Bonjour, je suis Lao Li, un diffuseur en direct et la s\u00e9curit\u00e9 des r\u00e9seaux dans le domaine de plus d'une d\u00e9cennie de m\u00e9lange de la vieille huile. Aujourd'hui, nous ne parlons pas de faux, mais de la diffusion en direct des attaques DDoS qui emp\u00eachent les gens de dormir la nuit - cette chose une fois attaqu\u00e9e, pousser la carte de flux dans le PPT, tirer le flux directement d\u00e9connect\u00e9, le public a jur\u00e9, la plate-forme a laiss\u00e9 tomber la poudre, le patron a tap\u00e9 sur la table, la sc\u00e8ne est tout simplement pire que la sc\u00e8ne de l'accident de voiture. Je me souviens que l'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 un ami \u00e0 g\u00e9rer sa plateforme en direct, \u00e0 cause d'un simple DDoS, des dizaines de milliers d'utilisateurs en ligne sont tomb\u00e9s \u00e0 z\u00e9ro, ce qui a entra\u00een\u00e9 de lourdes pertes. Aujourd'hui, je vais donc partager quelques produits secs, comment utiliser un CDN de haute s\u00e9curit\u00e9 pour supporter ces attaques, de sorte que la diffusion en direct soit aussi stable que le vieux chien.<\/p>\n
En parlant de DDoS, ce n'est pas nouveau, mais les attaques contre le streaming en direct sont particuli\u00e8rement m\u00e9chantes. Les attaques DDoS surviennent, les fous envoient des requ\u00eates inutiles, encombrent la bande passante et les ressources du serveur, ce qui entra\u00eene l'interruption de la diffusion en flux pouss\u00e9 (le pr\u00e9sentateur ne peut pas envoyer) ou de la diffusion en flux tir\u00e9 (le public ne peut pas voir). J'ai d\u00e9couvert que les types d'attaques les plus courants, tels que SYN Flood, UDP Flood, et m\u00eame la couche application de HTTP Flood, peuvent facilement vaincre le CDN ordinaire. Ne croyez pas ceux qui se vantent de l\u201c\u201dautoprotection\" du CDN bon march\u00e9, j'ai vu trop de cas, j'ai rencontr\u00e9 une fois une grande quantit\u00e9 d'attaques de trafic sur le genou direct, m\u00eame un avertissement ! Il n'y a pas d'avertissement.<\/p>\n
Pourquoi la diffusion en direct est-elle si fragile ? Parce qu'elle est extr\u00eamement sensible \u00e0 la latence et \u00e0 la bande passante. L'interruption du flux en mode \u201cpush\u201d signifie que le pr\u00e9sentateur doit se reconnecter et peut perdre des images ou couper la ligne ; l'interruption du flux en mode \"pull\" signifie que l'exp\u00e9rience du public est m\u00e9diocre et que le taux de d\u00e9sabonnement a grimp\u00e9 en fl\u00e8che. De nos jours, m\u00eame les CDN doivent \"d\u00e9fendre leurs co\u00e9quipiers\" - certaines attaques proviennent m\u00eame d'une mauvaise configuration interne ou d'une concurrence malveillante. Par exemple, l'ann\u00e9e derni\u00e8re, j'ai utilis\u00e9 l'outil pour simuler un DDoS \u00e0 petite \u00e9chelle, un test de n\u0153ud en direct non prot\u00e9g\u00e9, les r\u00e9sultats du d\u00e9lai du flux de pouss\u00e9e de 50 ms ont grimp\u00e9 \u00e0 plus de 500 ms, la dur\u00e9e de la m\u00e9moire tampon du flux a augment\u00e9 de 10 fois, il est compl\u00e8tement impossible de regarder. Comparaison des donn\u00e9es vers le bas, les n\u0153uds non prot\u00e9g\u00e9s dans l'attaque de 100Mbps sur l'effondrement, et CDN haute d\u00e9fense peut facilement transporter 1Gbps ou m\u00eame plus.<\/p>\n
Bon, tr\u00eave de plaisanterie, venons-en au fait - \u00e0 la solution. Un CDN \u00e0 haute d\u00e9fense n'est pas magique, mais il d\u00e9samorce les attaques gr\u00e2ce \u00e0 des n\u0153uds distribu\u00e9s et \u00e0 un nettoyage intelligent. L'id\u00e9e de base est de diriger le trafic vers le n\u0153ud de protection, de filtrer les demandes malveillantes et de ne lib\u00e9rer le trafic l\u00e9gitime que vers la station source. Je recommande un programme auto-construit combinant CDN et WAF (Web Application Firewall), test\u00e9 sur l'effet de la barre. Parlons de la configuration, voici un exemple simple de reverse proxy Nginx pour pousser le c\u00f4t\u00e9 flux de la protection. N'exposez pas l'IP source directement, sinon l'attaquant vous touche, c'est fini.<\/p>\n
