Avez-vous d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9veill\u00e9 \u00e0 3 heures du matin par un appel \u00e0 la police vous annon\u00e7ant que votre site web \u00e9tait \u00e0 nouveau hors service ? Je me souviens encore de cette station de commerce \u00e9lectronique d'un client dont la bande passante \u00e9tait remplie de DDoS \u00e0 500 Gbps, le cauchemar de la paralysie de toute la salle des serveurs - de nos jours, m\u00eame les pirates informatiques ont commenc\u00e9 \u00e0 \u201cacheter en groupe\u201d des canons \u00e0 trafic. Mais pas de panique, aujourd'hui nous allons ouvrir les miettes pour comprendre, CDN de haute d\u00e9fense dans la fin de la fa\u00e7on de porter l'attaque d'inondation, tout en permettant aux utilisateurs d'acc\u00e9der aussi vite que l'\u00e9clair.<\/p>\n
Le CDN \u00e0 haute d\u00e9fense est essentiellement un \u201cgarde-\u00e9p\u00e9e\u201d et un \u201cfr\u00e8re messager\u201d, il doit arr\u00eater l'\u00e9p\u00e9e, mais aussi envoyer le paquet avec pr\u00e9cision dans les mains de l'utilisateur. Beaucoup de Blancs pensent qu'un ensemble de CDN sera en mesure de se reposer tranquillement, les r\u00e9sultats des attaques CC s'agenouillent directement - parce que vous pouvez acheter juste un CDN acc\u00e9l\u00e9r\u00e9, la capacit\u00e9 de d\u00e9fense est \u00e0 peu pr\u00e8s \u00e9gale \u00e0 un mur de papier. J'ai d\u00e9couvert que 70 % des services dits \u201c\u00e0 haute d\u00e9fense\u201d sur le march\u00e9, m\u00eame SYN Flood ne peut pas filtrer proprement, sans parler de la couche d'application populaire des attaques lentes.<\/p>\n
Tout d'abord, le m\u00e9canisme de d\u00e9fense. Le principe de base est le \u201cnettoyage du trafic\u201d : le trafic malveillant est dirig\u00e9 vers un centre de nettoyage pour y \u00eatre pinc\u00e9, puis le trafic propre est renvoy\u00e9 \u00e0 la source. La cl\u00e9 ici est le r\u00e9seau Anycast distribu\u00e9 - en utilisant un groupe de n\u0153uds mondiaux partageant la m\u00eame IP, le trafic d'attaque sera automatiquement achemin\u00e9 vers le centre de nettoyage le plus proche. Par exemple, dans CDN07, le d\u00e9lai de leurs n\u0153uds Anycast est r\u00e9duit \u00e0 moins de 2 ms, et l'attaque sera press\u00e9e \u00e0 mort avant de se propager. La derni\u00e8re fois qu'une entreprise a mis en place une d\u00e9fense de 200Tbps, le combat r\u00e9el s'est d\u00e9roul\u00e9 parce que le trafic s'est entass\u00e9 dans une entr\u00e9e, la carte r\u00e9seau physique s'est d'abord effondr\u00e9e pour le respect.<\/p>\n
Sur le plan technique, le centre de nettoyage s'appuie sur trois couches d'empreintes digitales et d'analyse comportementale. Pour faire simple, il s'agit d'abord de regarder la biblioth\u00e8que de r\u00e9putation IP (comme les n\u0153uds TOR ou les botnets connus), puis d'analyser les caract\u00e9ristiques des paquets (nombre de requ\u00eates par seconde, dur\u00e9e de la connexion). Je configure souvent des r\u00e8gles WAF pour bloquer les attaques CC :<\/p>\n
Mais il ne s'agit l\u00e0 que de l'essentiel. Lorsqu'il s'agit d'attaques avanc\u00e9es, tout repose sur l'apprentissage automatique et la mod\u00e9lisation dynamique - par exemple, les algorithmes de CDN5 peuvent identifier des \u201cmod\u00e8les de comportement humain\u201d : les utilisateurs normaux cliquent avec des d\u00e9lais al\u00e9atoires, mais les robots sont plus pr\u00e9cis de quelques millisecondes. L'ann\u00e9e derni\u00e8re, ils ont r\u00e9sist\u00e9 \u00e0 une inondation HTTP de 8 millions de QPS en ajustant les seuils en temps r\u00e9el, ce qui est dix fois plus souple que les bases de r\u00e8gles traditionnelles.<\/p>\n
Outre le m\u00e9canisme d'acc\u00e9l\u00e9ration, il s'agit davantage d'un test de l'architecture sous-jacente du CDN. L'acc\u00e9l\u00e9ration ne consiste pas simplement \u00e0 mettre en cache des fichiers statiques, mais \u00e0 utiliser l'informatique de pointe pour \u201cpresser\u201d le contenu dynamique jusqu'\u00e0 la porte de l'utilisateur. 08Host est tr\u00e8s souple dans ce domaine : ses algorithmes de routage intelligents peuvent choisir le chemin optimal en temps r\u00e9el, afin d'\u00e9viter l'encombrement des liaisons internationales. J'ai mesur\u00e9 la vitesse de chargement de la m\u00eame image de Tokyo \u00e0 Los Angeles, en utilisant un CDN ordinaire \u00e0 380 ms, la pression de 08Host \u00e0 90 ms - la diff\u00e9rence est comme rouler \u00e0 v\u00e9lo et rouler en fus\u00e9e.<\/p>\n
La strat\u00e9gie de mise en cache est l'\u00e2me de l'acc\u00e9l\u00e9ration. Les gens stupides se contentent de d\u00e9finir l'en-t\u00eate Cache-Control, les v\u00e9t\u00e9rans jouent avec la logique de mise en cache \u00e0 la p\u00e9riph\u00e9rie. Par exemple, pour un contenu semi-dynamique tel que des pages de produits de commerce \u00e9lectronique, j'utiliserais des n\u0153uds de calcul en p\u00e9riph\u00e9rie pour effectuer une mise en cache locale :<\/p>\n
