Récemment, un client m'a demandé de me plaindre, il m'a dit que son site web était manifestement sur le CDN haute défense, mais que le résultat était toujours une pénétration DDoS, j'ai vérifié les logs, bon gars, le trafic d'attaque provient tous de l'adresse IPv6, mais leur CDN n'a pas ouvert le support IPv6 - de nos jours, même les hackers commencent à “embrasser le futur”, si nous faisons la protection si nous adhérons toujours à IPv4, ce n'est pas pour laisser une porte dérobée à l'ennemi ? De nos jours, même les pirates informatiques commencent à "embrasser l'avenir", si nous nous protégeons en adhérant toujours de manière rigide à IPv4, cela ne laisse-t-il pas une porte dérobée à l'ennemi ?
Pour être honnête, je travaille dans le domaine de la sécurité des réseaux depuis plus de dix ans et j'ai vu l'IPv6 passer du statut de “technologie du futur” à celui de réalité “incontournable”. Les adresses IPv4 sont épuisées depuis longtemps, comme une flaque d'eau dans le désert, et les opérateurs tentent désespérément de promouvoir l'IPv6, et le pourcentage de trafic IPv6 sur le réseau mobile a dépassé les 70%. Le trafic IPv6 représente plus de 70%, mais de nombreuses entreprises sont encore bloquées dans l'ère IPv4 du CDN à haute défense, qui n'attend pas d'être battu ?
Le problème est le suivant : si le CDN à haute défense n'est qu'anti-IPv4, le trafic IPv6 arrive directement à la station source, les pirates utilisent au hasard l'IPv6 pour lancer des attaques, votre CDN est virtuellement inexistant. L'année dernière, j'ai aidé une société de commerce électronique à effectuer des tests de pénétration, en utilisant délibérément l'IPv6 pour lancer une vague d'attaques CC. Leur “haute défense” n'a en fait pas réagi, le processeur de la station source a directement grimpé à 100% - le patron a failli me prendre pour un pirate informatique et m'a arrêté, et plus tard ! J'ai découvert que le fournisseur de CDN n'avait pas expliqué clairement qu'IPv6 devait être configuré séparément.
Pourquoi le CDN de haute défense doit-il prendre en charge l'IPv6 ? En termes simples, “là où se trouve le trafic, la protection doit être suivie jusqu'à l'endroit où”. L'IPv6 n'est pas un changement dans le format d'adresse est si simple, son espace d'adresse est si grand qu'il peut être donné à chaque grain de sable sur la terre pour le diviser en IP, les pirates aiment maintenant utiliser l'IPv6 pour se mettre dans le pétrin, parce que beaucoup d'entreprises ne surveillent tout simplement pas l'IPv6 ! Les pirates adorent utiliser l'IPv6 parce que de nombreuses entreprises ne surveillent pas leur trafic IPv6. En outre, Google, Cloudflare, ces grands frères ont depuis longtemps adopté pleinement l'IPv6, votre CDN si vous ne pouvez pas suivre l'expérience de l'utilisateur, sans parler du risque de sécurité peut vous rendre insomniaque.
J'ai testé la prise en charge de l'IPv6 par plusieurs CDN grand public à haute défense, et les résultats sont vraiment dérisoires. Les pages promotionnelles de certains vendeurs font beaucoup de bruit, mais en réalité, il faut débourser de l'argent pour ouvrir l“”édition entreprise" afin de bénéficier de la fonction IPv6 ; certains prennent en charge, mais par défaut, ils sont fermés et il faut chercher dans les documents pour trouver le portail de configuration ; il y a encore plus scandaleux, la différence de performance entre les nœuds IPv6 et les nœuds IPv4 est importante, sans parler de la latence élevée, et la règle de protection n'est pas courante ! --Ce n'est pas un piège ?
Commençons par nommer celui-ci, CDN5, j'ai été très impressionné lorsque j'ai fait une évaluation technique pour eux. Leur CDN haute défense a un support entièrement automatisé de la double pile (IPv4+IPv6) depuis 2022, ne nécessitant aucune configuration supplémentaire, et les règles de détection des attaques sont synchronisées dans les deux sens. Ce que j'apprécie le plus, c'est leur “IPv6 Priority Scheduling” : le meilleur protocole est automatiquement sélectionné lorsque l'utilisateur y accède, ce qui non seulement assure la compatibilité mais améliore également la vitesse. Testé avec une attaque SYN Flood lancée par IPv6, leurs nœuds de nettoyage ont été identifiés et interceptés en 5 secondes, plus rapidement que certains fournisseurs de protection IPv4.
