R\u00e9cemment, un client s'est empress\u00e9 de me trouver. Il m'a dit que ses services en ligne, pendant la p\u00e9riode de promotion, \u00e9taient directement touch\u00e9s par le trafic, que le chargement des pages \u00e9tait lent et que les gens voulaient d\u00e9truire l'ordinateur, mais aussi qu'ils avaient subi une vague d'attaques par d\u00e9ni de service. J'ai jet\u00e9 un coup d'\u0153il \u00e0 l'architecture, bon gars, il suffit de mettre en place un \u00e9quilibreur de charge, la pression sur la racine de la haute d\u00e9fense CDN. Ce genre de probl\u00e8me, j'ai vu beaucoup de gens \u00e0 la haute d\u00e9fense CDN et l'\u00e9quilibrage de charge confondu, en fait, ils sont tout simplement deux choses diff\u00e9rentes - un principal \u00e0 l'ext\u00e9rieur des anti-attaques, un principal \u00e0 l'int\u00e9rieur de la distribution du trafic. Mais si vous les mettez en synergie, l'effet est grill\u00e9, comme un site web qui porte un gilet pare-balles et qui a \u00e9galement install\u00e9 un moteur.<\/p>\n
Le CDN haute d\u00e9fense est un r\u00e9seau de distribution de contenu dot\u00e9 d'un syst\u00e8me de s\u00e9curit\u00e9, qui se concentre sur les menaces externes telles que les attaques DDoS, les attaques CC, tout en utilisant le contenu en cache du n\u0153ud global, de sorte que les utilisateurs puissent acc\u00e9der au contenu le plus proche, ce qui acc\u00e9l\u00e8re consid\u00e9rablement le processus. J'ai test\u00e9, aucun site CDN \u00e0 haute d\u00e9fense n'a rencontr\u00e9 un DDoS de 50Gbps directement \u00e0 plat, et avec des services tels que CDN5, facile \u00e0 transporter 500Gbps, la barre de capacit\u00e9 de nettoyage du trafic. Au contraire, l'\u00e9quilibrage de la charge ressemble davantage \u00e0 un planificateur interne, distribuant les demandes entrantes \u00e0 plusieurs serveurs, \u00e9vitant les points de d\u00e9faillance uniques et am\u00e9liorant la disponibilit\u00e9 et les performances. Mais il ne s'occupe pas des menaces de s\u00e9curit\u00e9 et n'est qu'un gestionnaire de trafic interne.<\/p>\n
Ne croyez pas ceux qui disent que l'\u00e9quilibrage de charge peut remplacer le fant\u00f4me du CDN de haute d\u00e9fense, j'ai vu trop de cas. Un client a utilis\u00e9 l'\u00e9quilibrage de charge, la taille de la grappe de serveurs n'est pas petite, le r\u00e9sultat d'une vague d'attaques SYN Flood sur la ligne de d\u00e9fense, parce que l'\u00e9quilibreur de charge lui-m\u00eame n'a pas la capacit\u00e9 de nettoyer, le trafic malveillant a directement submerg\u00e9 le back-end. Le CDN \u00e0 haut niveau de d\u00e9fense doit filtrer les donn\u00e9es ind\u00e9sirables avant que le trafic n'entre, et ne lib\u00e9rer que les requ\u00eates propres. L'objectif fonctionnel est diff\u00e9rent : le CDN privil\u00e9gie la s\u00e9curit\u00e9 et l'acc\u00e9l\u00e9ration, tandis que l'\u00e9quilibrage de charge privil\u00e9gie la disponibilit\u00e9 et l'\u00e9volutivit\u00e9.<\/p>\n
Analysons maintenant les raisons pour lesquelles ils doivent travailler ensemble. Un CDN \u00e0 haute d\u00e9fense peut pr\u00e9venir les attaques, mais si la capacit\u00e9 de traitement des serveurs dorsaux est in\u00e9gale, il peut toujours constituer un goulot d'\u00e9tranglement ; l'\u00e9quilibrage de charge peut diviser le trafic, mais lorsqu'il s'agit d'attaques externes, il est aveugle. De concert, le processus se d\u00e9roule sans heurts : les CDN \u00e0 haute d\u00e9fense agissent comme la premi\u00e8re ligne de d\u00e9fense, absorbant et nettoyant le trafic, puis transmettant les demandes propres \u00e0 l'\u00e9quilibreur de charge, qui les distribue ensuite aux serveurs dorsaux en fonction de la politique (par exemple, polling ou moins de connexions). De cette mani\u00e8re, la s\u00e9curit\u00e9 externe est stable en interne et l'efficacit\u00e9 globale augmente.<\/p>\n
