Recientemente, la gente siempre me pregunta si hay alg\u00fan tipo de recomendaci\u00f3n CDN de alta defensa que no est\u00e1 podrido y puede ser golpeado. Para ser honesto, el gran CDN es ciertamente estable, pero el precio es transparente como el cristal, los atacantes sienten la puerta clara, un golpe un preciso. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d - nunca se sabe qu\u00e9 segmento IP ser\u00e1 el oponente de antemano en la lista negra.<\/p>\n
He probado no menos de veinte peque\u00f1os y medianos proveedores de servicios CDN, pis\u00f3 el hoyo tambi\u00e9n cav\u00f3 al tesoro. La charla de hoy de tres, es posible que ni siquiera han o\u00eddo hablar del nombre, pero la capacidad de resistir la lucha es absolutamente m\u00e1s all\u00e1 de las expectativas. Lo que tienen en com\u00fan es:Ocultar las IP del sitio de origen se hace dif\u00edcil, las reglas del cortafuegos son flexibles como una navaja suiza y la curva de precios no es tan pronunciada como la de los grandes.<\/strong>\u3002<\/p>\n En primer lugar, echemos agua fr\u00eda a la olla: no esperes que las CDN de nicho tengan el tipo de densidad global de nodos Anycast que tiene AliCloud. Su valor reside en la \u201cdefensa asim\u00e9trica\u201d, que compensa la desventaja de la escala de hardware con estrategias personalizadas. Por ejemplo, mediante el filtrado de puertos, el ajuste din\u00e1mico del desaf\u00edo JS, o incluso disfrazado de p\u00e1gina 404 para enga\u00f1ar al esc\u00e1ner.<\/p>\n El primero: CDN5 - especializado en todo tipo de muertes por DDoS<\/strong><\/p>\n El argumento de venta es la \u201climpieza inteligente de rutas\u201d. Tom\u00e9 una m\u00e1quina de prueba para simular un ataque de tr\u00e1fico mixto de 550 Gbps, y de hecho utilizaron la tecnolog\u00eda de salto din\u00e1mico de puertos para resistirlo. El principio es muy sencillo: llevar el tr\u00e1fico a varios nodos virtuales para realizar un an\u00e1lisis de las caracter\u00edsticas y, a continuaci\u00f3n, a trav\u00e9s de la difusi\u00f3n BGP, devolver el tr\u00e1fico limpio al origen. Lo m\u00e1s interesante es que admite valores TTL personalizados para protocolos TCP, lo que puede impedir eficazmente el rastreo.<\/p>\n El backend de configuraci\u00f3n tiene este aspecto (partes clave codificadas):<\/p>\n La prueba encontr\u00f3 que su control de latencia nodos asi\u00e1ticos dentro de 45ms, Europa y los nodos de Estados Unidos son ligeramente m\u00e1s d\u00e9biles, pero tambi\u00e9n puede ser estable a 120ms. el precio es el punto culminante: 1TB de tr\u00e1fico + 2Tbps de protecci\u00f3n de l\u00ednea de base menos de $200 por mes, se encontr\u00f3 con un gran ataque no ciegamente deducir el costo, pero desencaden\u00f3 la elasticidad de la expansi\u00f3n.<\/p>\n El segundo: CDN07 - Ocultar la IP de origen como una base militar<\/strong><\/p>\n Si est\u00e1s harto del modo de resoluci\u00f3n CNAME de las grandes CDN que no cambia desde hace a\u00f1os, \u00e9sta te alegrar\u00e1 la vista. Utilizan la tecnolog\u00eda de IP pool din\u00e1mico, cada consulta DNS devuelve una IP de nodo diferente, y cada IP tiempo de supervivencia de menos de 300 segundos. He utilizado ZoomEye motor de barrido durante tres d\u00edas, se congel\u00f3 y no averiguar su segmento IP real.<\/p>\n Es m\u00e1s, soporta el \u201cModo Muerto Falso\u201d - cuando se detecta un ataque penetrante, disfrazar\u00e1 autom\u00e1ticamente la respuesta de la estaci\u00f3n de origen como una p\u00e1gina de error 502 mientras cambia a una IP alternativa en segundo plano, que es pr\u00e1cticamente invisible para el lado del cliente, pero el atacante pensar\u00e1 que realmente cuelga el objetivo.<\/p>\n Dar una configuraci\u00f3n de enlace NGINX:<\/p>\n La desventaja es que los documentos est\u00e1n todos en Ingl\u00e9s, y la respuesta a la orden de trabajo tiene que esperar unas 6 horas. Pero el efecto de defensa puede permitirse el lujo de esperar - el a\u00f1o pasado, un ataque de 500G CC, el ancho de banda de mi negocio est\u00e1 lleno, que en realidad utilizan la tecnolog\u00eda de reestructuraci\u00f3n de protocolo para tamizar la solicitud efectiva, y en \u00faltima instancia, la fuga a la estaci\u00f3n de origen del tr\u00e1fico de menos de 3%.<\/p>\n Tercero: 08Host - El coche blindado de los pobres pero que puede luchar<\/strong><\/p>\n Este es el m\u00e1s adecuado para los webmasters que tienen un presupuesto ajustado, pero que son machacados todos los d\u00edas. Usted puede obtener 2Tbps de protecci\u00f3n b\u00e1sica para $79 por mes, y aunque el n\u00famero de nodos es peque\u00f1o, cada uno viene con equipo de limpieza de hardware. He demolido su informe de tr\u00e1fico, encontr\u00f3 la operaci\u00f3n m\u00e1gica: el juego \/ tr\u00e1fico UDP y Web \/ tr\u00e1fico TCP para ir a la separaci\u00f3n de l\u00ednea f\u00edsica diferente, para evitar interferir entre s\u00ed.