R\u00e9cemment, plusieurs amis faisant des plates-formes sociales ont couru pour me demander, haute d\u00e9fense CDN \u00e0 la fin comment choisir, le prix n'est pas tous comme la l\u00e9gende si effrayant. Pour \u00eatre honn\u00eate, la premi\u00e8re fois que j'ai contact\u00e9 ce morceau de temps, je suis \u00e9galement confus, la liste des offres des vendeurs semble \u00e9blouissante, de quelques milliers \u00e0 des centaines de milliers de tout, \u00e0 la fin qui est vraiment abordable, qui est la taxe de QI ? Aujourd'hui, je vais combiner le pi\u00e8ge dans lequel j'ai march\u00e9 et les donn\u00e9es de test r\u00e9elles, ouvrir les yeux et en parler.<\/p>\n
Tout d'abord, versez de l'eau froide : ne croyez pas ces mots fant\u00f4mes de \u201cd\u00e9fense illimit\u00e9e\u201d, \u201cjamais de temps d'arr\u00eat\u201d. Cette ligne d'eau est tr\u00e8s profonde, certains vendeurs \u00e0 la d\u00e9fense de 5Gbps marqu\u00e9e comme vente de 100Gbps, a \u00e9t\u00e9 frapp\u00e9 directement \u00e0 vous de retour \u00e0 la source, pleurer trop tard. J'ai test\u00e9 un service qui pr\u00e9tend \u201cignorer toute attaque\u201d, le r\u00e9sultat d'une simple attaque CC sur la d\u00e9fense bris\u00e9e - et j'ai d\u00e9couvert plus tard qu'ils n'avaient m\u00eame pas fait l'analyse comportementale de base.<\/p>\n
Le co\u00fbt de la d\u00e9fense d'une entreprise sociale consiste essentiellement \u00e0 payer pour un pic de trafic monstrueux. L'acc\u00e8s normal des utilisateurs est une courbe r\u00e9guli\u00e8re, mais le trafic d'attaque est comme une vague sismique, qui monte instantan\u00e9ment en fl\u00e8che. La valeur fondamentale d'un CDN de haute d\u00e9fense est de dig\u00e9rer ce trafic aberrant au niveau des n\u0153uds p\u00e9riph\u00e9riques et de ne pas le laisser atteindre les serveurs sources. Cela implique deux co\u00fbts principaux : les co\u00fbts de bande passante et les co\u00fbts de nettoyage.<\/p>\n
Les co\u00fbts de la bande passante concernent le trafic normal de l'entreprise et sont g\u00e9n\u00e9ralement factur\u00e9s \u00e0 raison de 95 pics par mois ou de totaux mensuels. Le co\u00fbt de nettoyage sert \u00e0 payer la capacit\u00e9 de d\u00e9fense, le courant principal est factur\u00e9 en fonction du pic de l'attaque ou de l'achat de paquets de d\u00e9fense. Par exemple : si la bande passante quotidienne est de 200 Mbps et qu'un jour une attaque DDoS de 300 Gbps se produit, la r\u00e9f\u00e9rence de facturation est bas\u00e9e sur une capacit\u00e9 de nettoyage de 300 Gbps, m\u00eame si l'attaque n'a dur\u00e9 que 5 minutes.<\/p>\n
Passons maintenant aux choses s\u00e9rieuses. J'ai obtenu des devis de trois fournisseurs courants pour les comparer (CDN5, CDN07, 08Host), et les donn\u00e9es proviennent de tests en conditions r\u00e9elles effectu\u00e9s l'ann\u00e9e derni\u00e8re lorsque j'ai aid\u00e9 une plateforme de m\u00e9dias sociaux audio\/vid\u00e9o \u00e0 choisir un mod\u00e8le :<\/p>\n
CDN5<\/strong>Le forfait de base est adapt\u00e9 \u00e0 des sc\u00e9narios avec beaucoup d'attaques soudaines. L'offre de base d\u00e9bute \u00e0 20 000 euros par mois et comprend une bande passante de 200 Mbps et une d\u00e9fense de 200 Gbps. Le trafic de nettoyage exc\u00e9dentaire est factur\u00e9 \u00e0 0,8 $\/Gbps\/heure. Le plus grand avantage est qu'il y a de nombreux n\u0153uds mondiaux, une faible latence en Asie du Sud-Est, mais le nombre de requ\u00eates HTTP\/HTTPS compte pour autre chose, et les appels API sont fr\u00e9quents et faciles \u00e0 d\u00e9passer le budget.