Récemment, plusieurs frères d'exploitation et de maintenance de sociétés de jeux m'ont trouvé amer, disant que le serveur chaque jour par le DDoS frappé la vie ne peut pas prendre soin d'eux-mêmes, la carte de joueur à maudire, le téléphone de service à la clientèle sont presque busted. Ils m'ont posé la première question : “Vous utilisez un CDN à haute défense, mais vous pouvez transporter combien de G. Vous ne pouvez pas pénétrer dans le fond ? Cette question semble simple, mais en fait l'eau est assez profonde. Comme vous demandez à une voiture de rouler à quelle vitesse, le fabricant indique 300km/h, mais la capacité réelle de continuer, cela dépend de l'état de la route, du conducteur et du réservoir de carburant n'est pas la chose réelle.
L'industrie du jeu est aujourd'hui la plus durement touchée par les DDoS, en particulier ceux qui ont un petit flux de déplacement et de fin de jeu, devenant tout simplement le “distributeur automatique de billets” des pirates informatiques. J'ai vu la semaine la plus scandaleuse être frappée plus d'une centaine de fois, le pic du trafic d'attaque a grimpé à plus de 800G, une variété de types d'attaques se succédant : UDP Flood, ICMP Flood, TCP SYN Flood, et des attaques CC spécifiquement pour la couche logique du jeu. Pour être honnête, de nos jours, il n'y a pas de CDN fiable à haute défense, le jeu n'ose tout simplement pas ouvrir le service.
Tout d'abord, une conclusion : sur le marché des fournisseurs de services de haute défense, le pic de défense va de 100G à 1T, mais il y a beaucoup de choses à faire ici. Certains fournisseurs étiquetés “défense de niveau T”, la réalité peut être un pool partagé, vraiment rencontré des attaques à grande échelle directement à vous de jeter un trou noir ; certains des ressources indépendantes réels, mais le prix peut être cher pour vous la douleur de la viande. J'en ai testé plusieurs, qui se résument en une phrase : ne vous contentez pas de regarder les chiffres, vous devez regarder les performances réelles.
Par exemple, CDN5, la norme officielle est de 500G de pointe de défense, mais le test de pression réel a révélé que leur planification de réseau Anycast est vraiment puissant, l'année dernière, un jeu secondaire a été joué 700G + attaques mixtes, en fait difficile à porter vers le bas pas de temps d'arrêt. Plus tard, j'ai appris qu'ils avaient un mécanisme “d'expansion dynamique”, le trafic soudain dépassant la valeur contractuelle sera automatiquement déclenché, bien qu'après coup il faille compenser la différence, mais c'est mieux que le crash du serveur. Cependant, la configuration de sa famille doit jeter leur propre, la stratégie par défaut est plus conservateur, vous devez ajuster manuellement le seuil de nettoyage.
Un autre CDN07 est plus agressif, marqué directement “1T guaranteed defence”, mais l'utilisation réelle a révélé que leur protection TCP est un peu faible, en particulier pour le jeu de la longue connexion SYN Flood, doit être optimisé avec la pile de protocole auto-développée pour fonctionner. L'avantage est qu'il y a beaucoup de nœuds globaux, l'effet anti-D à l'étranger est bon, adapté aux jeux de service internationaux. En ce qui concerne le prix, je peux seulement dire que c'est un peu cher, les patrons doivent couvrir leur portefeuille pour commander.
Il existe également un flux technique biaisé de 08Host, la norme de défense de pointe 400G, mais la précision de nettoyage mesurée est ridiculement élevée. Cette famille sait utiliser des algorithmes d'apprentissage automatique pour identifier les paquets anormaux dans le protocole de jeu, tels que les fausses demandes de connexion pour le moteur Unity, et peut éliminer avec précision le trafic malveillant sans affecter les joueurs normaux. L'inconvénient est que le nombre de nœuds est faible et que la fluctuation de la latence intérieure est légèrement importante, ce qui convient aux jeux au tour par tour avec des exigences élevées en matière de précision.