<\/p>\n Lo que m\u00e1s me sorprendi\u00f3 fue la posibilidad de personalizar la base de reglas WAF con scripts Lua:<\/p>\n La precisi\u00f3n de intercepci\u00f3n medida es bastante superior a la del WAF gratuito de Cloudflare. Sin embargo, ten en cuenta que se funden directamente despu\u00e9s de los excesos de tr\u00e1fico, y no te dejar\u00e1 en deuda como los grandes jugadores. Es adecuado para negocios que no fluct\u00faan demasiado, y tendr\u00e1s que comprar un paquete de resiliencia si tienes mucho tr\u00e1fico repentino.<\/p>\n Comparaci\u00f3n de productos secos<\/strong><\/p>\n Compara estos tres con AWS Shield, que yo he utilizado:<\/p>\n \u25aa El tiempo de recuperaci\u00f3n de CDN5 ante un ataque SYN Flood de 500 Gbps es unos 10 segundos m\u00e1s r\u00e1pido que el de AWS porque hay menos sobrecarga de programaci\u00f3n global. Una \u00faltima palabra de verdad.<\/strong><\/p>\n \u00bfCu\u00e1l es el mayor temor de las CDN de nicho? No es que no pueden llevar el golpe, pero que los nodos son inestables. He sufrido p\u00e9rdidas - una cierta publicidad 100Tbps capacidad de limpieza, el encuentro real 300G ataque en toda la l\u00ednea roja. As\u00ed que ahora elegir el proveedor de servicios debe mirar a dos puntos:Disponibilidad de la certificaci\u00f3n SOC2<\/strong>\u548c\u00bfPuede proporcionar una declaraci\u00f3n de casos reales de ataque<\/strong>\u3002<\/p>\n Hay otro consejo: antes de firmar el contrato, hay que comprobar el \u201cporcentaje de tr\u00e1fico de vuelta a la fuente\u201d. Vendedores regulares tasa de limpieza de al menos 95% o m\u00e1s, lo que significa que el tr\u00e1fico de ataque 100G s\u00f3lo menos de 5G ir\u00e1 a la estaci\u00f3n de origen. Si la otra parte no se atreve a proporcionar acceso de prueba, pase directo.<\/p>\n Ahora utilizo CDN5 + 08Host arquitectura de doble redundancia - el tr\u00e1fico diario ir 08Host ahorro de costes, los ataques de m\u00e1s de 800G cambiar autom\u00e1ticamente CDN5. este conjunto de soluciones que puramente uso Cloudflare Enterprise Edition ahorro mensual de $4000 +, y no parec\u00eda ser una falsa muerte.<\/p>\n En resumen, la alta defensa CDN es como comprar un seguro, no se puede esperar a ser golpeado y luego estudiar. Enterrar varias l\u00edneas de defensa de antemano puede al menos hacer que el atacante sienta que \u201ceste nieto es realmente dif\u00edcil de masticar\u201d y se convierta en un caqui m\u00e1s suave. Despu\u00e9s de todo, en el campo de la seguridad de la red.Sobrevivir al adversario es ganar.<\/strong>\u3002<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, la gente siempre me pregunta si hay alg\u00fan tipo de recomendaci\u00f3n CDN de alta defensa que no est\u00e1 podrido y puede ser golpeado. Para ser honesto, el gran CDN es ciertamente estable, pero el precio es transparente como el cristal, los atacantes sienten la puerta clara, un golpe un preciso. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d - nunca se sabe qu\u00e9 segmento IP ser\u00e1 el oponente de antemano en la lista negra. He probado no menos de veinte peque\u00f1os y medianos proveedores de servicios CDN, pis\u00f3 el hoyo tambi\u00e9n cav\u00f3 al tesoro. La charla de hoy de tres, es posible que ni siquiera han o\u00eddo hablar del nombre, pero la capacidad de resistir la lucha es absolutamente m\u00e1s all\u00e1 de las expectativas. Tienen en com\u00fan: fuente oculta IP para hacer duro, reglas de firewall tan flexible como una navaja suiza, y la curva de precios no es tan pronunciada como las grandes empresas. En primer lugar, echa un jarro de agua fr\u00eda: no esperes que las CDN de nicho puedan tener el tipo de densidad de nodos Anycast globales de AliCloud. Su valor reside en la \u201casimetr\u00eda<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-927","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/927","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=927"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/927\/revisions"}],"predecessor-version":[{"id":1198,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/927\/revisions\/1198"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=927"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=927"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=927"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=927"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\u25aa Tasa de reconocimiento de ataques CC: CDN07 alcanza 99,2%, 08Host es 97%, AWS versi\u00f3n gratuita solo 89%.
\u25aa Precio: con la misma base de protecci\u00f3n de 2Tbps, los grandes operadores promedian $1200\/mes, estos tres est\u00e1n dentro de $300<\/p>\n