Recientemente, muchos compa\u00f1eros vinieron a preguntarme, \u00bfpor qu\u00e9 el mismo CDN de alta defensa, la latencia de su sitio web sigue siendo alta, los incidentes de seguridad ocurren con frecuencia? Me volc\u00f3 directamente una frase: su CDN tradicional ha sido durante mucho tiempo obsoleto, y ahora no combinan la computaci\u00f3n de borde para jugar, simplemente llevar armadura corriendo - pesado y lento.<\/p>\n
Hoy en d\u00eda, los ataques DDoS comienzan en el nivel T sin moverse, y los ataques CC son como moscas alrededor. \u00bfS\u00f3lo confiar en el nodo central para llevar el tr\u00e1fico? Por no mencionar el costo no puede soportar, el retraso puede dejar que los usuarios se quedan sin. He probado un programa tradicional, el ataque lleg\u00f3, el nodo central directamente en un colador, los nodos de borde son todav\u00eda tranquilamente bebiendo t\u00e9 - en absoluto involucrado en la protecci\u00f3n de la seguridad.<\/p>\n
Lo m\u00e1s lamentable es que algunos vendedores presumen de \u201cnodos globales\u201d, de hecho, muchos nodos de borde simplemente no tienen potencia de c\u00e1lculo, son puramente una estaci\u00f3n de retransmisi\u00f3n de tr\u00e1fico. El tr\u00e1fico de ataque tiene que dar media vuelta al mundo para ser limpiado, y as\u00ed volver al usuario cuando las flores amarillas est\u00e9n fr\u00edas. No crea a los que s\u00f3lo venden ancho de banda a los proveedores de servicios CDN, ni siquiera saben distinguir entre edge computing y distribuci\u00f3n de contenidos.<\/p>\n
De hecho, el n\u00facleo del problema es: la CDN tradicional a la seguridad y la presi\u00f3n de procesamiento se apilan en el nodo central, mientras que los nodos de borde est\u00e1n inactivos. Esto es como dejar que el guardia de seguridad de pie en la puerta de la sede de la empresa para comprobar todos los visitantes de la sucursal, la eficiencia no puede ser baja?<\/p>\n
El a\u00f1o pasado, nuestra estaci\u00f3n de comercio electr\u00f3nico sufri\u00f3 una p\u00e9rdida. Durante el per\u00edodo de promoci\u00f3n de repente sufri\u00f3 un ataque de CC, aunque el nodo central para llevar, pero todas las solicitudes tienen que volver a la fuente de la verificaci\u00f3n, lo que resulta en los usuarios normales orden de retraso se dispar\u00f3 a m\u00e1s de 3 segundos, la p\u00e9rdida directa de millones de pedidos. M\u00e1s tarde, saqu\u00e9 los registros de tr\u00e1fico para analizar y encontr\u00f3 que la solicitud 80% en realidad podr\u00eda ser verificada en el nodo de borde.<\/p>\n
La soluci\u00f3n fiable consiste ahora en trasladar la capacidad de protecci\u00f3n de la seguridad a los nodos perif\u00e9ricos. De este modo, cada nodo de borde dispone de una determinada potencia de c\u00e1lculo y pol\u00edtica de seguridad, cerca del procesamiento de solicitudes al mismo tiempo para completar la detecci\u00f3n de seguridad. Equivale a asignar guardias de seguridad a cada punto de venta, lo que resulta r\u00e1pido y seguro.<\/p>\n
He comparado las soluciones de tres proveedores de servicios: CDN5 se centra en las capacidades de WAF de borde, CDN07 hace hincapi\u00e9 en la computaci\u00f3n de la funci\u00f3n de borde, y 08Host es un compromiso entre coste y rendimiento. Probado abajo encontr\u00f3 que la funci\u00f3n de borde de CDN07 en el procesamiento de la l\u00f3gica compleja en el mejor rendimiento, pero el precio tambi\u00e9n es realmente \u201chermoso\u201d.<\/p>\n
A la hora de aterrizar espec\u00edficamente, recomiendo una estrategia de defensa por capas:<\/p>\n
La primera capa realiza comprobaciones b\u00e1sicas en los nodos m\u00e1s perif\u00e9ricos, como la verificaci\u00f3n humana y la comprobaci\u00f3n de la reputaci\u00f3n IP. Estas operaciones ligeras pueden realizarse \u00edntegramente en el nodo m\u00e1s cercano al usuario y liberarse al siguiente nivel una vez superadas.<\/p>\n
