Recientemente, varios amigos hacen aplicaciones sociales me est\u00e1n haciendo la misma pregunta: su CDN de alta seguridad en el apoyo final IPv6? Esta pregunta es bastante bueno, despu\u00e9s de todo, ahora s\u00f3lo una aplicaci\u00f3n social tiene que hacer frente a una variedad de ataques a la red, no hay CDN de alta seguridad fiable es simplemente corriendo desnudo. Pero lo m\u00e1s importante, IPv6 esta cosa no es \u201cel futuro\u201d, pero \u201cahora en\u201d el est\u00e1ndar de la tecnolog\u00eda.<\/p>\n
Empezar\u00e9 por la conclusi\u00f3n:Una CDN de alta defensa social realmente fiable debe soportar IPv6, y debe ser soporte nativo, \u00a1no ese tipo de soluci\u00f3n de reenv\u00edo a medias!<\/strong>He probado varios de ellos. No hagas caso a algunos vendedores soplando lo que \u201cla compatibilidad IPv6\u201d, he probado varios, algunos de ellos son el tr\u00e1fico IPv6 en IPv4 y luego procesado, por no hablar de la alta latencia, la pol\u00edtica de seguridad tambi\u00e9n es f\u00e1cil perderse el juicio, es puramente enga\u00f1ar a la gente.<\/p>\n \u00bfPor qu\u00e9 las aplicaciones sociales en particular necesitan compatibilidad con IPv6? Sencillo, el n\u00famero de usuarios est\u00e1 ah\u00ed. Ahora, en el Sudeste Asi\u00e1tico, \u00c1frica y otros mercados emergentes, la tasa de penetraci\u00f3n de IPv6 es de casi 70%, si s\u00f3lo se da soporte a IPv4, equivale a renunciar activamente a una gran oleada de usuarios. Por no hablar de que algunos operadores nacionales incluso s\u00f3lo dan direcciones IPv6 por defecto, as\u00ed que \u00bfc\u00f3mo dejas que otros usuarios accedan? \u00bfC\u00f3mo esperas que accedan?<\/p>\n En teor\u00eda, los ataques DDoS son m\u00e1s dif\u00edciles de llevar a cabo porque IPv6 tiene un espacio de direcciones tan grande, \u00bfverdad? Pero la realidad es que los hackers se centran ahora en IPv6 espec\u00edficamente porque muchas empresas simplemente no hacen un buen trabajo de protecci\u00f3n. Conoc\u00ed a una empresa social el a\u00f1o pasado, la protecci\u00f3n IPv4 para hacer como un barril, los resultados de la entrada IPv6 fue martillado en un colador - atacantes directamente con ataques IPv6 CC, los nodos se paralizaron en el acto.<\/p>\n As\u00ed que, al elegir una CDN de alta defensa, no se limite a preguntar \u201c\u00bfes compatible con IPv6?\u201d, sino que pregunte por estos detalles: \u00bfse trata de una conversi\u00f3n nativa dual-stack o NAT, y las reglas de protecci\u00f3n IPv6 son coherentes con las IPv4? \u00bfExiste una pol\u00edtica de cortafuegos IPv6 independiente? \u00bfSe duplicar\u00e1 el coste del ancho de banda? Todos estos son los puntos de conocimiento que se intercambian en las lecciones de sangre y l\u00e1grimas.<\/p>\n Por ejemplo, la CDN5 que utilizamos es una s\u00f3lida pila dual nativa. Cada nodo escucha tanto IPv4 como IPv6, y las reglas de protecci\u00f3n est\u00e1n completamente sincronizadas. Us\u00e9 a prop\u00f3sito la herramienta de prueba para simular el ataque IPv6 SYN Flood, el resultado del tiempo de alarma de disparo es incluso m\u00e1s r\u00e1pido que IPv4 200ms - porque su chip de filtro de hardware optimizado para mensajes IPv6.<\/p>\n Tambi\u00e9n es f\u00e1cil de configurar, y no hay necesidad de escribir un conjunto separado de reglas para IPv6. Por ejemplo, la configuraci\u00f3n de la protecci\u00f3n CC en un WAF puede cubrir protocolos duales con una sola l\u00ednea de c\u00f3digo:<\/p>\n Pero algunos vendedores son mucho m\u00e1s lamentables. Por ejemplo, uno llamado CDN07, en apariencia dice que soporta IPv6, pero en realidad utiliza el modo de conversi\u00f3n proxy. El tr\u00e1fico debe dar primero una vuelta por su servidor de conversi\u00f3n, y luego reenviarse a la fuente. La latencia es de 50ms m\u00e1s, por no hablar de que, debido a que el NAT pool es demasiado peque\u00f1o, el per\u00edodo de pico a menudo se quedan sin puertos, dando lugar a errores 502. M\u00e1s tarde captur\u00e9 paquetes y descubr\u00ed que la cabecera de respuesta ten\u00eda en realidad campos `X-Forwarded-For: 2001:db8::1` que obviamente no se hab\u00edan convertido, lo cual era indignante.