Recientemente, varios amigos haciendo proyectos sociales han corrido a hacerme la misma pregunta: \u00bfutiliza una CDN de alta defensa para apoyar WebRTC en el extremo ah? Fui golpeado por DDoS todos los d\u00edas cuero cabelludo entumecido, y no se atreven a exponer directamente la estaci\u00f3n de origen, en tiempo real de audio y tarjeta de v\u00eddeo en el PPT son casi maldecido a muerte por el usuario.<\/p>\n
Para ser honesto, la primera vez que escuch\u00e9 esta pregunta casi roci\u00e9 mi caf\u00e9 en la pantalla, WebRTC es esencialmente una conexi\u00f3n P2P directa, y la aceleraci\u00f3n de cach\u00e9 CDN tradicional no es la misma manera. Pero m\u00e1s gente pregunt\u00f3, me di cuenta de que las cosas no son tan simples - ahora un poco de la escala de la plataforma social, que todav\u00eda se atreven a poner los flujos de audio y v\u00eddeo directamente desnuda en la red p\u00fablica?<\/p>\n
Yo estuve en el extremo receptor de esto el a\u00f1o pasado. En aquel momento, el proyecto ten\u00eda prisa por entrar en l\u00ednea, y lanz\u00f3 directamente el servidor TURN a la nube p\u00fablica, que fue penetrado a los tres d\u00edas de su apertura. El atacante localiz\u00f3 la IP de nuestro servidor multimedia, y el tr\u00e1fico de 300G por segundo hizo que la sala de servidores se convirtiera directamente en un agujero negro. La escena era casi como si todo el centro de datos hubiera sido inundado digitalmente.<\/p>\n
El meollo del problema es el siguiente: WebRTC se dise\u00f1\u00f3 originalmente para la conectividad directa de igual a igual, pero la realidad del entorno de red es tan compleja que hace que te duela la cabeza.<\/strong>La tasa de fallos NAT traversal es superior a 30%, y los cortafuegos corporativos son el asesino n\u00famero uno de los flujos de audio y v\u00eddeo. Esta vez para confiar en el servidor TURN para hacer el tr\u00e1nsito - y esta cosa es s\u00f3lo un punto de exposici\u00f3n IP.<\/p>\n Lo que es a\u00fan m\u00e1s asqueroso es que WebRTC tiene un fallo fatal a la hora de establecer una conexi\u00f3n: el proceso de recogida de direcciones del candidato ICE expone tanto la IP de la intranet como la IP p\u00fablica. Una vez cog\u00ed un paquete y lo vi, y durante el proceso de negociaci\u00f3n STUN la IP de tu servidor se transmit\u00eda a trav\u00e9s de la red como si estuviera desnuda. Los atacantes ni siquiera necesitan molestarse en escanear, pueden simplemente recoger la IP del servidor de medios directamente de la se\u00f1alizaci\u00f3n del handshake.<\/p>\n Es el momento de que entren en juego las CDN de alta defensa. Pero los proveedores de CDN tradicionales como CDN07, sus nodos est\u00e1n optimizados principalmente para HTTP\/HTTPS, el soporte para protocolos UDP es simplemente conmovedor. He probado sus nodos, el tr\u00e1fico WebRTC m\u00e1s all\u00e1 de la demora directamente se duplic\u00f3, la tasa de p\u00e9rdida de paquetes de m\u00e1s de 15% es una ocurrencia com\u00fan.<\/p>\n En cambio, me sorprendi\u00f3 gratamente CDN5, especializada en comunicaciones en tiempo real. Todos sus nodos de borde son compatibles con los protocolos SRT y WebRTC y, lo que es m\u00e1s importante, han desplegado cl\u00fasteres proxy TURN dedicados en todo el mundo. He aqu\u00ed un esquema de su arquitectura:<\/p>\n Ten en cuenta que iceTransportPolicy est\u00e1 configurado como relay - esta es la clave para salvar vidas. Obligar a todo el tr\u00e1fico a pasar por el rel\u00e9 TURN aumenta un poco la latencia, pero oculta completamente la IP de origen, y el aumento medio de latencia est\u00e1 dentro de los 40 ms, que est\u00e1 bien dentro del rango aceptable.<\/p>\n La soluci\u00f3n de 08Host es m\u00e1s interesante. Tienen un sistema de enrutamiento inteligente que puede cambiar din\u00e1micamente entre UDP y TCP seg\u00fan las condiciones de la red en tiempo real. Telecom va a TCP, Unicom va a UDP, y la red m\u00f3vil incluso utiliza el protocolo QUIC. Hice pruebas deliberadamente en el pico de la tarde, la tasa de p\u00e9rdida de paquetes siempre est\u00e1 controlada por debajo de 3%:<\/p>\n Este fake_ip_pool est\u00e1 inteligentemente dise\u00f1ado - los nodos de borde usan IPs virtuales para comunicarse con la fuente, y las IPs reales nunca est\u00e1n expuestas. Rotar los segmentos de IP cada 5 minutos equivale a ponerle un traje de camuflaje al servidor.