Cette configuration n'est qu'une base, l'environnement r\u00e9el doit \u00eatre combin\u00e9 avec les caract\u00e9ristiques du fournisseur de services CDN. CDN5 a l'avantage d'avoir une large bande passante, une capacit\u00e9 de nettoyage - je l'ai test\u00e9, il peut automatiquement d\u00e9tecter et att\u00e9nuer l'attaque de millions de requ\u00eates par seconde, l'augmentation du d\u00e9lai est inf\u00e9rieure \u00e0 5%, convenant \u00e0 un trafic important en direct. Mais l'inconv\u00e9nient est qu'il est cher, le co\u00fbt mensuel peut \u00eatre des dizaines de milliers de petites plates-formes ne peuvent pas porter.CDN07 est plus souple, fournissant des r\u00e8gles personnalis\u00e9es, telles que le bouclier bas\u00e9 sur la localisation g\u00e9ographique, j'ai aid\u00e9 une plate-forme de jeu en direct utilis\u00e9, avec succ\u00e8s bloqu\u00e9 la source de l'attaque d'une r\u00e9gion sp\u00e9cifique.08Host est le roi du rapport prix-performance, l'effet de nettoyage de la moyenne, mais le prix du peuple pro, adapt\u00e9 pour les startups ; mais ne comptez pas sur lui pour porter une super-grande \u00e9chelle. Mais ne comptez pas sur lui pour supporter des attaques de grande envergure, je teste, plus de 500Mbps c'est un peu juste.<\/p>\n
Les donn\u00e9es pour parler : dans le test de simulation, CDN5 dans l'attaque de 1Gbps, le temps d'interruption du flux de pouss\u00e9e est de 0, le d\u00e9lai du flux de traction reste dans les 100ms ; CDN07 dans 800Mbps lorsque la performance est stable, mais ensuite plus \u00e9lev\u00e9 devra r\u00e9gler manuellement ; 08Host dans 300Mbps en dessous du probl\u00e8me, plus que cela devra ajouter de l'argent pour la mise \u00e0 niveau. Par cons\u00e9quent, le choix d\u00e9pend des besoins r\u00e9els - si le budget est suffisant, CDN5 est le premier choix ; pour \u00eatre flexible, choisissez CDN07 ; si vous voulez \u00e9conomiser de l'argent, 08Host plus une protection auto-construite est tr\u00e8s bien. N'oubliez pas que le CDN haute d\u00e9fense n'est pas une solution permanente, vous devez r\u00e9guli\u00e8rement mettre \u00e0 jour les r\u00e8gles et surveiller le trafic. J'utilise souvent des outils comme Wireshark ou Cloudflare Analytics pour analyser en temps r\u00e9el et ajuster imm\u00e9diatement lorsque je constate des anomalies.<\/p>\n
Outre les CDN, les protocoles push et pull doivent \u00eatre optimis\u00e9s. rtmp et hls sont des choix courants, mais rtmp est vuln\u00e9rable parce qu'il est bas\u00e9 sur tcp et que le processus de prise de contact est faible. Je recommande d'opter pour SRT ou WebRTC, qui int\u00e8grent des m\u00e9canismes de cryptage et de lutte contre la perte de paquets. Exemple de configuration : dans la configuration du flux push d'OBS, utiliser le protocole SRT et pointer vers un n\u0153ud CDN de haute d\u00e9fense. Comme cela a \u00e9t\u00e9 test\u00e9, SRT a une latence plus faible et une r\u00e9cup\u00e9ration plus rapide dans les environnements d'attaque. Du c\u00f4t\u00e9 du flux d'extraction, vous pouvez utiliser HLS plus une strat\u00e9gie de mise en cache - par exemple, d\u00e9finir une dur\u00e9e de tranche plus courte pour r\u00e9duire la mise en m\u00e9moire tampon.<\/p>\n
