Recientemente, un cliente me pidió que quejarse, dijo que su sitio web, obviamente, en la CDN de alta defensa, pero el resultado sigue siendo la penetración DDoS, he comprobado los registros, buen chico, el tráfico de ataque es todo de la dirección IPv6, pero su CDN no abrió el soporte IPv6 - en estos días, incluso los hackers están empezando a “abrazar el futuro”, si hacemos la protección si todavía se adhieren rígidamente a IPv4, que no es dejar una puerta trasera para el enemigo? En estos días, incluso los hackers están empezando a "abrazar el futuro", hacemos protección si todavía se adhieren rígidamente a IPv4, que no es dejar una puerta trasera para el enemigo?
Para ser honesto, he estado en el negocio de la seguridad de la red durante más de diez años, y he visto IPv6 convertirse de una “tecnología del futuro” en un “hay que hacer” la realidad. direcciones ipv4 han sido durante mucho tiempo agotado como un charco en el desierto, y los transportistas han estado tratando desesperadamente de empujar ipv6, y el porcentaje de tráfico ipv6 en la red móvil ha superado 70%. El tráfico IPv6 representó más de 70%, pero muchas empresas siguen estancadas en la era IPv4 de CDN de alta defensa, ¿esto no está esperando a ser vencido?
El problema está aquí: CDN de alta defensa si sólo anti-IPv4, a continuación, el tráfico IPv6 directamente a la estación de origen, los hackers utilizan al azar IPv6 para lanzar ataques, su CDN es prácticamente inexistente. ¡Ayudé a una empresa de comercio electrónico para hacer pruebas de penetración el año pasado, deliberadamente utilizando IPv6 para jugar una ola de ataques CC, su “alta defensa superior” en realidad ninguna reacción, la CPU de la estación de origen directamente se disparó a 100% - el jefe casi me tomó como un hacker arrestado, y más tarde! Me di cuenta de que el proveedor de CDN no explicó claramente IPv6 debe configurarse por separado.
¿Por qué CDN de alta defensa debe soportar IPv6? En pocas palabras, “donde el tráfico es, la protección debe ser seguido a donde”. IPv6 no es un cambio en el formato de dirección es tan simple, su espacio de direcciones es tan grande que se puede dar a cada grano de arena en la tierra para dividir en IP, los hackers ahora les encanta usar IPv6 para meterse en problemas, porque una gran cantidad de empresas simplemente no controlan IPv6! el tráfico. Por otra parte, Google, Cloudflare, estos hermanos mayores han sido durante mucho tiempo totalmente IPv6, su CDN si no puede mantenerse al día con la experiencia del usuario, por no mencionar el riesgo de seguridad puede hacer que usted no duerme.
He probado el soporte IPv6 de varios CDN de alta defensa de la corriente principal, los resultados son realmente irrisorios. ¡Algunas páginas de promoción de los vendedores están soplando un montón de humo, pero en realidad, usted tiene que añadir dinero para abrir la “Enterprise Edition” para dar la función IPv6; algunos de apoyo, pero el defecto está cerrado, y usted tiene que buscar a través de los documentos para encontrar el portal de configuración; hay aún más escandaloso, la diferencia de rendimiento entre los nodos IPv6 y nodos IPv4 es una gran diferencia, por no hablar de la alta latencia, y la regla de protección no es común! -¿No es una trampa?
Empecemos por nombrar esta, CDN5, me impresionó mucho cuando hice una evaluación técnica para ellos. Su CDN de alta defensa tiene soporte dual-stack totalmente automatizado (IPv4+IPv6) desde 2022, sin necesidad de configuración adicional, y las reglas de detección de ataques están sincronizadas en ambas direcciones. Lo que más aprecio es su “IPv6 Priority Scheduling”: el mejor protocolo se selecciona automáticamente cuando el usuario accede, lo que no sólo garantiza la compatibilidad, sino que también mejora la velocidad. Probado con un ataque SYN Flood lanzado desde IPv6, sus nodos de limpieza tardaron 5 segundos en identificarlo e interceptarlo, más rápido que algunos proveedores de protección IPv4.
