Noodzakelijke cookies
Eisen voor de inrichting
DDoS-bescherming voor ISPs en netwerkoperators
Een toegangsnetwerk beschermen betekent gedeelde paden voor veel abonnees beschikbaar houden met voorspelbare routing en verbindingen. Begin bij de beheerde prefixes en de hulpbron die als eerste tekortschiet.
Drie belangrijke grenzen in een toegangsnetwerk
- Gedeelde verbindingen en verspreide doelen
- Een aanval op meerdere adressen kan een gedeelde uplink belasten zonder dat één bestemming de grafiek domineert. Observeer prefixes en upstreams naast losse adressen; een rustige bestemming bewijst geen vrije capaciteit op het gezamenlijke pad.
- Verbindingsstatus en gedeelde bronadressen
- CGNAT en stateful randapparatuur kunnen verbindingsdruk ervaren los van de bandbreedte. Veel legitieme gebruikers kunnen één publiek bronadres delen. Beoordeel daarom de werklast voordat u overal een lage limiet per bron instelt.
- Meer dan één eigenaar van de routes
- Eigen prefixes, klantaankondigingen en provideradressen kunnen verschillende autorisatie- en exportregels hebben. Leg beschermde scope, toegestane aankondigingen en verwachtingen rond de standaardroute vast voordat u een beschermingspad toevoegt.
Combineer upstreamlevering met uw eigen beheermiddelen
Beschermde Transit IP kan de netwerklaag leveren; geschikte lokale filtering kan daarachter een aparte functie vervullen. Ook een hybride ontwerp vraagt duidelijke verantwoordelijkheden voor omleiding, filtering en herstel.
Observeer de blootgestelde paden
Verzamel relevante routertelemetrie en interfacetellers met een bekend meetinterval en een bekende richting.
Lever beschermd verkeer
Toets de afgesproken tunnel of fysieke overdracht, routeselectie, MTU en resterende leveringscapaciteit.
Behoud de dienstverlening aan abonnees
Controleer retourverkeer en normale toepassingen met de gekozen lokale TCP- en statefulmodi.
Voorbeeld van een implementatievolgorde. De offerte en het acceptatieverslag bepalen de geleverde dienst.
Besluiten vóór een bestelling
- Wie mag de beschermde prefixes aankondigen?
- Leg ASN, prefixautorisatie, routefilters en toegestane verspreiding vast. Een actieve BGP-sessie bewijst niet dat de bedoelde routes worden geaccepteerd.
- Mag retourverkeer het lokale filter omzeilen?
- Dat hangt af van de gekozen beschermingsmodus. Controleer de echte routingeisen voordat u statefulfuncties inschakelt; meerdere peers bewijzen geen ondersteuning voor asymmetrische routing.
- Wat mag een omleiding activeren?
- Houd observatie, toestemming en uitvoering gescheiden. Peeryx Flow Collector werkt buiten het verkeerspad en gebruikt de gepubliceerde scope voor toegestane IPv4 /24-omleiding; het levert geen netwerkcapaciteit of inlinefiltering.
Toon aan dat de toegangsdienst de afgesproken wijziging doorstaat
- Leg vóór inschakeling normaal piekuurverkeer, geslaagde abonneeverbindingen en relevante statustellers vast.
- Controleer geaccepteerde routes, beide richtingen en kleine en grote overdrachten op elk geleverd pad.
- Coördineer de afgesproken pad- of apparaatstoring, meet herstel van de bruikbare dienst en wijs een verantwoordelijke voor terugdraaien aan.
Vragen over deze inrichting
Is de gedeelde netwerkcapaciteit gereserveerd voor mijn ISP?
Nee. Commit, leveringspoort, gedeelde upstreamcapaciteit en gemeten lokale filtercapaciteit zijn afzonderlijke grootheden. Het toepasselijke voorstel bepaalt uw geleverde dienst.
Kan een lokaal filter upstreambescherming vervangen op een verzadigde toegangsverbinding?
Het kan geen pakketten terughalen die verloren gingen voordat ze het filter bereikten. Plaats bescherming die een knelpunt moet ontlasten vóór dat knelpunt.
Technische bron : RFC 7454: BGP-beheer en beveiliging