPIP, VXLAN, cross-connect of router-VM moeten geschikt zijn voor de resterende schone traffic met voorspelbare latency.
In de sectie “Mogelijke oplossingen voor 100Mpps+” focust deze gids over “Hoe u 100Mpps+ DDoS-verkeer beheert zonder uw infrastructuur te verzadigen” op protocol om dit scenario te onderscheiden van andere DDoS-aanvallen.
- Upstream ontlasting
- PPS verminderen voordat de klant de flood ontvangt.
- Lokaal fast path
- State, dure logs en onnodige parsing vermijden.
- Schone handoff
- Nuttige traffic terugleveren via het juiste model.
Concreet voorbeeld: gamingdienst onder 120Mpps
Met dezelfde minimumframe-conventie neemt 120 Mpps 80,64 Gbit/s in. Een Ethernet-poort van 100 Gbit/s heeft voor die frames een theoretisch maximum van ongeveer 148,81 Mpps. Geen van beide cijfers bewijst hoeveel pakketten een bepaald softwarebeleid kan filteren of doorsturen.
Kwalificeer de volledige belasting: ontvangstqueues, CPU- en NUMA-plaatsing, actieve regels, aantal flows, tunnelverwerking, verlies en geslaagde legitieme transacties. Een passend geteste server kan voldoen; poortsnelheid of CPU-model alleen is onvoldoende bewijs.
Veelgemaakte fouten
De eerste fout is alleen in Gbps dimensioneren. De tweede is een stateful firewall de volledige eerste golf laten zien. De derde is denken dat een krachtige server slechte topologie compenseert.
Ook fout is mitigatiegrafieken verwarren met echte kwaliteit. Als schone traffic terugkomt met jitter of false positives, voldoet de bescherming niet aan de zakelijke behoefte.
- Alleen naar Gbps kijken en pakketten per seconde negeren.
- Een stateful firewall de eerste golf laten absorberen.
- Brede regels gebruiken die UDP of legitieme sessies breken.
- Latency en jitter na mitigatie vergeten.
Verder lezen
Deze bronnen verbinden 100Mpps+ met concrete aanbiedingen: transit, dedicated server en gaming reverse proxy.
In de sectie “Verder lezen” focust deze gids over “Hoe u 100Mpps+ DDoS-verkeer beheert zonder uw infrastructuur te verzadigen” op operatie om dit scenario te onderscheiden van andere DDoS-aanvallen.
Vragen en antwoorden
Past 100 Mpps door een Ethernet-poort van 10 Gbit/s?
Niet als 100 miljoen minimale Ethernet-frames per seconde in één richting. Met de genoemde 64-byte-conventie vereist dat 67,2 Gbit/s. Controleer of de getoonde snelheid meerdere interfaces of richtingen optelt.
Bewijst een poort van 100 Gbit/s filtering op 100 Mpps?
Nee. Het fysieke linkbudget en de gemeten capaciteit van de filterengine zijn verschillende grenzen. Test de werkelijke hardware, softwareversie en actieve regels.
Wat moet een benchmark vermelden?
Framegroottes, overheadconventie, richtingen, flowverdeling, regels, hardware- en softwareversies, duur, aangeboden belasting, verlies en resultaten voor legitiem verkeer. Voer belastingtests uit in een geïsoleerde opstelling met toestemming.
