Recientemente, me han preguntado por los clientes: \u00bfQu\u00e9 CDN de alta defensa que utiliza, y es el de Huawei Cloud est\u00e1 bien? Para ser honesto, en estos d\u00edas incluso CDNs tienen que \"evitar que los compa\u00f1eros de equipo\" - algunos proveedores de servicios hablan de \"aceleraci\u00f3n global\", los ataques reales CC directamente de vuelta a la fuente, esto no es un pozo?<\/p>\n
El mes pasado, nuestro equipo estaba actualizando la arquitectura de seguridad, y saqu\u00e9 la CDN de alta defensa de Huawei Cloud, la antigua CDN5 del sector y la CDN07, que se centra en los pa\u00edses de ultramar, y las prob\u00e9 todas por turnos. El m\u00e9todo de prueba es muy simple y tosco: directamente al nombre de dominio de prueba para verter tr\u00e1fico mixto para ver cu\u00e1l puede llevar el escenario de ataque real.<\/p>\n
Tira primero de conclusiones:<\/strong>Esta soluci\u00f3n Cloud de Huawei realmente hace honor a la palabra \"clase empresarial\" en las tres dimensiones fundamentales de calidad de nodo, precisi\u00f3n de defensa y estabilidad. Pero no se apresure a desembolsar dinero, hay algunos puntos que debe conocer de antemano.<\/p>\n El entorno de prueba se construy\u00f3 con tres conjuntos de arquitecturas: CDN de alta defensa de Huawei Cloud, paquete de aceleraci\u00f3n WAF de CDN5 y l\u00ednea preferente Asia-Pac\u00edfico de CDN07. Cada conjunto de configuraci\u00f3n 10 p\u00e1ginas centrales, incluyendo API din\u00e1mica y recursos est\u00e1ticos, con LoaderRunner simulado 500QPS de tr\u00e1fico normal + 200QPS de tr\u00e1fico de ataque de solicitud mixta, pruebas de presi\u00f3n continua durante 6 horas.<\/p>\n La primera ronda de medici\u00f3n de la cobertura de nodos. Huawei Cloud anunciaba oficialmente m\u00e1s de 2800 nodos, de hecho utilic\u00e9 el comando Dig para averiguar que el n\u00famero de nodos alcanzables es 137 (Asia-Pac\u00edfico), comparado con los 89 de CDN5 y los 211 de CDN07, el n\u00famero de nodos en el medio. Pero la calidad de los nodos es algo que se puede enga\u00f1ar con s\u00f3lo mirar el n\u00famero de nodos: eleg\u00ed espec\u00edficamente el pico de la tarde utilizando MTR para trazar la ruta, y descubr\u00ed que los saltos del nodo de Hong Kong de Huawei Cloud se controlan dentro de los 5 saltos, y el nodo de Los \u00c1ngeles est\u00e1 en la ruta CN2 GIA. Por el contrario, aunque CDN07 tiene muchos nodos, la latencia de algunos nodos del sudeste asi\u00e1tico se dispar\u00f3 hasta 380 ms+.<\/p>\n He aqu\u00ed un detalle del que merece la pena presumir: los nodos perif\u00e9ricos de Huawei Cloud optimizan la pila TCP. He cogido un paquete y he visto que han cambiado los par\u00e1metros del kernel, el n\u00famero de retransmisiones SYN se ha reducido de las 5 veces por defecto a 3 veces, y el tiempo de recuperaci\u00f3n del estado TIME_WAIT se ha comprimido a 1 segundo. No subestimes este cambio, cuando te encuentres con un ataque SYN Flood el pool de conexiones no estar\u00e1 ocupado, la prueba real puede llevar 3000 paquetes malformados m\u00e1s por segundo.<\/p>\n El rendimiento de Huawei Cloud es un poco sorprendente - UDP Flood es todo limpiado en los nodos de borde, sin ning\u00fan tipo de tr\u00e1fico de vuelta a la fuente.CC ataque desencaden\u00f3 la verificaci\u00f3n humana, pero la l\u00f3gica de verificaci\u00f3n es un poco interesante: el mismo dispositivo no aparecer\u00e1 el c\u00f3digo de verificaci\u00f3n de nuevo dentro de las 24 horas despu\u00e9s de la primera verificaci\u00f3n, pero el uso del motor de an\u00e1lisis de comportamiento para hacer la verificaci\u00f3n silenciosa. Tom\u00e9 Selenium para simular el comportamiento del navegador, hasta que la solicitud 17 para desencadenar la verificaci\u00f3n de nuevo, que CDN5 cada 5 veces para verificar la experiencia es demasiado buena.<\/p>\n Lo m\u00e1s sorprendente es la protecci\u00f3n contra ataques lentos. Muchos proveedores de CDN simplemente no pueden detectar este tipo de ataque de \"rana hirviendo en agua tibia\", Huawei Cloud realmente tom\u00f3 la iniciativa de ahogar la conexi\u00f3n lenta 15 segundos despu\u00e9s de que se estableci\u00f3 la conexi\u00f3n, y tambi\u00e9n envi\u00f3 autom\u00e1ticamente un paquete RST al cliente. M\u00e1s tarde, comprob\u00e9 los documentos y descubr\u00ed que utilizaban el algoritmo SMP (Slow Attack Mitigation) de desarrollo propio, que incluso Cloudflare es una funci\u00f3n de complemento de pago.