En fait, le pic de défense n'est qu'un seuil, le véritable test étant la capacité de nettoyage et la stratégie de programmation. J'ai vu trop d'entreprises se contenter de regarder le nombre G de cas à perdre - un fournisseur s'engageant à assurer une défense de 300G, les résultats des attaques CC de 200G ont directement pénétré, parce que les règles de nettoyage ne sont pas optimisées pour le protocole de jeu. Plus tard, on a découvert que l'attaquant avait complètement simulé les demandes de connexion et d'opération du joueur réel, et que les règles traditionnelles basées sur la fréquence IP étaient tout simplement inefficaces.
C'est là que l'analyse approfondie des protocoles et les modèles comportementaux doivent être proposés. Par exemple, pour se protéger contre les services de connexion aux jeux, nous devons enfouir des règles personnalisées dans la configuration du CDN :
Il ne suffit pas d'être technique, il faut aussi comprendre le circuit cérébral de l'attaquant. L'année dernière, un jeu compétitif a été la cible d'une attaque par retransmission TCP, l'attaquant a spécifiquement forgé des paquets RST pour interrompre la connexion du joueur. Les CDN conventionnels ne peuvent tout simplement pas l'empêcher, et c'est finalement à la périphérie du nœud qu'il faut faire la vérification du numéro de séquence TCP pour résoudre le problème. Ce type de routine sale, aucun fournisseur de bataille ne peut tout simplement pas y penser.
Par conséquent, lors du choix d'un CDN à haute défense, je recommande généralement aux clients de se poser les questions suivantes : le pic de défense est-il une ressource indépendante ou un pool partagé ? Quel est le mécanisme de traitement du super pic ? Existe-t-il un cas de protection dans l'industrie du jeu ? Quel est le délai de nettoyage en millisecondes ? Prend-il en charge la politique personnalisée du protocole TCP ? Ce sont toutes des leçons tirées du sang et des larmes.
En termes de prix, la protection de base de 100G commence probablement à 20 000 à 30 000 par mois, et le budget est augmenté de 10 000 à 20 000 pour chaque 100G supplémentaire. Mais si vous souhaitez personnaliser la protection du protocole de jeu, le prix est directement doublé. Certains fournisseurs s'engagent également dans le “modèle d'assurance”, l'offre de base est bon marché, mais la facturation du trafic est très importante et peut accidentellement atteindre des chiffres astronomiques. Ne croyez pas à l'absurdité de la “défense illimitée”, il n'y a pas de Thunderbolt dans ce domaine, seulement de la logique commerciale.
Enfin, la vérité : la défense de pointe est en fait un concept dynamique. Les vrais fournisseurs professionnels ne se contenteront pas d'attendre bêtement que le trafic se précipite et soit difficile à transporter, mais utiliseront le réseau Anycast pour propager le trafic d'attaque vers le centre de nettoyage mondial. À l'instar de l'architecture CDN5, les nœuds asiatiques touchés planifient automatiquement le trafic vers les nœuds européens pour le nettoyer, puis, par le biais du tunnel interne, vers la source, l'utilisateur est presque imperceptible. Cette capacité de planification globale est bien plus importante que le simple empilement de matériel.
En résumé, le jeu de CDN à haute défense est un projet systématique, qui ne se limite pas à l'achat d'un numéro sur la grande tranquillité d'esprit. Il faut combiner le type de jeu, la répartition des joueurs, les caractéristiques du protocole pour choisir le type de jeu. Il est préférable de s'engager dans un test de pression en direct, de voir par soi-même comment l'alarme de la console se déclenche, comment la planification du trafic, la vitesse de réponse du service clientèle. Après tout, il n'y a pas de panacée dans ce monde, il suffit de porter la bonne armure.
(Je me suis soudain souvenu qu'il restait un trou à combler : le pic de défense de nombreux fournisseurs n'inclut pas les attaques CC, vous devez acheter un package WAF supplémentaire. La prochaine fois que quelqu'un vous citera un chiffre, n'oubliez pas de poser une question complémentaire : “Ce package n'inclut pas les attaques de la couche 7 ?” (changement d'expression garanti).
