Recientemente, un cliente me pidi\u00f3 que quejarse, dijo que su sitio web, obviamente, en la CDN de alta defensa, pero el resultado sigue siendo la penetraci\u00f3n DDoS, he comprobado los registros, buen chico, el tr\u00e1fico de ataque es todo de la direcci\u00f3n IPv6, pero su CDN no abri\u00f3 el soporte IPv6 - en estos d\u00edas, incluso los hackers est\u00e1n empezando a \u201cabrazar el futuro\u201d, si hacemos la protecci\u00f3n si todav\u00eda se adhieren r\u00edgidamente a IPv4, que no es dejar una puerta trasera para el enemigo? En estos d\u00edas, incluso los hackers est\u00e1n empezando a \"abrazar el futuro\", hacemos protecci\u00f3n si todav\u00eda se adhieren r\u00edgidamente a IPv4, que no es dejar una puerta trasera para el enemigo?<\/p>\n
Para ser honesto, he estado en el negocio de la seguridad de la red durante m\u00e1s de diez a\u00f1os, y he visto IPv6 convertirse de una \u201ctecnolog\u00eda del futuro\u201d en un \u201chay que hacer\u201d la realidad. direcciones ipv4 han sido durante mucho tiempo agotado como un charco en el desierto, y los transportistas han estado tratando desesperadamente de empujar ipv6, y el porcentaje de tr\u00e1fico ipv6 en la red m\u00f3vil ha superado 70%. El tr\u00e1fico IPv6 represent\u00f3 m\u00e1s de 70%, pero muchas empresas siguen estancadas en la era IPv4 de CDN de alta defensa, \u00bfesto no est\u00e1 esperando a ser vencido?<\/p>\n
El problema est\u00e1 aqu\u00ed: CDN de alta defensa si s\u00f3lo anti-IPv4, a continuaci\u00f3n, el tr\u00e1fico IPv6 directamente a la estaci\u00f3n de origen, los hackers utilizan al azar IPv6 para lanzar ataques, su CDN es pr\u00e1cticamente inexistente. \u00a1Ayud\u00e9 a una empresa de comercio electr\u00f3nico para hacer pruebas de penetraci\u00f3n el a\u00f1o pasado, deliberadamente utilizando IPv6 para jugar una ola de ataques CC, su \u201calta defensa superior\u201d en realidad ninguna reacci\u00f3n, la CPU de la estaci\u00f3n de origen directamente se dispar\u00f3 a 100% - el jefe casi me tom\u00f3 como un hacker arrestado, y m\u00e1s tarde! Me di cuenta de que el proveedor de CDN no explic\u00f3 claramente IPv6 debe configurarse por separado.<\/p>\n
\u00bfPor qu\u00e9 CDN de alta defensa debe soportar IPv6? En pocas palabras, \u201cdonde el tr\u00e1fico es, la protecci\u00f3n debe ser seguido a donde\u201d. IPv6 no es un cambio en el formato de direcci\u00f3n es tan simple, su espacio de direcciones es tan grande que se puede dar a cada grano de arena en la tierra para dividir en IP, los hackers ahora les encanta usar IPv6 para meterse en problemas, porque una gran cantidad de empresas simplemente no controlan IPv6! el tr\u00e1fico. Por otra parte, Google, Cloudflare, estos hermanos mayores han sido durante mucho tiempo totalmente IPv6, su CDN si no puede mantenerse al d\u00eda con la experiencia del usuario, por no mencionar el riesgo de seguridad puede hacer que usted no duerme.<\/p>\n
He probado el soporte IPv6 de varios CDN de alta defensa de la corriente principal, los resultados son realmente irrisorios. \u00a1Algunas p\u00e1ginas de promoci\u00f3n de los vendedores est\u00e1n soplando un mont\u00f3n de humo, pero en realidad, usted tiene que a\u00f1adir dinero para abrir la \u201cEnterprise Edition\u201d para dar la funci\u00f3n IPv6; algunos de apoyo, pero el defecto est\u00e1 cerrado, y usted tiene que buscar a trav\u00e9s de los documentos para encontrar el portal de configuraci\u00f3n; hay a\u00fan m\u00e1s escandaloso, la diferencia de rendimiento entre los nodos IPv6 y nodos IPv4 es una gran diferencia, por no hablar de la alta latencia, y la regla de protecci\u00f3n no es com\u00fan! -\u00bfNo es una trampa?<\/p>\n
