Anoche a las 3 de la mañana, el grupo de batalla explotó de repente. "¡El servidor está atascado en PPT otra vez!" "Alguien está maliciosamente DDoSing el servidor, ¿verdad? Ni siquiera puedo conectarme!" Miré la pantalla llena de quejas, me serví un bocado de café, copié el teclado y empecé a comprobar los registros - efectivamente, se trataba de un ataque de tipo tráfico, el pico se disparó a 300Gbps, y los nodos CDN ordinarios fueron directamente perforados. Este tipo de escena, ¿quién no ha experimentado varias veces en la industria del juego? Pero cada vez que me encontré, o la presión arterial tirón completo.
La industria del juego y sitios web ordinarios no son los mismos, de alta latencia 50ms jugadores pueden maldecir a la calle, servidor caído diez minutos de la inflamación directa de la comunidad. Por no hablar de los hackers que se meten en los juegos populares, varios gigabytes por segundo de tráfico de basura corriendo, no puede evitar que el servicio de espera para detener y perder dinero. He visto demasiados equipos utilizan la "protección gratuita" de los proveedores de la nube ordinaria barato, sólo para descubrir que el ancho de banda no es ni siquiera suficiente para llenar los dientes cuando son realmente golpeado.
¿Por qué las CDN ordinarias no pueden realizar ataques de juego? En primer lugar, el mecanismo de almacenamiento en caché simplemente no es la manera correcta. Los datos del juego son la interacción en tiempo real, las solicitudes dinámicas representan más de 90%, caché CDN un solitario; en segundo lugar, la capacidad de limpieza falso estándar. Muchos vendedores escriben una "protección de nivel T" es en realidad un clúster compartido, un golpe toda la región junto con la tarjeta; en tercer lugar, la calidad del nodo varía. En el extranjero ir un enlace de derivación, latencia directamente se disparó a 200ms +, los jugadores piensan que está utilizando Internet por satélite.
Una CDN de juegos de alta defensa verdaderamente profesional tiene que cumplir tres duros indicadores al mismo tiempo:latencia ultrabaja、Limpieza de precisión、Soporte Edge Computing. La latencia debe controlarse dentro de los 30 ms, la limpieza debe ser capaz de reconocer las características del protocolo del juego (como los paquetes de handshake del motor UE4), y también debe soportar operaciones de lógica de borde para manejar parte de la lógica del juego. Hoy en día, incluso las CDN tienen que "prevenir a los compañeros de equipo".
Probado una docena de proveedores de servicios en el mercado, elijo tres realmente puede jugar a decir. En primer lugar, la prueba puramente autofinanciado sin publicidad, algunos proveedores me envían una cuenta de prueba me negué, sólo figura un objetivo.
Rutas globales de aceleración de juegos de CDN5Es el más estable que he usado este año. Específicamente hacen la optimización de protocolo de juego, algoritmo de aceleración TCP es un poco de una cosa, el retraso de nodo asiático es básicamente presionado dentro de 20ms. Anti-D capacidad de llevar a través de la prueba real 480Gbps ataques mixtos, la clave es no perder paquetes. Ejemplo de configuración en realidad no es complicado:
No olvides poner el subdominio del juego CNAME en la resolución DNS al dominio protegido que proporcionan, el tráfico pasa por el centro de limpieza antes de volver al origen. Recomiendo activar su función "Intelligent Protocol Analysis", que identifica automáticamente las características del tráfico de los motores Unity y Unreal, con una tasa de falsos positivos mucho menor que las bases de reglas tradicionales.
Red de juegos Anycast de CDN07Es especialmente adecuado para proyectos de distribución en el extranjero. Utilizan BGP Anycast para difundir la misma IP a más de 60 nodos de todo el mundo, y los jugadores se conectan automáticamente al nodo más cercano. La mayor ventaja es que el tráfico de ataque se diluye en el nodo más cercano, y no será fácilmente penetrado como la protección de punto único. Sin embargo, es importante tener en cuenta que su aceleración TCP debe activarse con un coste aparte, y la configuración por defecto sólo está optimizada para UDP.
Deliberadamente elegí la hora punta de la tarde para ejecutar Speedtest, la latencia del enlace de Tokio a Los Ángeles en realidad se puede suprimir a unos 110 ms, mientras que la línea general es más de 180 ms. La estrategia de defensa es muy agresivo, directamente en el ataque sospecha de interceptación de la capa de enlace IP, medido 700Gbps SYN Flood ninguna fluctuación. Pero hay un pequeño pozo: su restricción de flujo API de la consola es muy estricta, recuerde volver a probar el mecanismo al implementar la automatización.