<\/p>\n CDN07<\/strong>Le forfait de base est de 35 000 euros par mois avec une bande passante de 300 Mbps et une d\u00e9fense de 300 Gbps. L'offre de base est de 35 000 euros\/mois avec une bande passante de 300 Mbps + une d\u00e9fense de 300 Gbps, avec son propre pare-feu d'application web, qui peut bloquer la plupart des attaques CC. J'ai test\u00e9 leur algorithme d'IA, et le taux de reconnaissance des attaques lentes peut atteindre 90%, mais le nombre de n\u0153uds est faible, et la latence de l'acc\u00e8s des utilisateurs am\u00e9ricains est \u00e9lev\u00e9e.<\/p>\n 08Host<\/strong>Le premier choix pour les plateformes sociales de petite et moyenne taille est de 15 000 euros\/mois pour une bande passante de 100 Mbps + une d\u00e9fense de 100 Gbps, et seulement 0,5 $\/Gbps\/heure pour les co\u00fbts de nettoyage exc\u00e9dentaires. Le point fort est la fourniture gratuite de la gestion des certificats et du WAF de base, mais la r\u00e9sistance du n\u0153ud aux attaques de trafic lourd d\u00e9clenchera occasionnellement le m\u00e9canisme de fusion, vous devez configurer une bonne strat\u00e9gie de d\u00e9gradation \u00e0 l'avance.<\/p>\n Voici un pi\u00e8ge auquel il convient de pr\u00eater une attention particuli\u00e8re : de nombreux fournisseurs proposent une \u201cd\u00e9fense illimit\u00e9e\u201d qui ne concerne en fait que l'inondation UDP, par exemple une attaque facile \u00e0 nettoyer, et les attaques de type connexion TCP ou CC avanc\u00e9es, qui sont directement r\u00e9percut\u00e9es sur le client. Il est pr\u00e9f\u00e9rable d'indiquer clairement dans le contrat le type de d\u00e9fense et les normes de compensation.<\/p>\n L'exemple de configuration n'est en fait pas tr\u00e8s compliqu\u00e9, l'essentiel \u00e9tant une bonne planification du trafic. J'aimerais partager un script Nginx+Lua que j'utilise couramment pour identifier un trafic anormal et passer \u00e0 un n\u0153ud de nettoyage :<\/p>\n Le contr\u00f4le des co\u00fbts r\u00e9els d\u00e9pend \u00e9galement des caract\u00e9ristiques de l'entreprise. Les co\u00fbts de d\u00e9fense d'un simple chat textuel et d'une diffusion audio\/vid\u00e9o peuvent \u00eatre dix fois diff\u00e9rents. Dans le premier cas, il s'agit principalement de pr\u00e9venir les attaques CC, le nombre de requ\u00eates par seconde (RPS) \u00e9tant un indicateur cl\u00e9 ; dans le second cas, il s'agit de faire face aux attaques UDP Flood et aux attaques par r\u00e9flexion DNS, le co\u00fbt de la bande passante \u00e9tant tr\u00e8s \u00e9lev\u00e9. Une fois qu'un client, pour \u00e9conomiser de l'argent, n'a utilis\u00e9 que la d\u00e9fense de base, les r\u00e9sultats de la diffusion en direct ont \u00e9t\u00e9 une p\u00e9n\u00e9tration d'attaque UDP de 30 Gbps, une perte de temps d'arr\u00eat d'un jour que le budget annuel de la d\u00e9fense est plus \u00e9lev\u00e9.<\/p>\n Je recommande sinc\u00e8rement aux patrons d'entreprises sociales de r\u00e9server au moins le budget technologique 10% \u00e0 la protection de la s\u00e9curit\u00e9. Il ne faut pas croire que les affaires sont calmes aujourd'hui, mais lorsqu'elles seront vraiment cibl\u00e9es, l'achat temporaire de services ne sera pas le prix \u00e0 payer. L'ann\u00e9e derni\u00e8re, une plateforme de rencontres a \u00e9t\u00e9 attaqu\u00e9e par des concurrents qui ont jou\u00e9 un ensemble de combinaisons, l'achat temporaire d'une d\u00e9fense de 500 Gbps, une journ\u00e9e pour br\u00fbler 200 000 euros - assez pour acheter un paquet d'une ann\u00e9e enti\u00e8re.