Op deze pagina
Kernpunten
- Blackhole beschermt capaciteitAl het verkeer naar een bestemming verdwijnt.
- FlowSpec is selectiefFiltering op protocol, poorten, lengte, flags of fragmenten.
- Automatisering vraagt grenzenRegels hebben drempel, vervaltijd en rollback nodig.
Het probleem definiëren
RTBH kondigt een speciale route aan om verkeer naar een IP of prefix te verwerpen. Het is simpel en breed ondersteund, maar de dienst is offline.
FlowSpec vervoert filterregels via BGP. Die precisie is krachtig, maar een te brede regel kan echte gebruikers stil blokkeren.
Het operationele verschil zie je bij saturatie. Blackhole verandert bereikbaarheid van een bestemming; FlowSpec verandert pakketbehandeling in de routing-infrastructuur. Daarom heeft elke FlowSpec-regel vertrouwen nodig: stabiele velden, normaal gebruikersgedrag en een actie die snel teruggedraaid kan worden.
Om blackhole en FlowSpec te beoordelen moet je drie lagen scheiden: het BGP-signaal, het echte verkeer en de gebruikerservaring.
Waarom dit belangrijk is
Een verkeerde keuze kan duurder zijn dan de aanval. Blackhole voorkomt saturatie maar veroorzaakt uitval. Een slechte FlowSpec-regel kan grafieken goed laten lijken terwijl gebruikers falen.
Bij protected transit betaalt de klant voor bereikbaarheid. Beslissingen moeten gebaseerd zijn op pps, Gbps, poorten, pakketprofiel en stabiliteit van de signature.
Een runbook moet bepalen wie upstream regels mag propageren. Een lokale drop is snel getest; upstream FlowSpec raakt een groter domein. Voor netwerken met klantverkeer horen goedkeuring, logging en vervaltijd bij het product.
Mogelijke oplossingen
Handmatige RTBH is de noodrem als een bestemming andere klanten bedreigt.
Handmatige FlowSpec werkt voor stabiele aanvallen met duidelijke kenmerken, maar is traag.
Een volwassen model gebruikt gecontroleerde automatisering met drempels, korte regels, vervaltijd, monitoring en blackhole alleen als laatste redmiddel.
Soms is rate-limit veiliger dan discard. Als aanval en legitiem verkeer overlappen, verlaagt een tijdelijke policer de druk terwijl captures en metrics een strengere regel bevestigen.
- RTBH
- Snel, maar het doel wordt opgeofferd.
- Precieze FlowSpec
- Werkt als meerdere velden de aanval beschrijven.
- Hybride pipeline
- FlowSpec verlaagt volume; gespecialiseerde mitigatie beschermt de dienst.
| Criterium | BGP Blackhole | BGP FlowSpec |
|---|---|---|
| Impact | Bestemming offline | Gericht filter als precies |
| Complexiteit | Laag | Middel tot hoog |
| Ideaal gebruik | Laatste redmiddel | Aanvalsvolume verlagen |
Concreet voorbeeld
Een gameserver ontvangt 80 Gbps UDP. Blackhole stopt saturatie maar disconnect iedereen.
Een betere regel combineert pakketlengte, bronpoorten, pps/Gbps-ratio en fragmenten, zodat aanval verdwijnt en echte clients blijven.
Hetzelfde geldt voor TCP-floods. Een regel op flags helpt bij abnormale SYN- of ACK-patronen, maar moet naast normaal verbindingsgedrag worden gelegd.
Veelgemaakte fouten
Fouten ontstaan vaak door snel te handelen zonder bewijs.
Een andere fout is klantcommunicatie vergeten. Bij blackhole moet de klant weten dat bereikbaarheid bewust wordt opgeofferd; bij FlowSpec dat de regel tijdelijk en bewaakt is.
- FlowSpec behandelen als applicatiefirewall.
- Regels actief laten na de aanval.
- Filteren op één veld.
- Een heel prefix blackholen voor één IP.
- Legitiem verkeer niet meten voor en na de regel.
FAQ
Vervangt FlowSpec DDoS-bescherming?
Nee, het reduceert alleen bepaalde patronen upstream.
Is blackhole nog nuttig?
Ja, als laatste redmiddel.
Is het veilig voor UDP-games?
Ja, met gecombineerde criteria en monitoring.
Hoe lang leeft een regel?
Zo kort mogelijk, vaak minuten.