Aqu\u00ed compartimos un ejemplo pr\u00e1ctico de configuraci\u00f3n, que se utiliza para filtrar inicialmente las IP maliciosas en los nodos perif\u00e9ricos:<\/p>\n
El segundo nivel realiza la detecci\u00f3n en profundidad en nodos de nivel regional, como la coincidencia de reglas WAF y el an\u00e1lisis de comportamiento. Los nodos de este nivel tienen m\u00e1s potencia de c\u00e1lculo y pueden ejecutar algoritmos de seguridad m\u00e1s complejos.<\/p>\n
La m\u00e1s importante es la tercera capa: s\u00f3lo las peticiones que no pueden juzgarse en los nodos perif\u00e9ricos se reenv\u00edan al nodo central. Esto supone filtrar al menos 901 TP3T de solicitudes maliciosas, y la presi\u00f3n sobre la fuente se reduce directamente.<\/p>\n
He probado esta arquitectura en 08Host, y la latencia se reduce directamente de 200ms a menos de 80ms. Especialmente en el sudeste asi\u00e1tico, debido a que los nodos de borde locales tienen la potencia de c\u00e1lculo, la sensaci\u00f3n del usuario es especialmente evidente.<\/p>\n
La mejora de la seguridad es a\u00fan m\u00e1s sorprendente: antes hab\u00eda que gestionar cientos de miles de intentos de ataque al d\u00eda, ahora 80% todos son interceptados en los nodos de borde. Lo mejor es que el coste del ancho de banda del servidor de origen se ha reducido en 60%, y por fin mi jefe ya no me persigue cada d\u00eda por las facturas de ancho de banda.<\/p>\n
Concretamente a nivel de c\u00f3digo, las principales CDN soportan ahora funciones de borde. Por ejemplo, con la plataforma de computaci\u00f3n de borde de CDN07, la protecci\u00f3n din\u00e1mica puede lograrse de esta manera:<\/p>\n
Nunca subestimes el poder de estas funciones de borde - los nodos de borde ahora tienen incluso mejor rendimiento de computaci\u00f3n que algunos hosts de nube. He probado a ejecutar la detecci\u00f3n WAF, la compresi\u00f3n de im\u00e1genes y las pruebas AB al mismo tiempo en un nodo de borde, y sigue siendo s\u00f3lido como un perro viejo.<\/p>\n
Por supuesto, hay escollos en el proceso de migraci\u00f3n. El mayor problema es la gesti\u00f3n del estado: los nodos perif\u00e9ricos no tienen estado y necesitan compartir datos con la ayuda del almacenamiento distribuido. Recomiendo utilizar un cl\u00faster Redis para la sincronizaci\u00f3n de estados, lo que a\u00f1ade un poco de latencia pero es mucho mejor que volver al origen.<\/p>\n
Otro punto delicado es la dificultad de depuraci\u00f3n. Con tantos nodos de borde, es dif\u00edcil localizar el problema. Mi experiencia es enterrar los puntos de monitorizaci\u00f3n en cada funci\u00f3n de borde y rastrear toda la cadena de peticiones con un requestId \u00fanico. De esta forma, no importa por qu\u00e9 nodo pase la solicitud, se puede localizar r\u00e1pidamente el problema.<\/p>\n
Tampoco hay que preocuparse por el coste. Aunque el precio unitario del edge computing es ligeramente superior, el coste global es bastante reducido. Gracias a la reducci\u00f3n del tr\u00e1fico de retorno y a la presi\u00f3n del nodo central, el c\u00e1lculo global puede ahorrar unos 30%. Especialmente en los servicios de tr\u00e1fico pesado, como v\u00eddeo y juegos, el efecto de ahorro es a\u00fan m\u00e1s evidente.<\/p>\n
Hace poco ayudamos a una empresa de juegos con una migraci\u00f3n, y su latencia global media baj\u00f3 de 142 ms a 67 ms, y la rotaci\u00f3n de jugadores se redujo directamente en 181 TP3 T. La seguridad es a\u00fan m\u00e1s espectacular, ya que el coste de un ataque DDoS se ha multiplicado por diez: ahora los atacantes tienen que atacar cientos de nodos de borde al mismo tiempo para ser eficaces.<\/p>\n
El 5G y el crecimiento explosivo de los dispositivos IoT har\u00e1n que todas las necesidades inform\u00e1ticas migren a los bordes. Si no te subes a bordo ahora, puedes quedarte obsoleto m\u00e1s adelante.<\/p>\n
