Recientemente para ayudar a los clientes a solucionar un extra\u00f1o problemas de red, la otra parte jur\u00f3 que el servidor fue la penetraci\u00f3n de DDoS, me acerqu\u00e9 a mirar la curva de tr\u00e1fico en la m\u00fasica - est\u00e1 claro que la solicitud del cliente IPv6 fueron los viejos nodos CDN como tr\u00e1fico an\u00f3malo a la muerte equivocada. El cliente me pregunt\u00f3 con los ojos muy abiertos: \u201c\u00bfD\u00f3nde alguien usa IPv6 ahora?\u201d Directamente cort\u00e9 el hotspot del tel\u00e9fono m\u00f3vil a la red 5G y lo pas\u00e9: \u201cPru\u00e9belo usted mismo, ahora la proporci\u00f3n de direcciones IPv6 asignadas por las estaciones base 5G es casi 90%.\u201d<\/p>\n
En estos d\u00edas, el entorno de red se est\u00e1 convirtiendo en mucho m\u00e1s r\u00e1pido de lo imaginado. El a\u00f1o pasado, la tasa de penetraci\u00f3n global de IPv6 super\u00f3 oficialmente 40%, los tres principales operadores nacionales de la red m\u00f3vil de tr\u00e1fico IPv6 representaron m\u00e1s de 50%. pero muchas empresas de la configuraci\u00f3n de CDN de alta defensa todav\u00eda est\u00e1 atascado en la arquitectura de doble pila de la etapa primaria, no se dio cuenta de que IPv6 ha sido durante mucho tiempo no es \u201copcional\u201d, sino \u201cobligatorio\u201d. \"Las siguientes son algunas de las cosas m\u00e1s importantes que usted puede hacer para su negocio<\/p>\n
El m\u00e1s perjudicial es el problema de seguridad de la traducci\u00f3n de direcciones. La soluci\u00f3n tradicional NAT44 en el entorno IPv6 es como utilizar una valla de bamb\u00fa para evitar los tanques - el a\u00f1o pasado, la vulnerabilidad de conversi\u00f3n a IPv6 de una conocida empresa de comercio electr\u00f3nico provoc\u00f3 el secuestro de m\u00e1s de 7.000 sesiones de usuario, y la causa ra\u00edz fue la mala configuraci\u00f3n de las reglas de conversi\u00f3n del proveedor de CDN.<\/p>\n
Las pruebas realizadas han revelado que la mayor\u00eda de las CDN tradicionales de alta defensa presentan tres fallos fatales en su compatibilidad con IPv6: descarte de la informaci\u00f3n de la cabecera de seguridad durante la conversi\u00f3n del protocolo, falta de reglas de limpieza del tr\u00e1fico espec\u00edficas para IPv6 y degradaci\u00f3n obligatoria a IPv4 al volver al origen. Un conocido proveedor que afirma ser compatible con IPv6 tiene un nodo que borra directamente el campo de la etiqueta de flujo de IPv6 para su transmisi\u00f3n, lo que constituye una operaci\u00f3n de pacotilla que socava directamente la continuidad de la identidad del flujo. Este tipo de operaci\u00f3n destruye directamente la continuidad de la etiqueta de flujo.<\/p>\n
No se crea la propaganda de los proveedores de \u201ccompatibilidad perfecta con IPv6\u201d. El a\u00f1o pasado prob\u00e9 ocho servicios CDN convencionales, y s\u00f3lo tres de ellos alcanzaron realmente la compatibilidad total con IPv6. Entre ellos, el rendimiento de CDN5 es el m\u00e1s sorprendente, no s\u00f3lo soporta Anycast nativo IPv6, sino que tambi\u00e9n puede configurar umbrales de protecci\u00f3n DDoS IPv6 individualmente en la consola. En particular, su protocolo de enrutamiento inteligente permite una programaci\u00f3n precisa basada en la ubicaci\u00f3n geogr\u00e1fica de los segmentos de direcciones IPv6.<\/p>\n
La soluci\u00f3n de 08Host es un poco m\u00e1s complicada: conversi\u00f3n de protocolos a trav\u00e9s de un proxy de dos niveles. Aunque puede resolver el problema de compatibilidad, el retraso adicional de 3 ms es un desastre para los juegos y los escenarios financieros. Por el contrario, CDN07 ha desarrollado una \u201cbiblioteca de huellas dactilares IPv6\u201d muy interesante, que puede identificar m\u00e1s de 500 patrones de ataque espec\u00edficos de IPv6, como los ataques de inundaci\u00f3n del protocolo Neighbourhood Discovery (NDP), una rutina cl\u00e1sica.<\/p>\n