Nicho doméstico pero bueno08HostLa primera cosa que me gustaría decir es que no estoy seguro de si voy a ser capaz de hacerlo. El precio es sólo la mitad de los grandes fabricantes, pero la defensa realmente puede llevar 300Gbps. He desmantelado su lógica de limpieza de tráfico, en realidad el uso de chips FPGA para hacer coincidencia de reglas, más rápido que el software de limpieza 3 veces de retraso. La desventaja es que el número de nodos es pequeño, sólo los usuarios nacionales y el sudeste de Asia, Europa y Estados Unidos tienen que encontrar otro programa.
Recuerda activar el modo "Escudo de juego" al configurarlo, ya que es una función esencial:
No se crea la falsa propaganda de "protección ilimitada". El año pasado, un proveedor presumía de protección de 1Tbps, pero el resultado fue que probamos 400Gbps y lo penetramos, y la respuesta a la orden de trabajo fue "Recomendamos actualizar a la versión personalizada para empresas". Ahora veo que este tipo de eslogan cierra directamente la página.
Hay que ver los efectos de la defensa en el mundo realPrecisión de limpieza和relación de caudal de retorno. Algunos proveedores dirigen todo el tráfico de ataque al centro de limpieza, pero siguen perdiendo muchos paquetes basura al volver al origen. Mi método de prueba habitual es: utilizar hping3 para simular 100.000pps de ACK Flood, mientras se ejecuta iperf3 para medir la latencia del tráfico normal. Un buen CDN debería hacer que las fluctuaciones de latencia de iperf3 fueran inferiores a 5%, pobre junto con la muerte de la tarjeta.
Hay un pequeño detalle más:panel de vigilanciaDebes ser capaz de ver el tipo de ataque en tiempo real. Una vez me encontré con un ataque de amplificación de reflexión, la consola de un proveedor sólo mostraba "anomalía de tráfico", y me basé en mi propia captura de paquetes para descubrir que se trataba de una reflexión NTP. Más tarde, cambié a un proveedor que puede mostrar vectores de ataque, y de un vistazo pude ver que "60% es un reflejo de Memcached" - este es el tipo de información que O&M quiere.
Si el presupuesto es limitado, se recomienda utilizar una solución híbrida: tirar CDN barato para los recursos estáticos, y tomar una línea de alta defensa para la comunicación núcleo del juego. Pero preste atención a la estrategia de dispersión de nombre de dominio, no deje que el atacante encontrar la IP real del negocio. una vez que un equipo puso el sitio web oficial y la API del juego bajo el mismo nombre de dominio, el resultado de la página web oficial fue derribado incluso arrastró hacia abajo el inicio de sesión del juego - esta olla CDN no puede volver.
Un último comentario tiránico: lo del CDN de alta defensa.Mejor una redundancia que una casualidad.He visto demasiados equipos pensar "somos pequeños y nadie puede vencernos". He visto a demasiados equipos pensar "nuestro juego es pequeño, nadie puede vencernos", y luego recibir una paliza y llorar el día del lanzamiento. Hoy en día, los chantajistas tienen scripts de monitorización que escanean automáticamente los lanzamientos de nuevos juegos, así que si no tienes la protección adecuada, no haces más que mandar a la gente a tomar por culo. Es diez veces más barato hacer pruebas de estrés por adelantado y simular el rendimiento de la empresa bajo un impacto de tráfico de 200 Gbps que remediar la situación a posteriori.
Caso real: El año pasado, un juego secundario utilizó una combinación de programas: CDN5 para gestionar el tráfico asiático, CDN07 para cubrir Europa y Estados Unidos, y 08Host como línea de reserva. En la línea se produjo un DDoS de una semana de duración, el mayor golpe a 800Gbps, pero los jugadores no lo percibieron. El responsable de operación y mantenimiento me dijo más tarde que el dinero extra gastado no es nada comparado con la pérdida de suspensión del servicio.
Al final, elegir el juego de alta defensa CDN es como comprar un seguro - por lo general se sienten pérdida de dinero, cuando algo sucede es una paja para salvar vidas. Los indicadores clave para ver el poder duro: los datos de retardo a las pruebas de terceros (como PingTools para medir los nodos globales), la capacidad de defensa para ver el informe de prueba de presión real, no creo en la retórica de marketing sitio web oficial. Recuerde, el CDN que le permite dormir tranquilo es un buen CDN.