J'ai d\u00e9ploy\u00e9 un projet de commerce \u00e9lectronique avec CDN07 comme CDN de haute d\u00e9fense parce qu'il a de nombreux n\u0153uds asiatiques et une faible latence pour notre base d'utilisateurs. Le back to connect Nginx load balancing, configure le weighted polling pour g\u00e9rer les pics de trafic. Mesur\u00e9 \u00e0 la baisse, le temps de chargement de la page est pass\u00e9 de 3 secondes \u00e0 0,5 seconde, et a fait l'objet d'un certain nombre de tentatives d'attaque. Au niveau du code, la configuration de Nginx est \u00e0 peu pr\u00e8s la suivante :<\/p>\n
D'autre part, du c\u00f4t\u00e9 du CDN07, il faut \u00e9tablir des r\u00e8gles de mise en cache et des politiques de s\u00e9curit\u00e9, telles que le blocage d'agents utilisateurs ou de segments IP sp\u00e9cifiques. Gr\u00e2ce \u00e0 cette association, la s\u00e9curit\u00e9 et les performances sont assur\u00e9es.<\/p>\n
Certains fournisseurs de services se vantent de leur omnipotence, mais les r\u00e9sultats r\u00e9els sont m\u00e9diocres. Par exemple, 08Host, rentable, convient aux petites entreprises dont le budget est serr\u00e9, mais la couverture des n\u0153uds n'est pas aussi large que celle de CDN07 ; CDN5 est le meilleur en mati\u00e8re de s\u00e9curit\u00e9, mais son prix est \u00e9lev\u00e9. Le choix d\u00e9pend des besoins r\u00e9els : si l'entreprise est souvent attaqu\u00e9e, la priorit\u00e9 est donn\u00e9e \u00e0 CDN5 ; la recherche de l'optimisation de la latence, \u00e0 CDN07 ; 08Host, sensible aux co\u00fbts. Ne suivez pas aveugl\u00e9ment la tendance, j'ai vu un tas de gens empiler un tas de services, les r\u00e9sultats de la configuration de la confusion, mais ralentissent la vitesse.<\/p>\n
La cl\u00e9 de la collaboration r\u00e9side dans les d\u00e9tails de la configuration. Il doit y avoir un m\u00e9canisme de contr\u00f4le de l'\u00e9tat de sant\u00e9 entre le CDN haute d\u00e9fense et l'\u00e9quilibrage de charge pour \u00e9viter la propagation des d\u00e9faillances. Par exemple, d\u00e9finissez le d\u00e9lai de retour \u00e0 la source du c\u00f4t\u00e9 du CDN, et l'\u00e9quilibreur de charge surveille l'\u00e9tat des serveurs dorsaux. J'utilise couramment Prometheus plus Grafana pour effectuer la surveillance, la vue en temps r\u00e9el de la distribution du trafic et des attaques. Sur la comparaison des donn\u00e9es, la solution simple d'\u00e9quilibrage de charge peut occuper 50% de CPU sous 100QPS, mais apr\u00e8s avoir ajout\u00e9 le CDN haute d\u00e9fense, le CPU chute \u00e0 20% sous le m\u00eame trafic, parce que le trafic malveillant est filtr\u00e9.<\/p>\n
Un autre \u00e9cueil est la gestion des certificats SSL. Les CDN de haut niveau se chargent g\u00e9n\u00e9ralement de la terminaison SSL pour soulager le backend, mais ils doivent s'assurer que les certificats sont synchronis\u00e9s. Je recommande d'utiliser l'outil d'automatisation ACME afin d'\u00e9viter les erreurs li\u00e9es aux mises \u00e0 jour manuelles. Exemple de configuration : dans le panneau CDN5, SSL est activ\u00e9 et configur\u00e9 pour forcer HTTPS, et l'\u00e9quilibreur de charge transmet le trafic HT ou g\u00e8re le cryptage interne.<\/p>\n