Configurar una CDN de alta defensa para que admita IPv6 no es tan sencillo como encender un interruptor. En primer lugar, hay que comprobar si el certificado SSL admite IPv6. El a\u00f1o pasado, nos encontramos con el escollo de que el certificado Let's Encrypt fallaba en el handshake en un enlace IPv6 puro. Se recomienda utilizar este comando para comprobar la integridad de la cadena del certificado:<\/p>\n
La m\u00e1s cr\u00edtica es la pol\u00edtica de seguridad de traducci\u00f3n de direcciones. Actualmente, la soluci\u00f3n dominante es la combinaci\u00f3n NAT64+DNS64, pero muchas O&M copian directamente las reglas ACL de IPv4 y, como resultado, se filtra toda la informaci\u00f3n de cabecera extendida de IPv6. El enfoque correcto deber\u00eda ser configurar los grupos de seguridad as\u00ed:<\/p>\n
Las estrategias de limpieza de tr\u00e1fico deben optimizarse a\u00fan m\u00e1s individualmente. el bloque de direcciones \/48 de IPv6 equivale a todo el espacio de direcciones IPv4. las reglas de defensa tradicionales basadas en el n\u00famero de IPs directamente fallan. Se recomienda utilizar un mecanismo de puntuaci\u00f3n de reputaci\u00f3n din\u00e1mico. como el implementado en la soluci\u00f3n CDN5:<\/p>\n
El dise\u00f1o de la arquitectura back-to-source es a\u00fan peor. Algunos proveedores se dedican directamente a la conversi\u00f3n de IPv6 a IPv4 para ahorrar tiempo, y esta soluci\u00f3n est\u00e1 abocada a tener problemas cuando se encuentra con protocolos de descubrimiento de PMTU. Un enfoque m\u00e1s seguro es dejar que los nodos perif\u00e9ricos realicen un apilamiento dual con el origen, como hace CDN07 al implementar la selecci\u00f3n inteligente de protocolos: cuando la calidad del enlace IPv6 con el origen es inferior al umbral, se cambia autom\u00e1ticamente a IPv4, manteniendo la coherencia de la sesi\u00f3n.<\/p>\n
Recientemente, cuando ayudamos a un sitio web de v\u00eddeos a realizar la migraci\u00f3n, tambi\u00e9n encontramos una trampa oculta: el problema de la MTU de IPv6. Dado que IPv6 proh\u00edbe la fragmentaci\u00f3n, el par\u00e1metro tcp-mss debe configurarse expl\u00edcitamente cuando el nodo CDN utiliza 1480 bytes de MTU y el lado del usuario utiliza 1500 bytes:<\/p>\n
El aspecto de la supervisi\u00f3n tambi\u00e9n tiene que actualizarse por completo. Los tableros de control tradicionales de IPv4 no muestran los indicadores clave del tr\u00e1fico IPv6, por lo que hemos desarrollado un mapa tridimensional del tr\u00e1fico IPv6 con informaci\u00f3n geogr\u00e1fica, que puede mostrar visualmente la correlaci\u00f3n de ataques a diferentes segmentos de direcciones. Esta herramienta se utiliz\u00f3 para identificar tr\u00e1fico an\u00f3malo procedente del segmento de direcciones 2001:db8::\/32, que finalmente se rastre\u00f3 hasta el programa de escaneado de redes IPv6 de un pa\u00eds.<\/p>\n
Para ser honesto, el soporte de IPv6 de muchos proveedores de seguridad se ocupa ahora de las inspecciones. La \u00faltima vez que vi las reglas de protecci\u00f3n de vulnerabilidad de un producto, las reglas relacionadas con IPv6 son s\u00f3lo una d\u00e9cima parte de IPv4, este efecto de protecci\u00f3n es mejor que simplemente apagar. Si realmente quieres hacer un buen trabajo de protecci\u00f3n, se recomienda consultar las directrices de seguridad IPv6 publicadas por el NIST, o al menos tener en cuenta las caracter\u00edsticas de las extensiones de privacidad de direcciones y la rotaci\u00f3n temporal de direcciones.<\/p>\n