Enfin, la surveillance et la r\u00e9action sont essentielles. J'ai mis en place des r\u00e8gles d'alerte, comme le d\u00e9clenchement de notifications par SMS en cas d'augmentation soudaine du trafic 50%. Pour les outils, nous recommandons Prometheus et Grafana pour les tableaux de bord afin de suivre les m\u00e9triques des flux push et pull en temps r\u00e9el. Ne jamais ignorer l'analyse des journaux - les attaques ont souvent des pr\u00e9curseurs, tels que des acc\u00e8s anormaux aux User-Agent ou aux IP concentr\u00e9s. Une fois, j'ai d\u00e9couvert gr\u00e2ce aux journaux qu'une IP avait initi\u00e9 des dizaines de milliers de requ\u00eates dans un court laps de temps, et je l'ai imm\u00e9diatement bloqu\u00e9e pour \u00e9viter une attaque potentielle.<\/p>\n
En bref, le CDN haute d\u00e9fense en direct n'est pas facultatif, mais essentiel. C'est comme si l'on mettait une assurance sur la diffusion en direct, en investissant un peu d'argent et en \u00e9vitant de gros probl\u00e8mes. D'apr\u00e8s mon exp\u00e9rience, la combinaison de fournisseurs de services CDN et d'une protection propre peut garantir une absence d'interruption \u00e0 99,9%. Mais n'oubliez pas qu'il n'y a pas de solution parfaite, vous devez continuer \u00e0 apprendre et \u00e0 vous adapter. Le secteur change et les attaques \u00e9voluent - ce qui \u00e9tait populaire l'ann\u00e9e derni\u00e8re peut \u00eatre d\u00e9pass\u00e9 cette ann\u00e9e. Alors, testez plus, sauvegardez plus et ne soyez pas paresseux. Le public ne vous donnera pas de seconde chance.<\/p>\n
Si vous avez des questions sp\u00e9cifiques, n'h\u00e9sitez pas \u00e0 laisser un commentaire et \u00e0 partager - j'aime g\u00e9n\u00e9ralement m'impr\u00e9gner des forums et partager des id\u00e9es concr\u00e8tes. Apr\u00e8s tout, il s'agit d'un secteur o\u00f9 l'entraide est le seul moyen d'aller loin. Bonne diffusion, bonne vie !<\/p>","protected":false},"excerpt":{"rendered":"
Bonjour, je suis Lao Li, un diffuseur en direct et la s\u00e9curit\u00e9 des r\u00e9seaux dans le domaine de plus d'une d\u00e9cennie de m\u00e9lange de la vieille huile. Aujourd'hui, nous ne parlons pas de faux, mais de la diffusion en direct des attaques DDoS qui emp\u00eachent les gens de dormir la nuit - cette chose une fois attaqu\u00e9e, pousser la carte de flux dans le PPT, tirer le flux directement d\u00e9connect\u00e9, le public a jur\u00e9, la plate-forme a laiss\u00e9 tomber la poudre, le patron a gifl\u00e9 la table, la sc\u00e8ne est tout simplement pire que la sc\u00e8ne de l'accident de voiture. Je me souviens que l'ann\u00e9e derni\u00e8re, j'ai aid\u00e9 un ami \u00e0 g\u00e9rer sa plateforme en direct, \u00e0 cause d'un simple DDoS, des dizaines de milliers d'utilisateurs en ligne sont tomb\u00e9s \u00e0 z\u00e9ro, ce qui a entra\u00een\u00e9 de lourdes pertes. Aujourd'hui, je vais donc partager quelques produits secs, comment utiliser un CDN de haute s\u00e9curit\u00e9 pour supporter ces attaques, de sorte que la diffusion en direct soit aussi stable que le vieux chien. En parlant de DDoS, ce n'est pas nouveau, mais l'attaque sur la diffusion en direct est particuli\u00e8rement d\u00e9go\u00fbtante. La diffusion en direct en flux pouss\u00e9 et en flux tir\u00e9 est essentiellement une transmission de donn\u00e9es en temps r\u00e9el, la diffusion en flux pouss\u00e9 \u00e9tant le point d'ancrage.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1017","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1017","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1017"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1017\/revisions"}],"predecessor-version":[{"id":1108,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1017\/revisions\/1108"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1017"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1017"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1017"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1017"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}