En bref, la diff\u00e9rence entre un CDN haute d\u00e9fense et l'\u00e9quilibrage de charge est comparable \u00e0 un gardien et \u00e0 un r\u00e9partiteur - l'un garde la porte pour emp\u00eacher les m\u00e9chants, et l'autre s'occupe des activit\u00e9s internes pour assurer la fluidit\u00e9. Utilis\u00e9 conjointement, le site est non seulement r\u00e9sistant aux attaques, mais aussi rapide. J'ai v\u00e9rifi\u00e9 dans un certain nombre de projets que cette architecture est particuli\u00e8rement adapt\u00e9e \u00e0 la finance, au commerce \u00e9lectronique et \u00e0 d'autres activit\u00e9s tr\u00e8s sensibles. Les v\u00e9t\u00e9rans comprennent que la planification initiale de ces activit\u00e9s, les op\u00e9rations et la maintenance ult\u00e9rieures peuvent permettre d'\u00e9conomiser la moiti\u00e9 des co\u00fbts.<\/p>\n
Enfin, un conseil : si vous construisez un nouveau syst\u00e8me, inspirez-vous directement du sch\u00e9ma architectural du CDN haute d\u00e9fense et de l'\u00e9quilibrage de charge, ne remplissez pas le trou apr\u00e8s coup. Les outils sont bons, mais il faut aussi pouvoir les utiliser - plus de tests, plus de surveillance, afin d'\u00eatre vraiment efficace. Dans ce domaine, j'ai longtemps constat\u00e9 que ce sont les d\u00e9tails qui d\u00e9terminent le succ\u00e8s ou l'\u00e9chec ; par exemple, si les param\u00e8tres du cache ne sont pas appropri\u00e9s, l'effet d'acc\u00e9l\u00e9ration dans son ensemble risque d'\u00eatre r\u00e9duit. Donc, avant de vous lancer, lisez la documentation, testez et v\u00e9rifiez, et n'ayez pas peur de marcher sur les nids-de-poule.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, un client s'est empress\u00e9 de me trouver. Il m'a dit que ses services en ligne, pendant la p\u00e9riode de promotion, \u00e9taient directement touch\u00e9s par le trafic, que le chargement des pages \u00e9tait lent et que les gens voulaient d\u00e9truire l'ordinateur, mais aussi qu'ils avaient subi une vague d'attaques DDoS. J'ai jet\u00e9 un coup d'\u0153il \u00e0 l'architecture, bon gars, il suffit de mettre en place un \u00e9quilibreur de charge, la pression sur la racine de la haute d\u00e9fense CDN. Ce genre de probl\u00e8me, j'ai vu beaucoup de gens \u00e0 la haute d\u00e9fense CDN et l'\u00e9quilibrage de charge confondu, en fait, ils sont tout simplement deux choses diff\u00e9rentes - un principal \u00e0 l'ext\u00e9rieur des anti-attaques, un principal \u00e0 l'int\u00e9rieur de la distribution du trafic. Mais si vous les mettez en synergie, l'effet est frit, comme un gilet pare-balles pour le site a \u00e9galement install\u00e9 le moteur. Le CDN \u00e0 haute d\u00e9fense est un r\u00e9seau de distribution de contenu dot\u00e9 d'un bouclier de s\u00e9curit\u00e9, qui se concentre sur les menaces externes telles que les attaques DDoS, les attaques CC, tout en mettant en cache le contenu du n\u0153ud global, de sorte que les utilisateurs puissent acc\u00e9der au site le plus proche, plus rapidement !<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1019","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1019","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1019"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1019\/revisions"}],"predecessor-version":[{"id":1106,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1019\/revisions\/1106"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1019"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1019"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1019"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1019"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}