Op deze pagina
Kernpunten
- Teken beide verkeersrichtingenBinnenkomst, gefilterde aflevering en applicatieretour kunnen verschillende beperkingen hebben.
- Scheid observatie van filteringEen flowcollector meet verkeer; een andere component moet beslissingen daadwerkelijk op pakketten toepassen.
- Neem onderhoud en storingen meeEen tweede node helpt alleen als routing, capaciteit en procedures het bedoelde reservepad ondersteunen.
Begin bij het pad dat verkeer werkelijk volgt
Een bruikbaar DDoS-ontwerp begint met beschermde bestemmingen, hun upstreampaden en het eerste onderdeel dat kan vollopen. Teken het normale inkomende pad, het mitigatiepad en de retourroute. Markeer elke beperkte overdracht en wie elk prefix mag aankondigen, omleiden of intrekken.
Het ontwerp moet uitleggen wat er met een legitiem verzoek gebeurt tot en met het antwoord. Een schema dat eindigt bij een scrubbingcloud mist de ontvangende verbinding, tunnel, firewall en server die het restverkeer nog moeten verwerken.
Houd vier verantwoordelijkheden uit elkaar
Deze functies kunnen in één product zitten, maar vragen afzonderlijk bewijs. Een route in BGP toont op zichzelf niet aan dat een filter de bedoelde regel uitvoert. Flowtelemetrie ontvangen betekent niet dat de collector in het pakketpad staat.
| Functie | Uitvoer of handeling | Acceptatiebewijs |
|---|---|---|
| Observeren en detecteren | Steekproeven, tellers, meldingen of een mogelijk incident. | Bekend meetpunt, sampling, vertraging en gedrag bij ontbrekende gegevens. |
| Beslissen en sturen | Een geautoriseerde route- of beleidswijziging. | Bereik, validatie, convergentie en intrekkingsprocedure. |
| Inspecteren en filteren | Pakketten doorsturen, droppen of ondersteund begrenzen. | Geïnstalleerd beleid, beslistellers en een werkende legitieme dienst. |
| Afleveren en bedienen | Gefilterd verkeer bereikt de applicatie en antwoorden komen terug. | Capaciteit, MTU, routing, latentie en applicatiecontroles. |
Kies de plaats op basis van de echte beperking
Upstreammitigatie is relevant als aangeboden verkeer de klanttoegang kan uitputten. Lokale filtering past bij beheerders met voldoende inkomende capaciteit die pakketbeslissingen op eigen hardware willen beheren. Een hybride ontwerp kan beide combineren, maar introduceert extra interacties tussen beleid en storingen waarvoor iemand verantwoordelijk moet zijn.
Een applicatieproxy kan passen bij een ondersteund protocol en aflevermodel. Die is niet uitwisselbaar met bescherming voor een willekeurig gerouteerd prefix. Een HTTP-controle dekt evenmin elke UDP- of TCP-dienst. Benoem applicaties en adresfamilies in plaats van Layer 7 als universele functie te behandelen.
Permanente bescherming en bescherming op aanvraag vragen andere tests
Bij permanente bescherming gebruikt normaal verkeer voortdurend het beschermde pad. Valideer dagelijkse latentie, retourrouting, onderhoud en capaciteit. Meet bij bescherming op aanvraag ook detectie-, beslis- en routewisseltijden. De overgang kan sessies raken, ook wanneer het uiteindelijke pad werkt.
Gebruik hysterese en een expliciete herstelprocedure om herhaald activeren en intrekken rond een drempel te voorkomen. Ontbrekende of verouderde telemetrie vraagt een vastgelegde reactie. Beheer moet weten of de huidige route blijft, wordt ingetrokken of ingrijpen vereist. Controllers gedragen zich niet vanzelf hetzelfde.
Peeryx Flow Collector observeert buiten het pakketpad en coördineert omleidingen; het is geen inline pakketfilter. Automatische omleiding is beperkt tot geautoriseerde IPv4-/24-prefixen. Geschiktheid, routingrechten en de beschermde dienst moeten apart worden gecontroleerd. Dit impliceert geen automatische IPv6-omleiding.
Voorbeeld: upstreamreductie met lokaal toegangsbeleid
Stel dat een beheerder een ontvangende overdracht van 10 Gbit/s heeft met applicaties achter een lokale firewall. Als het inkomende verkeer die overdracht overschrijdt, verplaatst een krachtiger filter erachter het verliespunt niet. Een upstreambeschermingspad kan deze beperking aanpakken terwijl lokaal toegangsbeleid behouden blijft.
Leg bij GRE-aflevering het buitenste pad, de effectieve interne MTU en retourroutes vast. Test applicatietransfers die groot genoeg zijn om MTU-problemen te tonen; een kleine ping volstaat niet. Stateful controles kunnen in beide richtingen een passend statuspad vereisen. Dit is een ontwerpvoorbeeld, geen belofte van onderbrekingsvrije omleiding.
Maak de overdracht toetsbaar
Bewijs bevoegdheid en bereikbaarheid
Bevestig prefixeigendom of toestemming, geaccepteerde aankondigingen, volgende hops en alle vereiste adresfamilies. Controleer normaal en beschermd pad vanuit onafhankelijke meetpunten.
Kwalificeer capaciteit tijdens uitval
Meet de verkeersmix met de bedoelde functies actief. Neem ongelijke verdeling, ontvangende verbindingen en uitval van de bedoelde node of uplink mee.
Test de applicatie
Test nieuwe en bestaande sessies, relevante protocollen, MTU-gevoelige transfers en retourverkeer. Observeer legitiem succes naast mitigatietellers.
Oefen herstel
Test de afgesproken proces-, verbindings- of node-uitval geïsoleerd of tijdens overeengekomen onderhoud. Noteer convergentie, sessie-impact, terugdraaien en beheerstoegang.
Het label backup is geen bewijs van failover
- Twee tunnels op dezelfde fysieke router bieden geen onafhankelijkheid bij uitval van die router.
- Een gevestigde backup-BGP-sessie bewijst niet dat bruikbare routes en juiste forwarding worden gekozen wanneer de primaire weg verdwijnt.
- Een bypass kan bereikbaarheid behouden terwijl verkeer het filter omzeilt; controleer de resulterende bescherming.
- Twee even snelle verbindingen garanderen geen gelijke verdeling of dubbele capaciteit voor één flow.
- Failover die voor stateless pakketten werkt, kan sessies met gedeelde status toch onderbreken.
Bewaar een beknopt beheerdossier
Het opleverdossier hoort topologie, beschermd bereik, capaciteitsaannames, acceptatieresultaten, alarmeigenaren en terugdraaiprocedure te bevatten. Scheid verwacht gedrag van waarnemingen. Herhaal relevante tests na wijzigingen in routing, software of fysiek pad.
Vragen en antwoorden
Filtert een collector het verkeer dat hij toont?
Niet noodzakelijk. Flowtelemetrie kan naar een waarnemer buiten het forwardingpad worden geëxporteerd. Identificeer de afzonderlijke component die pakketten werkelijk inspecteert of dropt.
Garandeert een tweede tunnel routerredundantie?
Nee. Controleer fysieke hosts, onderliggende paden, gekozen routes en de geteste storing. Twee tunnels kunnen hetzelfde uitvalpunt delen.
Valideert een geslaagde ping het hele ontwerp?
Nee. Die bevestigt slechts een beperkte bereikbaarheidstest. Valideer relevante pakketgroottes, applicaties, belasting, retourpaden en de bedoelde storingsprocedure.