<\/p>\n Publicar las normas de protecci\u00f3n realmente configuradas para el segmento, eso es lo realmente importante:<\/p>\n Jugu\u00e9 un poco sucio en la sesi\u00f3n de pruebas de estabilidad: simular la fluctuaci\u00f3n de la red regional. Se utiliz\u00f3 ChaosMesh para inyectar 30% de p\u00e9rdida de paquetes en los nodos de prueba durante 10 minutos. 3 nodos de CDN5 se desconectaron directamente, y CDN07 activ\u00f3 el equilibrio de carga global, pero la conmutaci\u00f3n tard\u00f3 47 segundos. Aunque Huawei Cloud tambi\u00e9n ten\u00eda 2 nodos con respuesta lenta, el sistema de programaci\u00f3n inteligente cort\u00f3 el tr\u00e1fico al nodo de Tokio en 12 segundos, y el lado del usuario lo ignor\u00f3 por completo.<\/p>\n Por supuesto, no es perfecto. Encontrado dos problemas: En primer lugar, el proceso de presentaci\u00f3n de nodo nacional es una gran molestia para llenar un mont\u00f3n de compromiso que esperar 3 d\u00edas h\u00e1biles para revisar; En segundo lugar, la latencia del sistema de registro es alta, los registros de ataque tienen que esperar 5-10 minutos para averiguar, no es tan bueno como los registros en tiempo real del flujo 08Host.<\/p>\n El precio de Huawei Cloud pertenece a la clase de \"dolor de carne pero puede salvar vidas\". El paquete b\u00e1sico comienza en 20.000 al mes, que es 40% m\u00e1s caro que CDN5, pero 20% m\u00e1s barato que CDN07. \u00a1La clave es que no se cobra por exceso de tr\u00e1fico de limpieza! Las tarifas de limpieza de algunos proveedores son m\u00e1s caras que las del paquete principal, pero lo que dice Huawei Cloud es cierto.<\/p>\n Una nota final para ofender: no creas en toda esa mierda de \"defensa ilimitada\". Si realmente te encuentras con un DDoS de 800 G o m\u00e1s, cualquier proveedor te arrastrar\u00e1 a un agujero negro. La ventaja de Huawei Cloud es que sus algoritmos de defensa son m\u00e1s inteligentes e identifican y mitigan los ataques en una fase temprana, en lugar de basarse \u00fanicamente en el ancho de banda.<\/p>\n Si su empresa se encuentra en la regi\u00f3n Asia-Pac\u00edfico y necesita equilibrar aceleraci\u00f3n y seguridad, merece la pena probar la CDN de alta defensa en la nube de Huawei. Pero recuerda tener tu n\u00famero de registro preparado de antemano y tirar de registros cr\u00edticos para el almacenamiento local - su per\u00edodo de retenci\u00f3n de registros es de s\u00f3lo 30 d\u00edas, lo cual es bastante lamentable.<\/p>\n He empaquetado los datos de las pruebas en Excel, si necesitas datos detallados, puedes enviarme un correo electr\u00f3nico privado. Nunca esperes que un proveedor lo tenga todo, la defensa multicapa es el camino correcto.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, los clientes me han preguntado: \u00bfQu\u00e9 CDN de alta defensa utilizas, y est\u00e1 bien la de Huawei Cloud? Para ser honesto, en estos d\u00edas, incluso los CDN tienen que \"evitar que los compa\u00f1eros de equipo\" - algunos proveedores de servicios hablan de \"aceleraci\u00f3n global\", pero en realidad, cuando se encuentran con ataques CC, que directamente le devolver\u00e1 la fuente, \u00bfno es esto una trampa? Se da la circunstancia de que el mes pasado nuestro equipo est\u00e1 haciendo la actualizaci\u00f3n de la arquitectura de seguridad, me Huawei nube de alta defensa CDN, la industria de edad CDN5, as\u00ed como el principal CDN07 en el extranjero se sacan de la ronda para probar una vez. El m\u00e9todo de prueba es muy simple y \u00e1spera: directamente al nombre de dominio de prueba para verter tr\u00e1fico mixto, para ver cu\u00e1l puede soportar escenarios de ataque real. Saquemos primero la conclusi\u00f3n: la soluci\u00f3n de Huawei Cloud realmente puede hacer frente a la palabra \"clase empresarial\" en las tres dimensiones centrales de calidad de nodo, precisi\u00f3n de defensa y estabilidad. Pero no se apresure a desembolsar dinero, hay algunos puntos que debe conocer de antemano. Anillo de pruebas<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-972","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/972","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=972"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/972\/revisions"}],"predecessor-version":[{"id":1153,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/972\/revisions\/1153"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=972"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=972"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=972"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=972"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}