La nuit dernière, à 3 heures du matin, le groupe de combat a soudainement explosé. "Le serveur est à nouveau bloqué sur PPT ! "Quelqu'un fait un DDoS malveillant sur le serveur, c'est ça ? Je ne peux même pas me connecter !" J'ai regardé l'écran rempli de plaintes, j'ai bu une gorgée de café, j'ai copié le clavier et j'ai commencé à vérifier les journaux - bien sûr, il s'agissait d'une attaque de type trafic, le pic a grimpé à 300 Gbps, et les nœuds CDN ordinaires ont été directement transpercés. Qui n'a pas vécu ce genre de scène plusieurs fois dans l'industrie du jeu ? Mais à chaque fois que j'y suis confronté, ma pression sanguine est à son comble.
L'industrie du jeu et les sites web ordinaires ne sont pas les mêmes, une latence élevée de 50 ms permet aux joueurs de maudire la rue, le serveur s'arrête dix minutes après l'inflammation directe de la communauté. Sans parler des pirates qui s'en prennent aux jeux populaires, plusieurs gigaoctets par seconde de trafic indésirable se précipitent, ce qui ne peut empêcher le service de s'arrêter et de perdre de l'argent. J'ai vu trop d'équipes utiliser la "protection gratuite" de fournisseurs de cloud ordinaires pour pas cher, pour découvrir que la bande passante n'est même pas suffisante pour se remplir les dents lorsqu'elles sont vraiment touchées.
Pourquoi les CDN ordinaires ne peuvent-ils pas mener des attaques de jeu ? Premièrement, le mécanisme de mise en cache n'est tout simplement pas adapté. Les données de jeu sont des interactions en temps réel, les requêtes dynamiques représentent plus de 90%, le cache CDN est solitaire ; deuxièmement, la capacité de nettoyage est un faux standard. De nombreux fournisseurs écrivent une "protection de niveau T" qui est en fait un cluster partagé, un coup de la région entière ensemble avec la carte ; troisièmement, la qualité du nœud varie. Les joueurs pensent qu'ils utilisent l'Internet par satellite.
Un CDN vraiment professionnel pour les jeux à haute défense doit répondre à trois indicateurs difficiles en même temps :latence ultra-faible、Nettoyage de précision、Soutien à l'informatique de pointe. La latence doit être contrôlée dans les 30 ms, le nettoyage doit être capable de reconnaître les caractéristiques du protocole de jeu (comme les paquets d'échange du moteur UE4), et il doit également prendre en charge les opérations de logique de bord pour gérer une partie de la logique du jeu. De nos jours, même les CDN doivent "prévenir les coéquipiers" - certaines attaques sont même des services de chantage achetés par des pairs.
J'ai testé une douzaine de fournisseurs de services sur le marché, et j'en ai choisi trois que je peux vraiment jouer à dire. Tout d'abord, un test purement autofinancé sans publicité, certains fournisseurs m'ont envoyé un compte de test que j'ai refusé, je me suis simplement fixé un objectif.
Routes d'accélération du jeu mondial du CDN5C'est le plus stable que j'ai utilisé cette année. Ils font spécifiquement l'optimisation du protocole de jeu, l'algorithme d'accélération TCP est un peu une chose, le délai du nœud asiatique est fondamentalement pressé dans les 20ms. La capacité de l'anti-D à mener à bien le test réel 480Gbps attaques mixtes, la clé est de ne pas perdre de paquets. L'exemple de configuration n'est en fait pas compliqué :
N'oubliez pas de mettre le sous-domaine du jeu CNAME dans la résolution DNS vers le domaine protégé qu'ils fournissent, le trafic passe par le centre de nettoyage avant de retourner à la source. Je recommande d'activer leur fonction "Intelligent Protocol Analysis", qui identifie automatiquement les caractéristiques du trafic des moteurs Unity et Unreal, avec un taux de faux positifs bien inférieur à celui des bases de règles traditionnelles.
Réseau de jeux Anycast de CDN07Il est particulièrement adapté aux projets de distribution à l'étranger. Ils utilisent BGP Anycast pour diffuser la même IP à plus de 60 nœuds dans le monde, et les joueurs se connectent automatiquement au nœud le plus proche. Le plus grand avantage est que le trafic d'attaque est dilué au nœud le plus proche et ne sera pas facilement pénétré comme le serait une protection à point unique. Toutefois, il est important de noter que l'accélération TCP doit être activée moyennant un coût supplémentaire et que la configuration par défaut n'est optimisée que pour l'UDP.
J'ai délibérément choisi l'heure de pointe du soir pour effectuer le Speedtest, la latence du lien entre Tokyo et Los Angeles peut en fait être supprimée à environ 110 ms, alors que la ligne générale est de plus de 180 ms. La stratégie de défense est très agressive, directement sur l'attaque présumée, l'interception de la couche de liaison IP, l'inondation SYN de 700Gbps mesurée sans fluctuations. Mais il y a un petit bémol : la restriction du flux de l'API de leur console est très stricte, n'oubliez pas de tester à nouveau le mécanisme lors du déploiement de l'automatisation.