<\/p>\n Hay una m\u00e1s desesperada 08Host, la p\u00e1gina promocional escrito en letras grandes, \u201csoporte completo para IPv6\u201d, los resultados de un servicio al cliente, usted tiene que a\u00f1adir dinero para comprar \u201cEnterprise Enhanced Edition\u201d para abrir. La versi\u00f3n b\u00e1sica de la CDN de alta defensa, incluso los futuros protocolos de red tienen que pagar extra? Hoy en d\u00eda, incluso CDN tienen que \u201cevitar que los compa\u00f1eros de equipo\u201d.<\/p>\n De hecho, la principal dificultad de la protecci\u00f3n IPv6 es que el espacio de direcciones es tan grande que el mecanismo tradicional de listas negras resulta f\u00e1cilmente ineficaz. Por ejemplo, en IPv4 se puede bloquear un segmento \/24 para afectar como m\u00e1ximo a 256 IP, pero en IPv6 se puede bloquear un segmento \/64: son 18.400 millones de millones de direcciones, \u00bfqui\u00e9n se atreve a hacerlo? As\u00ed que la verdadera soluci\u00f3n fiable tiene que basarse en el an\u00e1lisis del comportamiento + el aprendizaje autom\u00e1tico.<\/p>\n Nuestra estrategia actual es una combinaci\u00f3n de puntuaci\u00f3n de reputaci\u00f3n y modelizaci\u00f3n del tr\u00e1fico en tiempo real. Por ejemplo, si aparecen 1.000 solicitudes de conexi\u00f3n en el mismo segmento \/64, se activa directamente la limitaci\u00f3n el\u00e1stica del flujo en lugar del bloqueo duro. Este conjunto de reglas tiene aproximadamente el siguiente aspecto cuando se configura en CDN5:<\/p>\n Para ser sinceros, no hay muchos vendedores que se atrevan a decir que han penetrado completamente en la alta defensa IPv6. Adem\u00e1s de la CDN5 acaba de presumir, los otros dos fabricantes internacionales no est\u00e1n mal, pero los nodos nacionales son demasiado pocos, el retraso no puede soportar los requisitos en tiempo real de las aplicaciones sociales. De todos modos, al seleccionar un modelo, aseg\u00farese de probar, se centran en tres puntos: las fluctuaciones de latencia IPv6, el tiempo efectivo de protecci\u00f3n, y la estructura de costes.<\/p>\n Por \u00faltimo, algunos clientes siempre piensan que IPv6 es una \u201cruta alternativa\u201d y no quieren invertir recursos. Como resultado, en realidad esperan a que se agoten o agoten las direcciones IPv4 antes de apresurarse a migrar, y entonces el coste de transformaci\u00f3n es a\u00fan mayor. Ser\u00eda mejor elegir una CDN con una pila dual completa y ponerla en marcha de una sola vez.<\/p>\n En resumen, si la CDN de alta defensa para aplicaciones sociales no soporta IPv6 nativo, b\u00e1sicamente puedes pasar. No es una cuesti\u00f3n de tecnolog\u00eda atrasada, simplemente no est\u00e1 destinado a servirle durante mucho tiempo - incluso la adaptaci\u00f3n b\u00e1sica de la futura red no se puede hacer, pero tambi\u00e9n se atreven a cobrar dinero por alta defensa?<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, varios amigos hacen aplicaciones sociales me est\u00e1n haciendo la misma pregunta: su CDN de alta seguridad en el apoyo final IPv6? Esta pregunta es bastante bueno, despu\u00e9s de todo, ahora s\u00f3lo una aplicaci\u00f3n social tiene que hacer frente a una variedad de ataques a la red, no hay CDN de alta seguridad fiable es simplemente corriendo desnudo. Pero lo m\u00e1s importante, IPv6 esta cosa ya no es \u201cfuturo\u201d, pero \u201cahora en\u201d el est\u00e1ndar de la tecnolog\u00eda. Primero dije la conclusi\u00f3n: la verdadera CDN de alta defensa social fiable debe soportar IPv6, y debe ser soporte nativo, no el tipo de esquema de reenv\u00edo a medias. No hagas caso a algunos vendedores soplan lo que \u201ccompatible con IPv6\u201d, he probado varios, algunos de los cuales es el tr\u00e1fico IPv6 en IPv4 y luego procesado, por no hablar de la alta latencia, la pol\u00edtica de seguridad tambi\u00e9n es f\u00e1cil perderse el juicio, puramente enga\u00f1ar a la gente. Por qu\u00e9 las aplicaciones sociales<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-967","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/967","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=967"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/967\/revisions"}],"predecessor-version":[{"id":1158,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/967\/revisions\/1158"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=967"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=967"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=967"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=967"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}