Op deze pagina
Definitie van het probleem
Het probleem is meerdere transitproviders verwarren met volledige DDoS-mitigatie. Redundantie helpt beschikbaarheid, maar filtert een flood niet automatisch.
multi-upstream DDoS-bescherming dwingt om het volledige pad te bekijken: BGP announcement, gekozen upstream, echte poortcapaciteit, beschikbare filtering, clean traffic handoff en gedrag van de dienst.
Mogelijke oplossingen
De architectuur moet bepalen welke upstream traffic aantrekt, welke filtert, welke backup blijft en welke BGP communities tijdens incidenten worden gebruikt.
Ook de economische kant telt. Meerdere upstreams betekenen niet automatisch dat elke poort permanent maximaal gebruikt moet worden. Vaak is het verstandiger om een deel van de capaciteit als reserve voor aanvalspieken te houden, commits correct te dimensioneren en de technische beschermingsfuncties van elke carrier mee te nemen in de kostenanalyse. Een goedkope transit zonder bruikbare DDoS-tools kan tijdens een aanval duurder worden dan een iets duurdere aanbieder met snelle escalatie en precieze communities.
- Anycast DDoS-bescherming: wanneer het helpt en wanneer niet
Begrijp wanneer anycast helpt en wanneer niet.
Twee poorten van 100 Gbit/s: controleer elke ingang
Twee poorten van 100 Gbit/s leveren samen nominaal 200 Gbit/s inkomende capaciteit, zonder gegarandeerde gelijke verdeling. Een aanval van 120 Gbit/s kan op zichzelf niet beide poorten tegelijk tot 100 Gbit/s vullen. Wel kan één poort overbelast raken als bijvoorbeeld 110 Gbit/s het ene pad volgt en 10 Gbit/s het andere.
Normaal verkeer, pakketverwerkingslimieten en gedeelde infrastructuur voegen beperkingen toe. Meet elke poort en de pakketsnelheid. De vrije 90 Gbit/s op de tweede poort ontlast de eerste niet automatisch. BGP kiest volgens beleid, niet volgens de actuele belasting.
Local preference selecteert vooral uw uitgaande pad. Inkomend verkeer hangt af van welke aankondigingen externe netwerken accepteren en verkiezen en welke providercommunities worden ondersteund. Valideer prefixrechten, routeverspreiding en aflevering voordat u vertrouwt op een beschermd reservepad.
