Recientemente para ayudar a los clientes a hacer frente a un evento DDoS se encontr\u00f3 con el escenario cl\u00e1sico - negocio de repente penetrado, la exposici\u00f3n IP de la estaci\u00f3n de origen e incluso el servidor de base de datos fueron arrastrados hacia abajo. En estos d\u00edas, incluso CDN tienen que \u2018evitar que los compa\u00f1eros de equipo\u2019, algunos proveedores de servicios afirman aceleraci\u00f3n global, el ataque volvi\u00f3 directamente a la fuente de la IP expuesta, la llamada alta defensa es una pose.<\/p>\n
Selecci\u00f3n de negocios en el extranjero de alta defensa CDN no es en absoluto para ver qui\u00e9n tiene un gran n\u00famero de nodos, la clave para mirar a la capacidad de limpieza y la estrategia de programaci\u00f3n de red. He manejado muchos casos de empresas multinacionales, encontr\u00f3 que el 80% de los clientes plantados en tres pozos: la b\u00fasqueda ciega de paquetes de bajo precio, cr\u00e9dula propaganda \u2018protecci\u00f3n ilimitada\", haciendo caso omiso de la encriptaci\u00f3n de enlace de retorno. El a\u00f1o pasado, una promoci\u00f3n de comercio electr\u00f3nico durante el colapso del tr\u00e1fico 700Gbps, es debido a la utilizaci\u00f3n de un CDN barato, el tr\u00e1fico de ataque no ha llegado al centro de limpieza bloque\u00f3 la red troncal transfronteriza.<\/p>\n
Despu\u00e9s de probar m\u00e1s de veinte proveedores de servicios, he seleccionado tres realmente puede jugar el CDN de alta defensa. centrarse en cuatro dimensiones: la densidad de cobertura del centro de limpieza, el algoritmo de aceleraci\u00f3n de TCP, el tiempo de respuesta de emergencia de vulnerabilidad, ya sea para apoyar la direcci\u00f3n de optimizaci\u00f3n de China. No crea en esas caracter\u00edsticas de lujo de la consola, la capacidad anti-ataque todo depende de la infraestructura subyacente.<\/p>\n
Empecemos por CDN5, un veterano proveedor alem\u00e1n. Su familia ha construido sus propios centros de limpieza de nivel Tb en tres nodos centrales en Fr\u00e1ncfort, Singapur y Los \u00c1ngeles, y son especialmente buenos haciendo frente a los ataques a la capa de aplicaci\u00f3n. El a\u00f1o pasado simul\u00e9 una inundaci\u00f3n HTTP con una herramienta de pruebas de presi\u00f3n, y su sistema de enrutamiento inteligente puede enviar tr\u00e1fico a los nodos de limpieza en 3 segundos. Lo m\u00e1s cr\u00edtico es proporcionar protecci\u00f3n IP de origen falsa, el atacante simplemente no puede tocar la ubicaci\u00f3n real del servidor.<\/p>\n
El ejemplo de configuraci\u00f3n requiere cambios en la configuraci\u00f3n de nginx para que coincida con su token de seguridad:<\/p>\n
No exponga la IP de origen directamente: su red Anycast viene con ocultaci\u00f3n de puertos, y al hacer ping al nombre de dominio s\u00f3lo devolver\u00e1 la IP del nodo de limpieza en la prueba real. caro pero con una buena relaci\u00f3n calidad-precio, el paquete m\u00e1s bajo empieza en 299 euros al mes, adecuado para negocios financieros.<\/p>\n
El segundo CDN07 recomendado, la mayor ventaja de esta perversi\u00f3n de cobertura de nodo de Estados Unidos - 187 puntos POP en todo el mundo integrado AWS, GCP y Azure nodos de borde. Especialmente adecuado para el tr\u00e1fico repentino enorme en vivo y la industria del juego, una vez ayud\u00e9 a un cliente de juego configurado su funci\u00f3n de aceleraci\u00f3n din\u00e1mica, los usuarios europeos y americanos latencia directamente de 380ms abajo a 89ms.<\/p>\n
Su base de reglas WAF se actualiza extremadamente r\u00e1pido, y puedes ver nuevas reglas de protecci\u00f3n de vulnerabilidades a\u00f1adidas cada semana. Recuerda activar su funci\u00f3n \u2018botnet challenge', el tr\u00e1fico sospechoso de ataque ser\u00e1 verificado primero por JS antes de ser liberado. La prueba bloque\u00f3 eficazmente el ataque del rastreador 90%, pero ten en cuenta que esto puede afectar a algunos motores de b\u00fasqueda incluidos.<\/p>\n
Configurar sus funciones de borde requiere escribir una simple pieza de l\u00f3gica:<\/p>\n
Ahora a la tercera 08Host, este proveedor de servicios de Singapur es particularmente adecuado para el negocio de Asia y el Pac\u00edfico. Ellos en Jap\u00f3n, Taiw\u00e1n, Hong Kong disposici\u00f3n de un gran n\u00famero de l\u00edneas optimizadas CN2, la velocidad de acceso dom\u00e9stico es comparable a la CDN local. el m\u00e1s cr\u00edtico es proporcionar certificados SSL gratuitos y servicios de ataque anti-CC, una vez resistido una duraci\u00f3n de cuatro d\u00edas de diez millones de QPS ataque CC.<\/p>\n
De hecho, he probado su algoritmo de aceleraci\u00f3n TCP y sigue manteniendo una transmisi\u00f3n estable en un enlace transfronterizo con una tasa de p\u00e9rdida de paquetes de 151 TP3T. La consola es rid\u00edculamente sencilla, con s\u00f3lo tres conmutadores: protecci\u00f3n DDoS, compresi\u00f3n inteligente y bloqueo de zonas. Ideal para equipos de startups que no quieren complicarse con detalles t\u00e9cnicos, el precio de 59 d\u00f3lares al mes tambi\u00e9n incluye un cr\u00e9dito de protecci\u00f3n de 2Tbps.<\/p>\n