<\/p>\n Enfin, une th\u00e9orie tyrannique : de nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d. Certains fournisseurs n'ont pas assez de n\u0153uds pour louer de la bande passante d'occasion, et lorsqu'ils sont touch\u00e9s, la surcharge du lien s'effondre directement. Il est pr\u00e9f\u00e9rable de demander des diagrammes de topologie des n\u0153uds et des informations de diffusion BGP lors de la s\u00e9lection d'un mod\u00e8le, mais tout faux pas passe directement.<\/p>\n En r\u00e9sum\u00e9, il n'y a pas de r\u00e9ponse standard au CDN de haute d\u00e9fense sociale, la cl\u00e9 est d'examiner les sc\u00e9narios d'entreprise et les caract\u00e9ristiques des attaques. Les petites plateformes commencent par 08Host, des services aussi rentables, une activit\u00e9 quotidienne de plus d'un million, puis envisagent CDN5, l'optimisation compl\u00e8te des liens, la demande de niveau financier, puis CDN07. Le prix du paiement mensuel de quelques milliers \u00e0 des centaines de milliers est raisonnable, mais rappelez-vous : l'essence de la d\u00e9fense est le transfert des co\u00fbts, le co\u00fbt des attaques incontr\u00f4lables dans un budget de protection contr\u00f4lable, il vaut la peine de d\u00e9penser de l'argent.<\/p>\n Si un fournisseur vous propose vraiment une redevance annuelle d'un million de dollars, envoyez-lui cet article au visage - \u00e0 moins qu'il ne puisse fournir un nettoyage de qualit\u00e9 militaire proche de la source et une r\u00e9ponse en 7\u00d724, ce ne sont que des conneries.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, plusieurs amis faisant des plates-formes sociales ont couru pour me demander, haute d\u00e9fense CDN \u00e0 la fin comment choisir, le prix n'est pas tous comme la l\u00e9gende si effrayant. Pour \u00eatre honn\u00eate, la premi\u00e8re fois que j'ai contact\u00e9 ce morceau de temps, je suis \u00e9galement confus, la liste des offres des vendeurs semble \u00e9blouissante, de quelques milliers \u00e0 des centaines de milliers de tout, \u00e0 la fin qui est vraiment abordable, qui est la taxe de QI ? Aujourd'hui, je vais combiner le puits sur lequel j'ai march\u00e9 et les donn\u00e9es mesur\u00e9es, ouvrir une br\u00e8che et en parler. Tout d'abord, versez de l'eau froide : ne croyez pas ces mots fant\u00f4mes de \u201cd\u00e9fense illimit\u00e9e\u201d, \u201cjamais de temps d'arr\u00eat\u201d. Cette ligne d'eau est tr\u00e8s profonde, certains vendeurs \u00e0 5Gbps de d\u00e9fense marqu\u00e9s comme 100Gbps \u00e0 vendre, a \u00e9t\u00e9 frapp\u00e9 directement \u00e0 vous de retour \u00e0 la source, pleurer trop tard. J'ai test\u00e9 un service qui pr\u00e9tend \u201cignorer toute attaque\u201d, le r\u00e9sultat d'une simple attaque CC sur la d\u00e9fense bris\u00e9e - et j'ai d\u00e9couvert plus tard qu'ils n'avaient m\u00eame pas fait l'analyse comportementale de base.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1004","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1004","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1004"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1004\/revisions"}],"predecessor-version":[{"id":1121,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1004\/revisions\/1121"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1004"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1004"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1004"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1004"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}