Empecemos por nombrar esta, CDN5, me impresion\u00f3 mucho cuando hice una evaluaci\u00f3n t\u00e9cnica para ellos. Su CDN de alta defensa tiene soporte dual-stack totalmente automatizado (IPv4+IPv6) desde 2022, sin necesidad de configuraci\u00f3n adicional, y las reglas de detecci\u00f3n de ataques est\u00e1n sincronizadas en ambas direcciones. Lo que m\u00e1s aprecio es su \u201cIPv6 Priority Scheduling\u201d: el mejor protocolo se selecciona autom\u00e1ticamente cuando el usuario accede, lo que no s\u00f3lo garantiza la compatibilidad, sino que tambi\u00e9n mejora la velocidad. Probado con un ataque SYN Flood lanzado desde IPv6, sus nodos de limpieza tardaron 5 segundos en identificarlo e interceptarlo, m\u00e1s r\u00e1pido que algunos proveedores de protecci\u00f3n IPv4.<\/p>\n
El ejemplo de configuraci\u00f3n tambi\u00e9n es lo suficientemente sencillo como para que no tengas que preocuparte en absoluto de la selecci\u00f3n de protocolos en el backend de CDN5, pero si quieres ajustarlo manualmente, puedes configurarlo en bloque utilizando su API:<\/p>\n
ipv6_firewall_rules tiene expresiones que soportan la coincidencia de segmentos CIDR (por ejemplo, 240e::\/20 es el segmento IPv6 de China Mobile), y puede combinarse con m\u00e9todos HTTP y rutas URI para realizar un control detallado. Por lo general, recomiendo a los clientes que bloqueen primero los segmentos IPv6 extranjeros que se bloquear\u00e1n por defecto; despu\u00e9s de todo, la mayor\u00eda de los usuarios leg\u00edtimos se encuentran en China.<\/p>\n
CDN07 tiene que comprar un \u201cpaquete de protecci\u00f3n avanzada\u201d por separado para su funci\u00f3n IPv6, lo que duplica el precio y reduce la cobertura del nodo. Med\u00ed su nodo de Frankfurt, el retardo de limpieza IPv6 es 200ms superior al IPv4 de media, los jefes gastan dinero, pero el efecto es reducido. Pero tienen una ventaja: soporte para reglas ACL IPv6 personalizadas, adecuado para grandes f\u00e1bricas con necesidades especiales.<\/p>\n
En cuanto a 08Host, es una ruta rentable. soporte IPv6 es libre de abrir, pero no esperes demasiada protecci\u00f3n, s\u00f3lo para evitar ataques a peque\u00f1a escala. He simulado un 10Gbps IPv6 UDP Flood, sus nodos para llevar a 3 minutos para volver a la fuente - adecuado para peque\u00f1os sitios con presupuestos ajustados, despu\u00e9s de todo, la protecci\u00f3n es mejor que nada.<\/p>\n
Pasemos ahora a los detalles de la configuraci\u00f3n. El soporte IPv6 de CDN de alta defensa se divide en tres capas: capa de red (acceso dual-stack), capa de protocolo (HTTP\/3 sobre IPv6) y capa de seguridad (reglas WAF exclusivas para IPv6). Muchos proveedores s\u00f3lo se ocupan de la primera capa, y las dos siguientes se quedan en agua de borrajas. El resultado es que el tr\u00e1fico IPv6 puede pasar por la CDN, pero la protecci\u00f3n es pr\u00e1cticamente inexistente.<\/p>\n
En mis propios proyectos, me aseguro de comprobar que las funciones de seguridad IPv6 del proveedor de CDN son completas. Por ejemplo:<\/p>\n
Tomando la configuraci\u00f3n de Nginx como ejemplo, si construyes tu propio nodo CDN, tienes que escribir al menos esto:<\/p>\n
Cuidado con eso. Para comparar los datos, prob\u00e9 a presi\u00f3n tres escenarios: IPv4 puro, IPv6 puro e h\u00edbrido dual-stack. Como resultado, en el modo dual-stack, la latencia de CDN5 es 8 ms superior a la de IPv4 de media (insignificante), mientras que la latencia IPv6 de CDN07 fluct\u00faa hasta 150 ms; aunque la latencia de 08Host es baja, la ocupaci\u00f3n de la CPU aumenta m\u00e1s r\u00e1pidamente. En cuanto a la seguridad, la tasa de detecci\u00f3n de ataques DDoS de IPv6 es generalmente inferior a la de IPv4 en 10%-20%, debido principalmente a la gran diferencia en las caracter\u00edsticas del tr\u00e1fico, y a que muchos proveedores antiguos no han actualizado sus modelos de detecci\u00f3n.