Anoche a las 3 de la ma\u00f1ana, el grupo de batalla explot\u00f3 de repente. \"\u00a1El servidor est\u00e1 atascado en PPT otra vez!\" \"Alguien est\u00e1 maliciosamente DDoSing el servidor, \u00bfverdad? Ni siquiera puedo conectarme!\" Mir\u00e9 la pantalla llena de quejas, me serv\u00ed un bocado de caf\u00e9, copi\u00e9 el teclado y empec\u00e9 a comprobar los registros - efectivamente, se trataba de un ataque de tipo tr\u00e1fico, el pico se dispar\u00f3 a 300Gbps, y los nodos CDN ordinarios fueron directamente perforados. Este tipo de escena, \u00bfqui\u00e9n no ha experimentado varias veces en la industria del juego? Pero cada vez que me encontr\u00e9, o la presi\u00f3n arterial tir\u00f3n completo.<\/p>\n
La industria del juego y sitios web ordinarios no son los mismos, de alta latencia 50ms jugadores pueden maldecir a la calle, servidor ca\u00eddo diez minutos de la inflamaci\u00f3n directa de la comunidad. Por no hablar de los hackers que se meten en los juegos populares, varios gigabytes por segundo de tr\u00e1fico de basura corriendo, no puede evitar que el servicio de espera para detener y perder dinero. He visto demasiados equipos utilizan la \"protecci\u00f3n gratuita\" de los proveedores de la nube ordinaria barato, s\u00f3lo para descubrir que el ancho de banda no es ni siquiera suficiente para llenar los dientes cuando son realmente golpeado.<\/p>\n
\u00bfPor qu\u00e9 las CDN ordinarias no pueden realizar ataques de juego? En primer lugar, el mecanismo de almacenamiento en cach\u00e9 simplemente no es la manera correcta. Los datos del juego son la interacci\u00f3n en tiempo real, las solicitudes din\u00e1micas representan m\u00e1s de 90%, cach\u00e9 CDN un solitario; en segundo lugar, la capacidad de limpieza falso est\u00e1ndar. Muchos vendedores escriben una \"protecci\u00f3n de nivel T\" es en realidad un cl\u00faster compartido, un golpe toda la regi\u00f3n junto con la tarjeta; en tercer lugar, la calidad del nodo var\u00eda. En el extranjero ir un enlace de derivaci\u00f3n, latencia directamente se dispar\u00f3 a 200ms +, los jugadores piensan que est\u00e1 utilizando Internet por sat\u00e9lite.<\/p>\n
Una CDN de juegos de alta defensa verdaderamente profesional tiene que cumplir tres duros indicadores al mismo tiempo:latencia ultrabaja<\/strong>\u3001Limpieza de precisi\u00f3n<\/strong>\u3001Soporte Edge Computing<\/strong>. La latencia debe controlarse dentro de los 30 ms, la limpieza debe ser capaz de reconocer las caracter\u00edsticas del protocolo del juego (como los paquetes de handshake del motor UE4), y tambi\u00e9n debe soportar operaciones de l\u00f3gica de borde para manejar parte de la l\u00f3gica del juego. Hoy en d\u00eda, incluso las CDN tienen que \"prevenir a los compa\u00f1eros de equipo\".<\/p>\n Probado una docena de proveedores de servicios en el mercado, elijo tres realmente puede jugar a decir. En primer lugar, la prueba puramente autofinanciado sin publicidad, algunos proveedores me env\u00edan una cuenta de prueba me negu\u00e9, s\u00f3lo figura un objetivo.<\/p>\n Rutas globales de aceleraci\u00f3n de juegos de CDN5<\/strong>Es el m\u00e1s estable que he usado este a\u00f1o. Espec\u00edficamente hacen la optimizaci\u00f3n de protocolo de juego, algoritmo de aceleraci\u00f3n TCP es un poco de una cosa, el retraso de nodo asi\u00e1tico es b\u00e1sicamente presionado dentro de 20ms. Anti-D capacidad de llevar a trav\u00e9s de la prueba real 480Gbps ataques mixtos, la clave es no perder paquetes. Ejemplo de configuraci\u00f3n en realidad no es complicado:<\/p>\n No olvides poner el subdominio del juego CNAME en la resoluci\u00f3n DNS al dominio protegido que proporcionan, el tr\u00e1fico pasa por el centro de limpieza antes de volver al origen. Recomiendo activar su funci\u00f3n \"Intelligent Protocol Analysis\", que identifica autom\u00e1ticamente las caracter\u00edsticas del tr\u00e1fico de los motores Unity y Unreal, con una tasa de falsos positivos mucho menor que las bases de reglas tradicionales.