Tras m\u00e1s de medio a\u00f1o de pruebas de batalla, finalmente elegimos CDN5 como principal proveedor de servicios y 08Host para la recuperaci\u00f3n de desastres y copias de seguridad. Apreciamos especialmente la funci\u00f3n de mapa de amenazas en tiempo real de CDN5, que puede mostrar la correlaci\u00f3n entre las cadenas de ataques IPv4 e IPv6 al mismo tiempo. Una vez, al defender un ataque de inundaci\u00f3n IPv6 de 800 Gbps, su nodo de limpieza pudo identificar la huella digital del dispositivo IoT secuestrado y cortar directamente el enlace de control del servidor C2.<\/p>\n
Recientemente, acabo de ayudar a una bolsa a completar una transformaci\u00f3n completa de IPv6, y la experiencia m\u00e1s profunda es que IPv6 no es un simple cambio de formato de direcci\u00f3n, sino una actualizaci\u00f3n de todo el sistema de seguridad. Ahora la latencia de su sistema de intercambio se ha reducido en 17% porque IPv6 evita la sobrecarga de la conversi\u00f3n NAT. Y lo que es m\u00e1s, nunca se han encontrado con el problema de la suplantaci\u00f3n de ARP de la era IPv4, despu\u00e9s de todo, el protocolo IPv6 Neighbour Discovery tiene un mecanismo de autenticaci\u00f3n cifrado.<\/p>\n
Si tuviera que recomendar un plan de migraci\u00f3n ahora, dir\u00eda: date prisa y actualiza tu arquitectura dual-stack a una arquitectura IPv6-first pura y deja de aferrarte a IPv4. Los \u00faltimos datos de investigaci\u00f3n muestran que el coste de atacar un enlace IPv6 puro es 40% m\u00e1s alto que IPv4, porque la eficacia de exploraci\u00f3n cae dr\u00e1sticamente debido al gran espacio de direcciones. Se trata simplemente de una barrera natural para la defensa.<\/p>\n
Un \u00faltimo dato: los sistemas Windows dan prioridad a IPv6 por defecto, y cuando su CDN no es compatible con IPv6, los usuarios experimentan un retraso en la recuperaci\u00f3n del protocolo. Este detalle basta para explicar por qu\u00e9 algunos sitios web con la misma configuraci\u00f3n se cargan m\u00e1s r\u00e1pido y otros m\u00e1s despacio: el secreto est\u00e1 en la diferencia de milisegundos en la resoluci\u00f3n de direcciones.<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente para ayudar a los clientes a solucionar un extra\u00f1o problemas de red, la otra parte jur\u00f3 que el servidor fue la penetraci\u00f3n de DDoS, me acerqu\u00e9 a mirar la curva de tr\u00e1fico en la m\u00fasica - est\u00e1 claro que la solicitud del cliente IPv6 fueron los viejos nodos CDN como tr\u00e1fico an\u00f3malo a la muerte equivocada. El cliente me pregunt\u00f3 con los ojos muy abiertos: \u201c\u00bfD\u00f3nde alguien usa IPv6 ahora?\u201d Directamente cort\u00e9 el hotspot del tel\u00e9fono m\u00f3vil a la red 5G y lo pas\u00e9: \u201cPru\u00e9belo usted mismo, ahora la proporci\u00f3n de direcciones IPv6 asignadas por las estaciones base 5G es casi 90%.\u201d Hoy en d\u00eda, el entorno de red se est\u00e1 volviendo mucho m\u00e1s r\u00e1pido de lo imaginado. El a\u00f1o pasado, la tasa de penetraci\u00f3n global de IPv6 super\u00f3 oficialmente los 40%, y la proporci\u00f3n de tr\u00e1fico IPv6 en las redes m\u00f3viles de las tres principales operadoras nacionales super\u00f3 incluso los 50%. Sin embargo, la configuraci\u00f3n de la red de distribuci\u00f3n de alta definici\u00f3n de muchas empresas sigue estancada en la fase primaria de la arquitectura de doble pila, y no se dan cuenta de que IPv6 lleva ya mucho tiempo en el mercado.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1058","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1058"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1058\/revisions"}],"predecessor-version":[{"id":1067,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1058\/revisions\/1067"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1058"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}