Niche domestique mais bonne08HostLa première chose que je voudrais dire, c'est que je ne suis pas sûr de pouvoir le faire. Le prix n'est que la moitié de celui des grands fabricants, mais la défense peut réellement transporter 300 Gbps. J'ai démantelé leur logique de nettoyage du trafic, en utilisant en fait des puces FPGA pour faire correspondre les règles, plus rapidement que le nettoyage logiciel avec un retard de 3 fois. L'inconvénient est que le nombre de nœuds est faible, seuls les utilisateurs nationaux et d'Asie du Sud-Est, d'Europe et des États-Unis doivent trouver un autre programme.
N'oubliez pas d'activer le mode "Game Shield" lors de la configuration, il s'agit d'une fonctionnalité essentielle :
Ne croyez pas la propagande mensongère de la "protection illimitée". L'année dernière, un fournisseur s'est vanté d'une protection de 1Tbps, mais nous avons testé 400Gbps et l'avons pénétré, et la réponse au bon de travail était en fait "Nous recommandons de passer à la version personnalisée pour l'entreprise". Aujourd'hui, je vois ce genre de slogan fermer directement la page.
Les effets de la défense dans le monde réel sont à voirPrécision du nettoyage和ratio du débit de retour. Certains fournisseurs dirigent tout le trafic d'attaque vers le centre de nettoyage, mais manquent encore beaucoup de paquets inutiles lorsqu'ils retournent à la source. Ma méthode de test habituelle est la suivante : utiliser hping3 pour simuler 100 000pps d'ACK Flood, tout en exécutant iperf3 pour mesurer la latence du trafic normal. Un bon CDN devrait faire en sorte que les fluctuations de latence iperf3 soient inférieures à 5%, une mauvaise latence s'accompagnant de la mort de la carte.
Il y a encore un petit détail :panneau de surveillanceVous devez être en mesure de voir le type d'attaque en temps réel. Lorsque j'ai été confronté à une attaque par amplification de réflexion, la console d'un fournisseur n'affichait qu'une "anomalie de trafic", et je me suis fié à ma propre capture de paquets pour découvrir qu'il s'agissait d'une réflexion NTP. Plus tard, je suis passé à un fournisseur capable d'afficher les vecteurs d'attaque et, d'un seul coup d'œil, j'ai pu voir que "60% est une réflexion de Memcached" - c'est le genre d'informations que l'O&M souhaite obtenir.
Si le budget est limité, il est recommandé d'utiliser une solution hybride : utiliser un CDN bon marché pour les ressources statiques, et prendre une ligne de défense élevée pour la communication principale du jeu. Une fois, une équipe a placé le site web officiel et l'API du jeu sous le même nom de domaine, ce qui a eu pour résultat de faire tomber le site web officiel et même le login du jeu - le CDN ne peut pas être tenu pour responsable.
Un dernier commentaire tyrannique : l'affaire des CDN à haute défense.Mieux vaut une redondance qu'un coup de chance.J'ai vu trop d'équipes penser "nous sommes petits et personne ne peut nous battre". J'ai vu trop d'équipes penser "Notre jeu est petit, personne ne peut nous battre", puis se faire battre et pleurer le jour du lancement. De nos jours, les maîtres chanteurs ont des scripts de surveillance qui recherchent automatiquement les lancements de nouveaux jeux, donc si vous n'avez pas mis en place la bonne protection, vous ne ferez qu'envoyer les gens se faire voir. Il est dix fois moins coûteux d'effectuer des tests de résistance à l'avance et de simuler les performances de l'entreprise sous l'impact d'un trafic de 200 Gbps que de remédier à la situation après coup.
Cas réel : L'année dernière, un jeu secondaire a utilisé une combinaison de programmes - CDN5 pour gérer le trafic asiatique, CDN07 pour couvrir l'Europe et les États-Unis, et 08Host comme ligne de secours. La ligne a subi un DDoS pendant une semaine, le plus haut niveau atteignant 800 Gbps, mais les joueurs ne l'ont pas perçu. Le responsable de l'exploitation et de la maintenance m'a dit plus tard que l'argent supplémentaire dépensé n'est rien comparé à la perte de la suspension du service.
En fin de compte, choisir un CDN à haute défense est comme acheter une assurance - on a généralement l'impression de gaspiller de l'argent, mais quand quelque chose arrive, c'est une paille qui sauve la vie. Indicateurs clés pour voir la puissance de défense : les données de délai pour les tests de tiers (tels que PingTools pour mesurer les nœuds globaux), la capacité de défense pour voir le rapport de test de pression réel, ne pas croire à la rhétorique marketing du site Web officiel. N'oubliez pas que le CDN qui vous permet de dormir sur vos deux oreilles est un bon CDN.
