Gerekli çerezler
Kurulum gereksinimleri
ISS ve ağ operatörleri için DDoS koruması
Erişim ağını korumak, çok sayıda abonenin kullandığı ortak yolları açık tutarken yönlendirme sorumluluklarını ve bağlantı davranışını öngörülebilir kılmayı gerektirir. İşlettiğiniz öneklerden ve ilk tükenen kaynaktan başlayın.
Erişim ağında üç önemli sınır
- Ortak bağlantılar ve dağıtılmış hedefler
- Birden fazla abone adresine yayılan saldırı, grafikte tek bir hedef öne çıkmasa bile ortak uplink'i zorlayabilir. Adreslerin yanında önek ve üst sağlayıcı düzeyini de izleyin; sakin bir uç nokta, ortak yolda boş kapasite olduğunu kanıtlamaz.
- Abone bağlantı durumu ve ortak kaynak adresleri
- CGNAT ve durum tutan uç cihazlar, bant genişliğinden bağımsız bağlantı baskısı yaşayabilir. Çok sayıda meşru kullanıcı tek bir genel kaynak IP'sini paylaşabilir. Kaynak başına sınır, tüm abonelere düşük eşik uygulamak yerine gerçek yük değerlendirmesi gerektirir.
- Birden fazla yönlendirme sorumlusu
- Kendi önekleriniz, müşteri anonsları ve sağlayıcı adresleri farklı yetkilendirme ve dışa aktarma kurallarına tabi olabilir. Koruma yolu eklemeden önce kapsamı, kabul edilen anonsları ve varsayılan rota beklentisini belirleyin.
Üst sağlayıcı teslimatını kendi kontrollerinizle birleştirin
Korumalı Transit IP ağ katmanını sağlayabilir; uyumlu yerel filtreleme arkasında farklı bir görev üstlenebilir. Karma tasarımda da trafik yönlendirme, filtreleme ve geri dönüş sorumlulukları açık olmalıdır.
Açık yolları gözlemleyin
İlgili yönlendirici telemetrisini ve arayüz sayaçlarını, örnekleme aralığı ve yönü belli olacak şekilde toplayın.
Korumalı trafiği teslim edin
Kararlaştırılan tünel veya fiziksel teslimatı, rota seçimini, MTU'yu ve kalan teslimat kapasitesini doğrulayın.
Abone hizmetini koruyun
Dönüş trafiğini ve normal abone uygulamalarını seçilen yerel TCP ve durum tutan koruma modlarıyla kontrol edin.
Örnek kurulum sırası. Sunulan hizmeti teklif ve kabul tutanağı belirler.
Siparişten önce kararlaştırılacak noktalar
- Korumalı önekleri kim anons edebilir?
- ASN'yi, önek yetkisini, rota filtrelerini ve izin verilen yayılımı belgeleyin. BGP oturumunun açık olması, istenen rotaların kabul edildiğini göstermez.
- Dönüş trafiği yerel filtreyi atlayabilir mi?
- Bu, seçilen koruma moduna bağlıdır. Durum tutan özellikleri açmadan önce gerçek yönlendirme gereksinimlerini doğrulayın; birden fazla eş bulunması asimetrik desteği kanıtlamaz.
- Trafik yönlendirmesini ne tetikleyebilir?
- Gözlem, yetkilendirme ve uygulamayı ayırın. Peeryx Flow Collector trafik yolu dışında çalışır ve yayımlanan yetkili IPv4 /24 yönlendirme kapsamını kullanır; ağ kapasitesi veya trafik yolunda filtreleme sağlamaz.
Erişim hizmetinin kararlaştırılan değişikliği atlattığını doğrulayın
- Koruma açılmadan önce yoğun saatlerdeki normal trafiği, başarılı abone bağlantılarını ve ilgili durum sayaçlarını kaydedin.
- Her teslimat yolunda kabul edilen rotaları, iki trafik yönünü ve küçük ve büyük aktarımları kontrol edin.
- Seçilen yol veya cihaz arızası testini koordine edin, kullanılabilir hizmetin dönüşünü kaydedin ve geri alma sorumlusunu belirleyin.
Bu kurulumla ilgili sorular
Ağın ortak kapasitesi ISS'me ayrılmış bant genişliği anlamına mı gelir?
Hayır. Commit, teslimat portu, ortak üst sağlayıcı kapasitesi ve ölçülmüş yerel filtre kapasitesi farklı büyüklüklerdir. Size sunulan hizmeti geçerli teklif belirler.
Yerel filtre, doymuş erişim bağlantısında üst sağlayıcı korumasının yerini alabilir mi?
Filtreye ulaşmadan kaybolan paketleri geri getiremez. Darboğazı rahatlatacak korumayı o darboğazın öncesine yerleştirin.
Teknik kaynak : RFC 7454: BGP işletimi ve güvenliği