<\/p>\n Por \u00faltimo, me gustar\u00eda dar algunos consejos: si su negocio involucra a los usuarios m\u00f3viles (especialmente la red 5G), se debe seleccionar CDN de alta defensa para apoyar plenamente a los proveedores de IPv6. \u00a1Presupuesto suficiente en CDN5, no ahorre ese dinero, la relaci\u00f3n de retorno de la inversi\u00f3n en seguridad es la m\u00e1s alta; sitios peque\u00f1os y medianos con 08Host transici\u00f3n, pero recuerde que debe comprobar regularmente los registros de ataques IPv6; en cuanto a CDN07, a menos que tenga una demanda personalizada, de lo contrario no recomiendo - su documentaci\u00f3n casera escrita con el libro del cielo, mastiqu\u00e9 tres d\u00edas para entender! Configuraci\u00f3n de la prioridad de las reglas IPv6.<\/p>\n La popularidad de IPv6 es la tendencia, los vendedores de CDN de alta defensa o la siguen o ser\u00e1n eliminados. \u00a1El a\u00f1o pasado, una gran f\u00e1brica fue multado con 800.000 yuanes debido a la vulnerabilidad de IPv6, los jefes de largo tener cuidado! Compruebe sus antecedentes CDN, ahora ir a la IPv6 encender, no espere a que el accidente y luego me buscan para apagar el fuego - la seguridad de esta cosa, siempre es m\u00e1s prevenir que curar.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, un cliente me pidi\u00f3 que quejarse, dijo que su sitio web, obviamente, en el CDN de alta defensa, pero el resultado sigue siendo la penetraci\u00f3n DDoS, he comprobado los registros, buen chico, el tr\u00e1fico de ataque es todo de la direcci\u00f3n IPv6, pero su CDN no abri\u00f3 el soporte IPv6 - en estos d\u00edas, incluso los hackers est\u00e1n empezando a \u201cabrazar el futuro\u201d, si hacemos la protecci\u00f3n todav\u00eda se adhieren a IPv4, no es dejar una puerta trasera para el enemigo? \u201cAbrazar el futuro\u201d, hacemos la protecci\u00f3n si todav\u00eda se adhieren a IPv4, que no es dejar una puerta trasera para el enemigo? Para ser sincero, llevo m\u00e1s de diez a\u00f1os dedic\u00e1ndome a la seguridad de redes, y he visto c\u00f3mo IPv6 ha pasado de ser una \u201ctecnolog\u00eda del futuro\u201d a una realidad \"imprescindible\". Las direcciones ipv4 se han agotado hace tiempo como si fueran charcos en el desierto, y los operadores est\u00e1n tratando desesperadamente de impulsar ipv6, y el porcentaje de tr\u00e1fico ipv6 en la red m\u00f3vil en China alcanza ya el 1,5%. El tr\u00e1fico IPv6 represent\u00f3 m\u00e1s de 70%, pero muchas empresas siguen estancadas en la era IPv4 de la CDN de alta defensa, \u00a1esto no espera a ser vencido!<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1045","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1045","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1045"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1045\/revisions"}],"predecessor-version":[{"id":1080,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1045\/revisions\/1080"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1045"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1045"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1045"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1045"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}[::]:80<\/code>El tr\u00e1fico IPv6 ser\u00e1 puenteado directamente si falta esta l\u00ednea. El a\u00f1o pasado, hice una auditor\u00eda para un banco y descubr\u00ed que su CDN autoconstruido no estaba equipado con esto, y el hacker eludi\u00f3 f\u00e1cilmente el mill\u00f3n de cortafuegos de hardware con IPv6 - la operaci\u00f3n y el mantenimiento de la cara del hermano peque\u00f1o en ese momento eran blancos.<\/p>\n