Para ser sinceros, la selecci\u00f3n de tecnolog\u00eda es muy importante. Si el negocio se desarrolla principalmente en Asia-Pac\u00edfico, la ventaja de cobertura de CDN5 es obvia; si se necesita una potente potencia de c\u00e1lculo, la ecolog\u00eda de funciones edge de CDN07 es la m\u00e1s completa; si se persigue la rentabilidad, el paquete de 08Host es realmente concienzudo. Lo mejor es hacer primero una prueba PoC a peque\u00f1a escala, no seguir ciegamente el viento.<\/p>\n
Por \u00faltimo, me gustar\u00eda compartir una historia real: el a\u00f1o pasado, una empresa fue golpeada por un DDoS de 300Gbps, debido a la protecci\u00f3n centralizada tradicional, todo el servicio estuvo ca\u00eddo durante 12 horas. M\u00e1s tarde, despu\u00e9s de migrar a la arquitectura de protecci\u00f3n de borde, la misma escala de ataque no se sent\u00eda en absoluto - el tr\u00e1fico en el nodo de borde se diluy\u00f3 y se disolvi\u00f3. El jefe me envi\u00f3 especialmente un sobre rojo para darme las gracias, diciendo que deber\u00eda haber sabido que ten\u00eda que haber utilizado esta soluci\u00f3n antes.<\/p>\n
Ahora mi principio de dise\u00f1o de arquitectura est\u00e1 claro: nunca volver a la fuente si se puede procesar en el borde, y nunca centralizar si se puede proteger en el borde. No se trata s\u00f3lo de baja latencia y alta seguridad, sino tambi\u00e9n de una importante reducci\u00f3n de costes. \u00bfPor qu\u00e9 no?<\/p>\n
Sinceramente, ver c\u00f3mo los tiempos de respuesta de las peticiones pasan de tres d\u00edgitos a dos d\u00edgitos y c\u00f3mo los incidentes de seguridad se reducen de docenas al d\u00eda a casi cero es m\u00e1s una sensaci\u00f3n de logro que otra cosa. \u00bfNo es la mejor parte de ser un t\u00e9cnico ver que tu arquitectura realmente produce valor?<\/p>\n
La pr\u00f3xima vez que alguien te diga que las CDN solo sirven para acelerar, \u00e9chale en cara este art\u00edculo: estamos en 2024 y no puede haber nadie que no sepa que una CDN de alta seguridad debe combinarse con edge computing, \u00bfverdad?<\/p>","protected":false},"excerpt":{"rendered":"
Recientemente, muchos compa\u00f1eros vinieron a preguntarme, \u00bfpor qu\u00e9 el mismo CDN de alta defensa, la latencia de su sitio web sigue siendo alta, los incidentes de seguridad ocurren con frecuencia? Directamente volqu\u00e9 una frase: su CDN tradicional ha sido durante mucho tiempo obsoleto, y ahora no combinan la computaci\u00f3n de borde para jugar, simplemente llevar armadura corriendo - pesado y lento. En estos d\u00edas, los ataques DDoS no se mueven en el inicio de nivel T, los ataques CC son como moscas alrededor. S\u00f3lo confiar en el nodo central para llevar el tr\u00e1fico? Por no mencionar el costo no puede soportar, el retraso puede dejar que los usuarios se quedan sin. He probado un programa tradicional, el ataque lleg\u00f3, el nodo central directamente en un colador, los nodos de borde son todav\u00eda tranquilamente bebiendo t\u00e9 - en absoluto involucrados en la protecci\u00f3n de la seguridad. Lo m\u00e1s lamentable es que algunos vendedores se jactan de \u201cnodos globales\u201d, de hecho, muchos nodos de borde no tienen potencia de c\u00e1lculo, puramente una estaci\u00f3n de transferencia de tr\u00e1fico. El tr\u00e1fico de ataque tiene que<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-977","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/977","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=977"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/977\/revisions"}],"predecessor-version":[{"id":1148,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/977\/revisions\/1148"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=977"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=977"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=977"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=977"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}