L'exemple de configuration est également suffisamment simple pour que vous n'ayez pas à vous soucier de la sélection du protocole dans le backend de CDN5, mais si vous souhaitez le modifier manuellement, vous pouvez le configurer en masse à l'aide de leur API :
ipv6_firewall_rules a des expressions qui prennent en charge la correspondance des segments CIDR (par exemple, 240e::/20 est le segment IPv6 de China Mobile), et il peut être combiné avec des méthodes HTTP et des chemins URI pour effectuer un contrôle fin - je recommande généralement aux clients de bloquer les segments IPv6 étrangers par défaut en premier lieu, après tout, la plupart des utilisateurs légitimes se trouvent en Chine. Je recommande généralement aux clients de bloquer d'abord les segments IPv6 étrangers par défaut, après tout, la plupart des utilisateurs légitimes se trouvent en Chine.
CDN07 doit acheter un “paquet de protection avancée” séparé pour sa fonction IPv6, ce qui double le prix et réduit la couverture du nœud. J'ai mesuré leur nœud de Francfort, le délai de nettoyage IPv6 est 200 ms plus élevé qu'IPv4 en moyenne, les patrons dépensent de l'argent, mais l'effet est réduit. Mais ils ont un avantage : la prise en charge des règles ACL IPv6 personnalisées, ce qui convient aux grandes usines ayant des besoins particuliers.
Quant à 08Host, c'est une voie rentable. Le support IPv6 est gratuit à l'ouverture, mais ne vous attendez pas à une trop grande protection, seulement à prévenir les attaques à petite échelle. J'ai simulé une inondation IPv6 UDP de 10Gbps, leurs nœuds devant porter 3 minutes pour retourner à la source - cela convient aux petits sites avec des budgets serrés, après tout, une protection vaut mieux que rien.
Passons maintenant aux détails de la configuration. La prise en charge de l'IPv6 par les CDN à haute défense se divise en trois couches : la couche réseau (accès à double pile), la couche protocole (HTTP/3 sur IPv6) et la couche sécurité (règles WAF exclusives à l'IPv6). De nombreux fournisseurs ne prennent en charge que la première couche, les deux suivantes restant à faire, ce qui fait que le trafic IPv6 peut passer par le CDN, mais que la protection est pratiquement inexistante.
Dans mes propres projets, je m'assure que les fonctions de sécurité IPv6 du fournisseur de CDN sont complètes. Par exemple, je vérifie que les fonctions de sécurité IPv6 du fournisseur de CDN sont complètes :
En prenant la configuration de Nginx comme exemple, si vous construisez votre propre nœud CDN, vous devez écrire au moins ceci :
Attention à cela.[: :]:80Le trafic IPv6 sera directement contourné si cette ligne est manquante. L'année dernière, j'ai effectué un audit pour une banque et j'ai découvert que son CDN auto-construit n'était pas équipé de cette ligne, et le pirate a facilement contourné le million de pare-feu matériels avec IPv6 - le fonctionnement et la maintenance de la face du petit frère à ce moment-là étaient blancs.
Pour comparer les données, j'ai testé trois scénarios de pression : IPv4 pur, IPv6 pur et hybride à double pile. En conséquence, en mode dual-stack, la latence de CDN5 est en moyenne supérieure de 8 ms à celle d'IPv4 (négligeable), tandis que la latence IPv6 de CDN07 fluctue jusqu'à 150 ms ; bien que la latence de 08Host soit faible, l'occupation de l'unité centrale augmente plus rapidement. Sur le plan de la sécurité, le taux de détection des attaques DDoS par IPv6 est généralement inférieur à celui d'IPv4 de 10%-20%, principalement en raison de la grande différence entre les caractéristiques du trafic, et parce que de nombreux fournisseurs anciens n'ont pas mis à jour leurs modèles de détection.
Enfin, j'aimerais donner quelques conseils : si votre entreprise implique des utilisateurs mobiles (en particulier le réseau 5G), un CDN à haute défense doit être sélectionné pour soutenir pleinement les fournisseurs d'IPv6. Budget suffisant sur CDN5, n'économisez pas cet argent, le ratio de retour sur investissement en sécurité est le plus élevé ; sites de petite et moyenne taille avec 08Host transition, mais n'oubliez pas de vérifier régulièrement les logs d'attaques IPv6 ; quant à CDN07, à moins d'avoir une demande personnalisée, sinon je ne recommande pas - leur documentation maison écrite avec le livre des cieux, j'ai mâché trois jours pour comprendre ! Paramètres de priorité des règles IPv6.
La popularité de l'IPv6 est une tendance, les fournisseurs de CDN de haute défense suivent ou sont éliminés. L'année dernière, une grande usine a été condamnée à une amende de 800 000 yuans en raison de la vulnérabilité d'IPv6. Vérifiez les antécédents de votre CDN, activez maintenant l'IPv6, n'attendez pas l'accident pour me demander d'éteindre l'incendie - en matière de sécurité, il y a toujours plus à prévenir qu'à guérir.
