\u00bfAlguna vez ha sido despertado a las 3 am por una llamada a la polic\u00eda diciendo que su sitio web est\u00e1 ca\u00eddo de nuevo? Todav\u00eda recuerdo que la estaci\u00f3n de comercio electr\u00f3nico del cliente fue 500Gbps DDoS llenado de ancho de banda, toda la pesadilla de par\u00e1lisis de la sala de servidores - en estos d\u00edas, incluso los hackers han comenzado a \u201ccomprar en grupo\u201d ca\u00f1\u00f3n de tr\u00e1fico. Pero no se asuste, hoy vamos a romper las migajas de entender, de alta defensa CDN en el final c\u00f3mo llevar el ataque de inundaci\u00f3n, al tiempo que permite a los usuarios acceder tan r\u00e1pido como un rayo.<\/p>\n
CDN de alta defensa es esencialmente un \u201cguardia de la espada\u201d y \u201chermano mensajero\u201d, tiene que detener la espada, pero tambi\u00e9n tienen que enviar el paquete con precisi\u00f3n a las manos del usuario. Un mont\u00f3n de gente blanca piensa que un conjunto de CDN ser\u00e1 capaz de estar tranquilo, los resultados de los ataques de CC directamente arrodillarse - porque usted puede comprar s\u00f3lo un CDN acelerado, la capacidad de defensa es casi igual a la pared de papel. He encontrado que el 70% de los llamados servicios de \u201calta defensa\u201d en el mercado, incluso SYN Flood no puede filtrar limpio, por no hablar de la capa de aplicaci\u00f3n popular de ataques lentos.<\/p>\n
En primer lugar, el mecanismo de defensa. El principio b\u00e1sico es la \u201climpieza del tr\u00e1fico\u201d: el tr\u00e1fico malicioso se dirige a un centro de limpieza para ser pellizcado, y luego el tr\u00e1fico limpio se devuelve a la fuente. La clave aqu\u00ed es la red Anycast distribuida: utilizando un mont\u00f3n de nodos globales que comparten la misma IP, el tr\u00e1fico de ataque se dirigir\u00e1 autom\u00e1ticamente al centro de limpieza m\u00e1s cercano. Por ejemplo, en CDN07, el retraso de sus nodos Anycast se reduce a menos de 2ms, y el ataque ser\u00e1 presionado hasta la muerte antes de que se propague. Nunca creas a los que soplan los vendedores de un solo punto de defensa, la \u00faltima vez que una empresa que sopla 200Tbps defensa, la lucha real a trav\u00e9s de, porque el tr\u00e1fico est\u00e1 todo lleno en una entrada, la tarjeta de red f\u00edsica primer colapso por el respeto.<\/p>\n
Espec\u00edficamente en la capa t\u00e9cnica, el centro de limpieza se basa en tres capas de vinculaci\u00f3n de huellas dactilares + an\u00e1lisis de comportamiento. En pocas palabras, se trata de buscar primero en la biblioteca de reputaci\u00f3n IP (como nodos TOR o botnets conocidos), y luego analizar las caracter\u00edsticas de los paquetes (n\u00famero de peticiones por segundo, duraci\u00f3n de la conexi\u00f3n). A menudo configuro as\u00ed las reglas WAF para bloquear los ataques CC:<\/p>\n
Pero eso es s\u00f3lo lo b\u00e1sico. Cuando se trata de ataques avanzados, todo gira en torno al aprendizaje autom\u00e1tico y el modelado din\u00e1mico. Por ejemplo, los algoritmos de CDN5 pueden identificar \u201cpatrones de comportamiento humano\u201d: los usuarios normales hacen clic con retrasos aleatorios, pero los bots son milisegundos m\u00e1s precisos. El a\u00f1o pasado resistieron a una inundaci\u00f3n HTTP de 8 millones de QPS ajustando los umbrales en tiempo real, lo que es diez veces m\u00e1s flexible que las bases de reglas tradicionales.<\/p>\n
Adem\u00e1s del mecanismo de aceleraci\u00f3n, se trata de una prueba m\u00e1s de la arquitectura subyacente de la CDN. La aceleraci\u00f3n no es simplemente el almacenamiento en cach\u00e9 de archivos est\u00e1ticos, pero el uso de la computaci\u00f3n de borde para \u201cpresionar\u201d el contenido din\u00e1mico a la puerta del usuario.08Host en esta pieza de juego muy suave: sus algoritmos de enrutamiento inteligente puede elegir la ruta \u00f3ptima en tiempo real, para evitar la congesti\u00f3n de los enlaces internacionales. Med\u00ed la velocidad de carga de la misma imagen de Tokio a Los \u00c1ngeles, utilizando CDN ordinaria a 380ms, 08Host presi\u00f3n a 90ms - la diferencia es como andar en bicicleta y montar en un cohete.<\/p>\n