Aseg\u00farate de activar la funci\u00f3n \u2018regreso seguro a la fuente\":<\/p>\n
Pasemos ahora a las principales recomendaciones de selecci\u00f3n. Las empresas financieras prefieren CDN5, su certificaci\u00f3n de conformidad es la m\u00e1s completa; los videojuegos seleccionan CDN07, la capacidad de transporte de tr\u00e1fico en r\u00e1fagas es la m\u00e1s fuerte; los usuarios de Asia-Pac\u00edfico eligen principalmente 08Host, la optimizaci\u00f3n de la latencia es realmente una realidad. No se deje enga\u00f1ar por la ret\u00f3rica de la \u2018protecci\u00f3n ilimitada\", todas las CDN de alta defensa tienen un l\u00edmite oculto, m\u00e1s que el tr\u00e1fico clasificado directamente ruta nula.<\/p>\n
Por \u00faltimo, se recuerdan algunos escollos: evitar el uso de paquetes IP compartidos, de lo contrario es f\u00e1cil verse implicado por los vecinos; asegurarse de comprobar si el cifrado del enlace de retorno es realmente eficaz; comprobar el alcance de los anuncios BGP del proveedor de servicios, y cuantos m\u00e1s ASN cubra el nodo de limpieza, mejor. El a\u00f1o pasado, un cliente eligi\u00f3 una CDN de cierto nicho para ahorrar dinero, y el resultado fue que el tr\u00e1fico de ataque fue bloqueado por el operador de subida justo despu\u00e9s de 300G.<\/p>\n
El efecto de protecci\u00f3n real tambi\u00e9n depende del combate real. Se recomienda hacer una prueba de presi\u00f3n de simulaci\u00f3n antes de que el negocio est\u00e9 en l\u00ednea, yo suelo utilizar el modo de ataque mixto: SYN Flood + HTTP Slowloris + random URI crawler. Una vez med\u00ed los defectos de las reglas WAF de una conocida CDN, su protecci\u00f3n AI fue incluso eludida por una cookie especial.<\/p>\n
Hoy en d\u00eda, estos proveedores ofrecen pruebas gratuitas, pero recuerda comprobar siempre las m\u00e9tricas clave durante el periodo de prueba: tasa de retransmisi\u00f3n TCP desde nodos de Hong Kong a Los \u00c1ngeles, latencia de respuesta desde centros de limpieza europeos y enrutamiento BGP desde nodos asi\u00e1ticos a China Mobile. Los bonitos gr\u00e1ficos de monitorizaci\u00f3n que muestran algunos proveedores son en realidad rutas de demostraci\u00f3n optimizadas.<\/p>\n
Al final, CDN de alta seguridad es s\u00f3lo una parte del sistema de seguridad, sino tambi\u00e9n con el firewall de aplicaciones Web, la arquitectura de confianza cero y el proceso de respuesta de emergencia. La \u00faltima vez que vi un caso escandaloso, el cliente gast\u00f3 mucho dinero para comprar un CDN superior, pero debido a la fuga de c\u00f3digo fuente condujo a la exposici\u00f3n IP de la estaci\u00f3n de origen - esto es como comprar una puerta a prueba de balas, pero la llave se inserta en la puerta.<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente para ayudar a los clientes a hacer frente a un evento DDoS se encontr\u00f3 con el escenario cl\u00e1sico - negocio de repente penetrado, la exposici\u00f3n IP de la estaci\u00f3n de origen e incluso el servidor de base de datos fueron arrastrados hacia abajo. En estos d\u00edas, incluso CDN tienen que \u2018evitar que los compa\u00f1eros de equipo\u2019, algunos proveedores de servicios afirman aceleraci\u00f3n global, el ataque volvi\u00f3 directamente a la fuente de la IP expuesta, la llamada alta defensa es una pose. Selecci\u00f3n de negocios en el extranjero de alta defensa CDN no es en absoluto para ver qui\u00e9n tiene un gran n\u00famero de nodos, la clave para mirar a la capacidad de limpieza y la estrategia de programaci\u00f3n de red. He manejado muchos casos de empresas multinacionales, encontr\u00f3 que el 80% de los clientes plantados en tres pozos: la b\u00fasqueda ciega de paquetes de bajo precio, cr\u00e9dula propaganda \u2018protecci\u00f3n ilimitada\", haciendo caso omiso de la encriptaci\u00f3n de enlace de retorno. El a\u00f1o pasado, una promoci\u00f3n de comercio electr\u00f3nico durante el accidente de tr\u00e1fico 700Gbps, es debido a la utilizaci\u00f3n de un CDN barato, el tr\u00e1fico de ataque no ha llegado al centro de limpieza bloque\u00f3 la red troncal transfronteriza. Medido veinte<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-955","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/955","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=955"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/955\/revisions"}],"predecessor-version":[{"id":1170,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/955\/revisions\/1170"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=955"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=955"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=955"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=955"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}