<\/p>\n Red de juegos Anycast de CDN07<\/strong>Es especialmente adecuado para proyectos de distribuci\u00f3n en el extranjero. Utilizan BGP Anycast para difundir la misma IP a m\u00e1s de 60 nodos de todo el mundo, y los jugadores se conectan autom\u00e1ticamente al nodo m\u00e1s cercano. La mayor ventaja es que el tr\u00e1fico de ataque se diluye en el nodo m\u00e1s cercano, y no ser\u00e1 f\u00e1cilmente penetrado como la protecci\u00f3n de punto \u00fanico. Sin embargo, es importante tener en cuenta que su aceleraci\u00f3n TCP debe activarse con un coste aparte, y la configuraci\u00f3n por defecto s\u00f3lo est\u00e1 optimizada para UDP.<\/p>\n Deliberadamente eleg\u00ed la hora punta de la tarde para ejecutar Speedtest, la latencia del enlace de Tokio a Los \u00c1ngeles en realidad se puede suprimir a unos 110 ms, mientras que la l\u00ednea general es m\u00e1s de 180 ms. La estrategia de defensa es muy agresivo, directamente en el ataque sospecha de interceptaci\u00f3n de la capa de enlace IP, medido 700Gbps SYN Flood ninguna fluctuaci\u00f3n. Pero hay un peque\u00f1o pozo: su restricci\u00f3n de flujo API de la consola es muy estricta, recuerde volver a probar el mecanismo al implementar la automatizaci\u00f3n.<\/p>\n Nicho dom\u00e9stico pero bueno08Host<\/strong>La primera cosa que me gustar\u00eda decir es que no estoy seguro de si voy a ser capaz de hacerlo. El precio es s\u00f3lo la mitad de los grandes fabricantes, pero la defensa realmente puede llevar 300Gbps. He desmantelado su l\u00f3gica de limpieza de tr\u00e1fico, en realidad el uso de chips FPGA para hacer coincidencia de reglas, m\u00e1s r\u00e1pido que el software de limpieza 3 veces de retraso. La desventaja es que el n\u00famero de nodos es peque\u00f1o, s\u00f3lo los usuarios nacionales y el sudeste de Asia, Europa y Estados Unidos tienen que encontrar otro programa.<\/p>\n Recuerda activar el modo \"Escudo de juego\" al configurarlo, ya que es una funci\u00f3n esencial:<\/p>\n No se crea la falsa propaganda de \"protecci\u00f3n ilimitada\". El a\u00f1o pasado, un proveedor presum\u00eda de protecci\u00f3n de 1Tbps, pero el resultado fue que probamos 400Gbps y lo penetramos, y la respuesta a la orden de trabajo fue \"Recomendamos actualizar a la versi\u00f3n personalizada para empresas\". Ahora veo que este tipo de eslogan cierra directamente la p\u00e1gina.<\/p>\n Hay que ver los efectos de la defensa en el mundo realPrecisi\u00f3n de limpieza<\/strong>\u548crelaci\u00f3n de caudal de retorno<\/strong>. Algunos proveedores dirigen todo el tr\u00e1fico de ataque al centro de limpieza, pero siguen perdiendo muchos paquetes basura al volver al origen. Mi m\u00e9todo de prueba habitual es: utilizar hping3 para simular 100.000pps de ACK Flood, mientras se ejecuta iperf3 para medir la latencia del tr\u00e1fico normal. Un buen CDN deber\u00eda hacer que las fluctuaciones de latencia de iperf3 fueran inferiores a 5%, pobre junto con la muerte de la tarjeta.<\/p>\n Hay un peque\u00f1o detalle m\u00e1s:panel de vigilancia<\/strong>Debes ser capaz de ver el tipo de ataque en tiempo real. Una vez me encontr\u00e9 con un ataque de amplificaci\u00f3n de reflexi\u00f3n, la consola de un proveedor s\u00f3lo mostraba \"anomal\u00eda de tr\u00e1fico\", y me bas\u00e9 en mi propia captura de paquetes para descubrir que se trataba de una reflexi\u00f3n NTP. M\u00e1s tarde, cambi\u00e9 a un proveedor que puede mostrar vectores de ataque, y de un vistazo pude ver que \"60% es un reflejo de Memcached\" - este es el tipo de informaci\u00f3n que O&M quiere.<\/p>\n Si el presupuesto es limitado, se recomienda utilizar una soluci\u00f3n h\u00edbrida: tirar CDN barato para los recursos est\u00e1ticos, y tomar una l\u00ednea de alta defensa para la comunicaci\u00f3n n\u00facleo del juego. Pero preste atenci\u00f3n a la estrategia de dispersi\u00f3n de nombre de dominio, no deje que el atacante encontrar la IP real del negocio. una vez que un equipo puso el sitio web oficial y la API del juego bajo el mismo nombre de dominio, el resultado de la p\u00e1gina web oficial fue derribado incluso arrastr\u00f3 hacia abajo el inicio de sesi\u00f3n del juego - esta olla CDN no puede volver.