هل سبق أن استيقظت في الثالثة صباحًا على مكالمة من الشرطة تخبرهم بأن موقعك الإلكتروني قد تعطل مرة أخرى؟ ما زلت أتذكر أن محطة التجارة الإلكترونية للعميل كانت مليئة بعرض النطاق الترددي المملوء بـ 500 جيجابت في الثانية DDoS، كابوس شلل غرفة الخادم بالكامل - في هذه الأيام، حتى القراصنة بدأوا في “شراء مجموعة” مدفع حركة المرور. لكن لا داعي للذعر، اليوم سنقوم بفتح الفتات لفهم CDN عالي الدفاع في النهاية كيفية تحمل هجوم الفيضان، مع السماح للمستخدمين بالوصول بأسرع ما يمكن.
CDN عالية الدفاع CDN هي في الأساس “حارس السيف” و “أخو الساعي”، يجب أن يوقف السيف، ولكن يجب أيضًا أن يرسل الحزمة بدقة إلى يد المستخدم. يعتقد الكثير من الأشخاص البيض أن مجموعة من CDN ستكون قادرة على الراحة بسهولة، ونتائج هجمات CC تجثو مباشرة - لأنك قد تشتري فقط CDN متسارعًا، والقدرة الدفاعية تساوي تقريبًا الجدار الورقي. لقد وجدت أن 70% مما يسمى بخدمات “الدفاع العالي” في السوق، حتى SYN Flood لا يمكنها تصفية نظيفة، ناهيك عن طبقة التطبيقات الشائعة للهجمات البطيئة.
أولاً، آلية الدفاع. المبدأ الأساسي هو “تطهير حركة المرور”: يتم توجيه حركة المرور الخبيثة إلى مركز تطهير ليتم قرصها، ثم يتم إرجاع حركة المرور النظيفة إلى المصدر. المفتاح هنا هو شبكة Anycast الموزعة - باستخدام مجموعة من العقد العالمية التي تشترك في نفس عنوان IP، سيتم توجيه حركة المرور الهجومية تلقائيًا إلى أقرب مركز تنظيف. على سبيل المثال، في CDN07، يتم تقليل التأخير في عقد Anycast الخاصة بهم إلى أقل من 2 مللي ثانية، وسيتم الضغط على الهجوم حتى الموت قبل أن ينتشر. لا تصدق أبدًا أولئك الذين يفجرون بائعي نقطة دفاع واحدة، في المرة الأخيرة التي قامت فيها شركة بنسف دفاع 200 تيرابايت في الثانية، فإن المعركة الفعلية من خلال، لأن حركة المرور كلها مزدحمة في مدخل، تنهار بطاقة الشبكة المادية أولاً من أجل الاحترام.
على وجه التحديد في الطبقة التقنية، يعتمد مركز التنظيف على ثلاث طبقات من الربط بين البصمات + التحليل السلوكي. ببساطة، هو النظر أولاً في مكتبة سمعة بروتوكول الإنترنت (مثل عقد TOR أو شبكات الروبوت المعروفة)، ثم تحليل خصائص الحزمة (عدد الطلبات في الثانية، ومدة الاتصال). غالبًا ما أقوم بتكوين قواعد WAF لحظر هجمات CC:
ولكن هذه هي الأساسيات فقط. عندما يتعلق الأمر بالهجمات المتقدمة، فإن الأمر كله يتعلق بالتعلم الآلي والنمذجة الديناميكية - على سبيل المثال، يمكن لخوارزميات CDN5 تحديد “أنماط السلوك البشري”: ينقر المستخدمون العاديون بتأخير عشوائي، ولكن الروبوتات أكثر دقة بملي ثانية. وقد قاومت هذه الخوارزميات فيضان 8 ملايين QPS HTTP العام الماضي من خلال تعديل العتبات في الوقت الفعلي، وهو أكثر مرونة بعشر مرات من قواعد القواعد التقليدية.