El ejemplo de configuración también es lo suficientemente sencillo como para que no tengas que preocuparte en absoluto de la selección de protocolos en el backend de CDN5, pero si quieres ajustarlo manualmente, puedes configurarlo en bloque utilizando su API:
ipv6_firewall_rules tiene expresiones que soportan la coincidencia de segmentos CIDR (por ejemplo, 240e::/20 es el segmento IPv6 de China Mobile), y puede combinarse con métodos HTTP y rutas URI para realizar un control detallado. Por lo general, recomiendo a los clientes que bloqueen primero los segmentos IPv6 extranjeros que se bloquearán por defecto; después de todo, la mayoría de los usuarios legítimos se encuentran en China.
CDN07 tiene que comprar un “paquete de protección avanzada” por separado para su función IPv6, lo que duplica el precio y reduce la cobertura del nodo. Medí su nodo de Frankfurt, el retardo de limpieza IPv6 es 200ms superior al IPv4 de media, los jefes gastan dinero, pero el efecto es reducido. Pero tienen una ventaja: soporte para reglas ACL IPv6 personalizadas, adecuado para grandes fábricas con necesidades especiales.
En cuanto a 08Host, es una ruta rentable. soporte IPv6 es libre de abrir, pero no esperes demasiada protección, sólo para evitar ataques a pequeña escala. He simulado un 10Gbps IPv6 UDP Flood, sus nodos para llevar a 3 minutos para volver a la fuente - adecuado para pequeños sitios con presupuestos ajustados, después de todo, la protección es mejor que nada.
Pasemos ahora a los detalles de la configuración. El soporte IPv6 de CDN de alta defensa se divide en tres capas: capa de red (acceso dual-stack), capa de protocolo (HTTP/3 sobre IPv6) y capa de seguridad (reglas WAF exclusivas para IPv6). Muchos proveedores sólo se ocupan de la primera capa, y las dos siguientes se quedan en agua de borrajas. El resultado es que el tráfico IPv6 puede pasar por la CDN, pero la protección es prácticamente inexistente.
En mis propios proyectos, me aseguro de comprobar que las funciones de seguridad IPv6 del proveedor de CDN son completas. Por ejemplo:
Tomando la configuración de Nginx como ejemplo, si construyes tu propio nodo CDN, tienes que escribir al menos esto:
Cuidado con eso.[::]:80El tráfico IPv6 será puenteado directamente si falta esta línea. El año pasado, hice una auditoría para un banco y descubrí que su CDN autoconstruido no estaba equipado con esto, y el hacker eludió fácilmente el millón de cortafuegos de hardware con IPv6 - la operación y el mantenimiento de la cara del hermano pequeño en ese momento eran blancos.
Para comparar los datos, probé a presión tres escenarios: IPv4 puro, IPv6 puro e híbrido dual-stack. Como resultado, en el modo dual-stack, la latencia de CDN5 es 8 ms superior a la de IPv4 de media (insignificante), mientras que la latencia IPv6 de CDN07 fluctúa hasta 150 ms; aunque la latencia de 08Host es baja, la ocupación de la CPU aumenta más rápidamente. En cuanto a la seguridad, la tasa de detección de ataques DDoS de IPv6 es generalmente inferior a la de IPv4 en 10%-20%, debido principalmente a la gran diferencia en las características del tráfico, y a que muchos proveedores antiguos no han actualizado sus modelos de detección.
Por último, me gustaría dar algunos consejos: si su negocio involucra a los usuarios móviles (especialmente la red 5G), se debe seleccionar CDN de alta defensa para apoyar plenamente a los proveedores de IPv6. ¡Presupuesto suficiente en CDN5, no ahorre ese dinero, la relación de retorno de la inversión en seguridad es la más alta; sitios pequeños y medianos con 08Host transición, pero recuerde que debe comprobar regularmente los registros de ataques IPv6; en cuanto a CDN07, a menos que tenga una demanda personalizada, de lo contrario no recomiendo - su documentación casera escrita con el libro del cielo, mastiqué tres días para entender! Configuración de la prioridad de las reglas IPv6.
La popularidad de IPv6 es la tendencia, los vendedores de CDN de alta defensa o la siguen o serán eliminados. ¡El año pasado, una gran fábrica fue multado con 800.000 yuanes debido a la vulnerabilidad de IPv6, los jefes de largo tener cuidado! Compruebe sus antecedentes CDN, ahora ir a la IPv6 encender, no espere a que el accidente y luego me buscan para apagar el fuego - la seguridad de esta cosa, siempre es más prevenir que curar.