<\/p>\n Un \u00faltimo comentario tir\u00e1nico: lo del CDN de alta defensa.Mejor una redundancia que una casualidad.<\/strong>He visto demasiados equipos pensar \"somos peque\u00f1os y nadie puede vencernos\". He visto a demasiados equipos pensar \"nuestro juego es peque\u00f1o, nadie puede vencernos\", y luego recibir una paliza y llorar el d\u00eda del lanzamiento. Hoy en d\u00eda, los chantajistas tienen scripts de monitorizaci\u00f3n que escanean autom\u00e1ticamente los lanzamientos de nuevos juegos, as\u00ed que si no tienes la protecci\u00f3n adecuada, no haces m\u00e1s que mandar a la gente a tomar por culo. Es diez veces m\u00e1s barato hacer pruebas de estr\u00e9s por adelantado y simular el rendimiento de la empresa bajo un impacto de tr\u00e1fico de 200 Gbps que remediar la situaci\u00f3n a posteriori.<\/p>\n Caso real: El a\u00f1o pasado, un juego secundario utiliz\u00f3 una combinaci\u00f3n de programas: CDN5 para gestionar el tr\u00e1fico asi\u00e1tico, CDN07 para cubrir Europa y Estados Unidos, y 08Host como l\u00ednea de reserva. En la l\u00ednea se produjo un DDoS de una semana de duraci\u00f3n, el mayor golpe a 800Gbps, pero los jugadores no lo percibieron. El responsable de operaci\u00f3n y mantenimiento me dijo m\u00e1s tarde que el dinero extra gastado no es nada comparado con la p\u00e9rdida de suspensi\u00f3n del servicio.<\/p>\n Al final, elegir el juego de alta defensa CDN es como comprar un seguro - por lo general se sienten p\u00e9rdida de dinero, cuando algo sucede es una paja para salvar vidas. Los indicadores clave para ver el poder duro: los datos de retardo a las pruebas de terceros (como PingTools para medir los nodos globales), la capacidad de defensa para ver el informe de prueba de presi\u00f3n real, no creo en la ret\u00f3rica de marketing sitio web oficial. Recuerde, el CDN que le permite dormir tranquilo es un buen CDN.<\/p>","protected":false},"excerpt":{"rendered":" Anoche a las 3 de la ma\u00f1ana, el grupo de batalla explot\u00f3 de repente. \"\u00a1El servidor est\u00e1 atascado en PPT otra vez!\" \"Alguien est\u00e1 DDoSing maliciosamente, \u00bfverdad? Ni siquiera puedo conectarme!\" Mir\u00e9 la pantalla llena de quejas, me serv\u00ed un bocado de caf\u00e9, copi\u00e9 el teclado y empec\u00e9 a comprobar los registros - efectivamente, se trataba de un ataque de tipo tr\u00e1fico, el pico se dispar\u00f3 a 300Gbps, y los nodos CDN ordinarios fueron directamente perforados. Este tipo de escena, \u00bfqui\u00e9n no ha experimentado varias veces en la industria del juego? Pero cada vez que me encuentro, o la presi\u00f3n arterial tir\u00f3n completo. Industria del juego y sitios web ordinarios no son los mismos, los jugadores de alta latencia 50ms puede maldecir la calle, el tiempo de inactividad del servidor diez minutos comunidad directamente en la inflamaci\u00f3n. Por no hablar de los hackers que eligen los juegos populares para empezar, varios gigabytes de tr\u00e1fico de basura por segundo corriendo, no puede evitar que el servicio de espera para detener y perder dinero. He visto demasiados equipos utilizan la \"protecci\u00f3n gratuita\" de los proveedores de la nube ordinaria barato, y s\u00f3lo cuando realmente son golpeados.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-926","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/926","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=926"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/926\/revisions"}],"predecessor-version":[{"id":1199,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/926\/revisions\/1199"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=926"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=926"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=926"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=926"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}