N'oubliez pas d'optimiser TCP pour ces d\u00e9tails sous-jacents. Un bon CDN \u00e0 haute d\u00e9fense doit ajuster les param\u00e8tres du noyau comme un vieux m\u00e9decin chinois ajuste le corps : en augmentant la file d'attente SYN, en activant l'ouverture rapide et en ajustant l'algorithme de congestion. CDN07 a m\u00eame modifi\u00e9 comme par magie l'algorithme BBR, qui peut encore fonctionner \u00e0 pleine bande passante sur un lien avec un taux de perte de paquets de 20%, et le taux de retard vid\u00e9o mesur\u00e9 a chut\u00e9 de 70% - ce qui a permis de r\u00e9duire le nombre de paquets perdus et d'am\u00e9liorer la qualit\u00e9 du service. Les obstacles techniques sont suffisants pour que des amis se poursuivent pendant trois ans.<\/p>\n
Comparons maintenant les donn\u00e9es de combat r\u00e9elles de plusieurs fournisseurs. L'ann\u00e9e derni\u00e8re, j'ai effectu\u00e9 un test de stress pour un client financier afin de simuler une attaque hybride (DDoS+CC+connexion lente) :<\/p>\n
CDN5 : d\u00e9lai de nettoyage <50ms, ratio d'acc\u00e9l\u00e9ration 1:8 (c'est-\u00e0-dire 1Gbps de retour \u00e0 la source pour transporter 8Gbps de trafic en p\u00e9riph\u00e9rie), mais le prix est tr\u00e8s \u00e9lev\u00e9, adapt\u00e9 aux entreprises de type tycoon.<\/p>\n
CDN07 : taux de r\u00e9ussite en mati\u00e8re de d\u00e9fense de 99,99%, mais l'acc\u00e9l\u00e9ration dynamique est plus faible, ce qui convient aux jeux tels que les sc\u00e9narios de priorit\u00e9 en mati\u00e8re de d\u00e9fense.<\/p>\n
08Host : le roi de la rentabilit\u00e9, le meilleur \u00e9quilibre entre la d\u00e9fense et l'acc\u00e9l\u00e9ration, particuli\u00e8rement performant sur la ligne Asie-Pacifique, les petites entreprises fermant les yeux.<\/p>\n
Enfin, je voudrais dire quelques mots du fond du c\u0153ur : ne vous fiez pas aux publicit\u00e9s pour juger de l'efficacit\u00e9 du choix d'un CDN \u00e0 haute d\u00e9fense. Assurez-vous de demander au vendeur de fournir de vrais journaux d'attaques et des rapports de suivi des routes MTR - j'ai vu trop de revendeurs de second ordre utiliser de fausses donn\u00e9es CloudFlare pour tromper les gens. N'oubliez pas que ceux qui sont capables d'assurer \u00e0 la fois la d\u00e9fense et l'acc\u00e9l\u00e9ration doivent ma\u00eetriser \u00e0 la fois le r\u00e9seau et les algorithmes sous-jacents. V\u00e9rifiez d\u00e8s maintenant votre configuration CDN, n'attendez pas qu'elle explose pour vous f\u00e9liciter.<\/p>","protected":false},"excerpt":{"rendered":"
Avez-vous d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9veill\u00e9 \u00e0 3 heures du matin par un appel \u00e0 la police indiquant que votre site web \u00e9tait \u00e0 nouveau hors service ? Je me souviens encore de cette station de commerce \u00e9lectronique d'un client dont la bande passante \u00e9tait remplie de DDoS \u00e0 500 Gbps, le cauchemar de la paralysie de toute la salle des serveurs - de nos jours, m\u00eame les pirates informatiques ont commenc\u00e9 \u00e0 \u201cacheter en groupe\u201d des canons \u00e0 trafic. Mais pas de panique, aujourd'hui nous allons ouvrir les miettes pour comprendre, CDN haute d\u00e9fense en fin de compte comment porter un flot d'attaques, tout en permettant aux utilisateurs d'acc\u00e9der aussi rapidement que l'\u00e9clair. Le CDN \u00e0 haute d\u00e9fense est essentiellement un \u201cgardien d'\u00e9p\u00e9e\u201d et un \u201cfr\u00e8re messager\u201d, il doit arr\u00eater l'\u00e9p\u00e9e, mais aussi envoyer le paquet avec pr\u00e9cision dans les mains de l'utilisateur. Beaucoup de Blancs pensent qu'un ensemble de CDN sera en mesure de se reposer tranquillement, les r\u00e9sultats des attaques CC s'agenouillent directement - parce que vous pouvez acheter juste un CDN acc\u00e9l\u00e9r\u00e9, la capacit\u00e9 de d\u00e9fense est \u00e0 peu pr\u00e8s \u00e9gale \u00e0 un mur de papier. J'ai constat\u00e9 que 70 % des soi-disant \u201chaute d\u00e9fense\u201d sur le march\u00e9.\u201d<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1006","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1006","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1006"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1006\/revisions"}],"predecessor-version":[{"id":1119,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1006\/revisions\/1119"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1006"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1006"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1006"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1006"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}