إلى جانب آلية التسريع، يعد هذا اختبارًا أكبر للبنية الأساسية لشبكة CDN. التسريع ليس مجرد تخزين مؤقت للملفات الثابتة، ولكن باستخدام حوسبة الحافة “للضغط” على المحتوى الديناميكي إلى عتبة المستخدم.08Host في هذا الجزء من اللعب بسلاسة كبيرة: يمكن لخوارزميات التوجيه الذكية الخاصة بهم اختيار المسار الأمثل في الوقت الفعلي، لتجنب ازدحام الروابط الدولية. لقد قمت بقياس سرعة تحميل نفس الصورة من طوكيو إلى لوس أنجلوس، باستخدام CDN العادي إلى 380 مللي ثانية، وضغط 08Host إلى 90 مللي ثانية - الفرق يشبه ركوب الدراجة الهوائية وركوب الصاروخ.
استراتيجية التخزين المؤقت هي روح التسريع. يقوم الأشخاص الأغبياء فقط بتعيين رأس Cache-Control، ويتلاعب المحاربون القدامى بمنطق التخزين المؤقت على الحافة. على سبيل المثال، بالنسبة للمحتوى شبه الديناميكي مثل صفحات منتجات التجارة الإلكترونية، سأستخدم عقد حوسبة الحافة للقيام بالتخزين المؤقت المحلي:
لا تنس تحسين TCP لهذه التفاصيل الأساسية. يجب أن تقوم شبكة CDN عالية الدفاع الجيدة بضبط معلمات النواة مثل طبيب صيني عجوز يضبط الجسم: توسيع قائمة انتظار SYN، وتمكين الفتح السريع، وضبط خوارزمية الازدحام، حتى أن CDN07 غيرت خوارزمية BBR بطريقة سحرية، والتي لا يزال بإمكانها تشغيل النطاق الترددي الكامل على رابط بمعدل فقدان حزم يبلغ 20%، وانخفض معدل تأخر الفيديو المقاس بمقدار 70% - وهذا الحواجز التقنية كافية لمطاردة الأصدقاء لمدة ثلاث سنوات.
لنقارن الآن بيانات القتال الفعلية للعديد من البائعين. في العام الماضي، أجريت العام الماضي اختبار إجهاد لعميل مالي لمحاكاة هجوم هجين (DDoS+CC+ اتصال بطيء):
CDN5: تأخير التنظيف <50 مللي ثانية، ونسبة التسارع 1:8 (أي 1 جيجابت في الثانية إلى المصدر لنقل حركة مرور 8 جيجابت في الثانية إلى الحافة)، ولكن السعر باهظ الثمن، ومناسب للشركات العملاقة.
CDN07: معدل نجاح الدفاع 99.99%، ولكن التسارع الديناميكي أضعف، وهو مناسب للألعاب مثل سيناريوهات الأولوية الدفاعية.
08المضيف: ملك التكلفة الفعالة من حيث التكلفة، وأفضل توازن بين الدفاع والتسارع، وخاصةً في خط آسيا والمحيط الهادئ، والشركات الصغيرة التي تغمض عينيها.
أخيرًا، أود أن أقول بضع كلمات من أعماق قلبي: لا تنظر إلى الإعلانات لمعرفة مدى فعالية اختيار شبكة CDN عالية الدفاع. تأكد من أن تطلب من البائع تقديم سجلات هجوم حقيقية وتقارير تتبع مسار MTR - لقد رأيت الكثير من تجار الدرجة الثانية يستخدمون بيانات CloudFlare المزيفة لخداع الناس. تذكر أن أولئك الذين يستطيعون القيام بكل من الدفاع والتسريع بشكل جيد يجب أن يكونوا بارعين في كل من الشبكة الأساسية والخوارزميات. اذهب وتحقق من تكوين شبكة CDN الخاصة بك الآن، لا تنتظر حتى تنفجر لتربت على ظهرك.