<\/p>\n El efecto de la protecci\u00f3n DDoS es a\u00fan m\u00e1s exagerado. El mes pasado, nos encontramos con un ataque dirigido contra la pasarela WebRTC, 800.000 paquetes SYN por segundo dedicados al puerto TURN. El centro de limpieza de CDN5 activ\u00f3 directamente la protecci\u00f3n inteligente, programando autom\u00e1ticamente el tr\u00e1fico a tres nodos de limpieza diferentes. Las estad\u00edsticas finales muestran que s\u00f3lo 0,3% del tr\u00e1fico leg\u00edtimo se vio afectado, y los usuarios casi no se dieron cuenta.<\/p>\n Sin embargo, es importante tener en cuenta que no todas las CDN de alta defensa son realmente compatibles con WebRTC. algunos proveedores se limitan a reenviar tr\u00e1fico UDP sin ni siquiera garant\u00edas b\u00e1sicas de calidad de servicio. Cuando realice las pruebas, aseg\u00farese de observar estos indicadores clave: tasa de \u00e9xito de la conexi\u00f3n ICE, varianza del retardo de extremo a extremo, tasa de retransmisi\u00f3n de paquetes perdidos. He resumido un esquema r\u00e1pido de verificaci\u00f3n:<\/p>\n Los datos de medici\u00f3n muestran que una buena CDN de alta defensa puede hacer que el control de latencia WebRTC P99 dentro de 200ms, 5 segundos tasa de \u00e9xito de la conexi\u00f3n de 99,8% o m\u00e1s. En particular, la optimizaci\u00f3n de enlace transfronterizo de Asia, el retraso de Hong Kong a Silicon Valley puede ser presionado a unos 150 ms, que est\u00e1 cerca del nivel de datos dedicados.<\/p>\n Mirando ahora hacia atr\u00e1s, la combinaci\u00f3n de WebRTC y CDN de alta defensa es casi como un doble seguro para la comunicaci\u00f3n en tiempo real. Ambos conservan la ventaja de baja latencia del P2P y ganan la capacidad de proteger la nube. Especialmente para las plataformas sociales m\u00e1s castigadas, la protecci\u00f3n DDoS por s\u00ed sola puede ahorrar cientos de miles de costes de ancho de banda cada a\u00f1o.<\/p>\n Por \u00faltimo, una lecci\u00f3n de l\u00e1grimas: no construir su propio cl\u00faster de TURN para ahorrar dinero. Mi equipo tir\u00f3 tres meses el a\u00f1o pasado, el equipo de limpieza de tr\u00e1fico ligero invertido m\u00e1s de dos millones, los resultados del efecto de protecci\u00f3n no es tan bueno como los vendedores profesionales de CDN. Ahora piensa en ello realmente cerebro en el agua, las cosas profesionales se debe dar a los profesionales para hacer.<\/p>\n As\u00ed que de vuelta a la pregunta original: social de alta defensa CDN apoyo WebRTC? La respuesta no es s\u00f3lo el apoyo, y debe apoyar. Hoy en d\u00eda, la comunicaci\u00f3n en tiempo real sin protecci\u00f3n es como correr desnudo en el campo de batalla, s\u00f3lo cualquier script boy puede despejar el escenario. Elija el proveedor de servicios CDN derecho, su negocio de audio y v\u00eddeo puede realmente estar tranquilo.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, varios amigos haciendo proyectos sociales han corrido a hacerme la misma pregunta: \u00bfutiliza una CDN de alta defensa para apoyar WebRTC en el extremo ah? He sido golpeado por DDoS todos los d\u00edas, y no se atreven a exponer directamente la estaci\u00f3n de origen, audio en tiempo real y tarjeta de v\u00eddeo en el PPT es casi rega\u00f1ado a muerte por el usuario. Para ser honesto, la primera vez que escuch\u00e9 esta pregunta casi roci\u00e9 caf\u00e9 en la pantalla, WebRTC esta cosa es esencialmente una conexi\u00f3n P2P directa, y la aceleraci\u00f3n de cach\u00e9 CDN tradicional no es una manera. Pero m\u00e1s gente pregunt\u00f3, me di cuenta de que las cosas no son tan simples - ahora un poco de la escala de la plataforma social, que todav\u00eda se atreven a poner los flujos de audio y v\u00eddeo directamente desnuda en la red p\u00fablica? Me com\u00ed esta p\u00e9rdida el a\u00f1o pasado. En ese momento, el proyecto estaba en una prisa para ir en l\u00ednea, directamente tirar el servidor TURN en la nube p\u00fablica, los resultados de la apertura de tres d\u00edas en el<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-975","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/975","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=975"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/975\/revisions"}],"predecessor-version":[{"id":1150,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/975\/revisions\/1150"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=975"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=975"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=975"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=975"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}