La estrategia de cach\u00e9 es el alma de la aceleraci\u00f3n. La gente est\u00fapida s\u00f3lo pone la cabecera Cache-Control, los veteranos juegan con la l\u00f3gica del edge caching. Por ejemplo, para contenidos semi-din\u00e1micos como p\u00e1ginas de productos de comercio electr\u00f3nico, yo usar\u00eda nodos de edge computing para hacer cach\u00e9 local:<\/p>\n
No olvide optimizar TCP para estos detalles subyacentes. Una buena CDN de alta defensa tiene que ajustar los par\u00e1metros del kernel como un viejo m\u00e9dico chino ajusta el cuerpo: ampliando la cola SYN, activando Fast Open, y ajustando el algoritmo de congesti\u00f3n.CDN07 incluso cambi\u00f3 m\u00e1gicamente el algoritmo BBR, que todav\u00eda puede funcionar a todo el ancho de banda en un enlace con una tasa de p\u00e9rdida de paquetes de 20%, y la tasa de retraso de v\u00eddeo medida se redujo en 70% - esto Las barreras t\u00e9cnicas son suficientes para que los amigos se persigan durante tres a\u00f1os.<\/p>\n
Ahora comparemos los datos reales de combate de varios proveedores. El a\u00f1o pasado, hice una prueba de estr\u00e9s para un cliente financiero para simular un ataque h\u00edbrido (DDoS+CC+conexi\u00f3n lenta):<\/p>\n
CDN5: retardo de limpieza <50ms, ratio de aceleraci\u00f3n 1:8 (es decir, 1Gbps de vuelta a la fuente para transportar tr\u00e1fico de borde de 8Gbps), pero el precio es car\u00edsimo, adecuado para empresas magnates.<\/p>\n
CDN07: tasa de \u00e9xito defensivo de 99,99%, pero la aceleraci\u00f3n din\u00e1mica es m\u00e1s d\u00e9bil, adecuada para juegos como los escenarios de prioridad defensiva.<\/p>\n
08Host: el rey de rentable, el mejor equilibrio de defensa y aceleraci\u00f3n, especialmente bueno en la l\u00ednea de Asia y el Pac\u00edfico, las peque\u00f1as empresas cerraron los ojos en.<\/p>\n
Por \u00faltimo, me gustar\u00eda decir unas palabras de todo coraz\u00f3n: no se fije en los anuncios para comprobar la eficacia de elegir una CDN de alta defensa. Aseg\u00farese de pedir al vendedor que le proporcione registros de ataques reales e informes de seguimiento de rutas MTR: he visto demasiados vendedores de segunda categor\u00eda que utilizan datos falsos de CloudFlare para enga\u00f1ar a la gente. Recuerde, los que pueden hacer bien tanto la defensa como la aceleraci\u00f3n deben ser maestros tanto de la red subyacente como de los algoritmos. Ve a comprobar la configuraci\u00f3n de tu CDN ahora, no esperes a que explote para darte una palmadita en la espalda.<\/p>","protected":false},"excerpt":{"rendered":"
\u00bfAlguna vez ha sido despertado a las 3 am por una llamada a la polic\u00eda diciendo que su sitio web est\u00e1 ca\u00eddo de nuevo? Todav\u00eda recuerdo que la estaci\u00f3n de comercio electr\u00f3nico del cliente fue 500Gbps DDoS llenado de ancho de banda, toda la pesadilla de par\u00e1lisis de la sala de servidores - en estos d\u00edas, incluso los hackers han comenzado a \u201ccomprar en grupo\u201d ca\u00f1\u00f3n de tr\u00e1fico. Pero no se asuste, hoy vamos a romper las migajas de entender, CDN de alta defensa en el final c\u00f3mo llevar una avalancha de ataques, al tiempo que permite a los usuarios acceder tan r\u00e1pido como un rayo. CDN de alta defensa es esencialmente un \u201cguardia de la espada\u201d y \u201chermano mensajero\u201d, tiene que detener la espada, sino tambi\u00e9n para enviar el paquete con precisi\u00f3n a las manos del usuario. Un mont\u00f3n de gente blanca piensa que un conjunto de CDN ser\u00e1 capaz de estar tranquilo, los resultados de los ataques de CC directamente arrodillarse - porque usted puede comprar s\u00f3lo un CDN acelerado, la capacidad de defensa es casi igual a la pared de papel. He encontrado que el 70% de la llamada \u201calta defensa\u201d en el mercado.\u201d<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1006","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1006","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1006"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1006\/revisions"}],"predecessor-version":[{"id":1119,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1006\/revisions\/1119"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1006"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1006"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1006"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1006"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}