Lorsque j'ai rejoint l'industrie pour la premi\u00e8re fois, j'ai \u00e9galement pens\u00e9 que le CDN \u00e0 haute d\u00e9fense n'\u00e9tait pas seulement destin\u00e9 \u00e0 mener des attaques DDoS, mais aussi \u00e0 trouver une large bande passante, une valeur de d\u00e9fense de haut niveau, et que ce n'\u00e9tait pas la fin de l'affaire ? Jusqu'\u00e0 ce qu'une fois, au milieu de la nuit, le message texte de l'alarme nous r\u00e9veille, le d\u00e9lai d'ex\u00e9cution monte en fl\u00e8che jusqu'\u00e0 3 000 ms, les plaintes des utilisateurs s'envolent comme des flocons de neige - pour d\u00e9couvrir que la distribution du n\u0153ud de cette question peut vraiment tuer.<\/p>\n
Le client est une soci\u00e9t\u00e9 de commerce \u00e9lectronique \u00e0 l'\u00e9tranger, qui utilise un CDN bon march\u00e9, appel\u00e9 \"Global 500 nodes\". Habituellement, il n'y a pas de probl\u00e8me, mais une nuit, il a soudainement subi une attaque par inondation TCP, le trafic provenant principalement d'Europe de l'Est et d'Am\u00e9rique du Sud. En cons\u00e9quence, dans les \"n\u0153uds globaux\" du CDN, 80% est encombr\u00e9 dans plusieurs grandes villes d'Europe et des \u00c9tats-Unis, et il n'y a pas de n\u0153ud p\u00e9riph\u00e9rique en Am\u00e9rique du Sud, de sorte que tout le trafic circule autour des \u00c9tats-Unis et retourne ensuite vers la salle des serveurs de Miami. Le retard a directement explos\u00e9, la strat\u00e9gie de d\u00e9fense n'est pas encore entr\u00e9e en vigueur, la liaison a d'abord \u00e9t\u00e9 bloqu\u00e9e \u00e0 l'heure de pointe du matin sur le quatri\u00e8me p\u00e9riph\u00e9rique nord.<\/p>\n
Aujourd'hui, m\u00eame les CDN doivent \"d\u00e9fendre leurs co\u00e9quipiers\". Vous pensez acheter une d\u00e9fense, mais en fait, derri\u00e8re le combat se cache la qualit\u00e9 des n\u0153uds et la logique de distribution. La distribution des n\u0153uds n'est pas seulement \"combien de points\", mais \"o\u00f9 sont les points\", \"comment se connecter\" et \"qui a la priorit\u00e9\". Si vous ne comprenez pas cela, la vitesse sera faible pour tirer l'entrejambe, et la d\u00e9fense sera vaine.<\/p>\n
Parlons d'abord du niveau de d\u00e9fense.<\/strong> Les attaques DDoS sont aujourd'hui de plus en plus r\u00e9gionalis\u00e9es, comme le reflet UDP en Asie du Sud-Est, la machine marionnette CC en Europe de l'Est. Si votre CDN ne nettoie pas les n\u0153uds dans la zone dense de la source de l'attaque, le trafic devra faire un d\u00e9tour \u00e0 travers le continent, le d\u00e9lai montera en fl\u00e8che, sans parler du fait que le milieu de la r\u00e9gion peut \u00e9galement passer par une partie de l'infrastructure du r\u00e9seau est pauvre, le taux de perte de paquets du ciel direct.<\/p>\n J'ai test\u00e9 une petite usine CDN, revendiquant 300 n\u0153uds, les r\u00e9sultats du Moyen-Orient ont \u00e9t\u00e9 frapp\u00e9s, le trafic tout autour du nettoyage de Francfort. La latence est pass\u00e9e de 150 ms \u00e0 800 ms, le taux de retransmission TCP de plus de 15%. Les utilisateurs pensaient que le serveur s'\u00e9tait effondr\u00e9, en fait, c'\u00e9tait la distribution des n\u0153uds qui \u00e9tait au plus bas.<\/p>\n Le niveau de vitesse est beaucoup plus \u00e9vident.<\/strong> La distance physique d\u00e9termine la limite inf\u00e9rieure du d\u00e9lai, la densit\u00e9 des n\u0153uds d\u00e9termine la limite sup\u00e9rieure de la congestion. Par exemple : les utilisateurs \u00e0 P\u00e9kin, les n\u0153uds de bordure du CDN \u00e0 Shanghai, une latence d'environ 30 ms ; mais si le n\u0153ud est seulement \u00e0 Los Angeles, la transmission par fibre optique devra \u00eatre plus de 120 ms, plus les sauts de routage BGP, occasionnellement sur les 200 ms. N'oublions pas que le navigateur pour charger une page peut impliquer des dizaines de requ\u00eates, chacune lente de 50 ms, l'exp\u00e9rience globale est une grande diff\u00e9rence.<\/p>\n Ne croyez pas \u00e0 ces conneries d'\"acc\u00e9l\u00e9ration globale\". Sans n\u0153uds localis\u00e9s, ce ne sont que des conneries. En particulier pour la vid\u00e9o, les jeux, la communication en temps r\u00e9el, la diff\u00e9rence de d\u00e9lai entre 50 ms et 100 ms peut \u00eatre directement per\u00e7ue par les utilisateurs.<\/p>\n Les diff\u00e9rences entre les n\u0153uds nationaux et internationaux constituent un gouffre encore plus grand.<\/strong> L'environnement des r\u00e9seaux nationaux est particulier, le croisement des op\u00e9rateurs (Telecom\/Unicom\/Mobile) est comme le croisement des provinces, sans parler du mur d'interf\u00e9rences. Un bon CDN national doit avoir un acc\u00e8s BGP multi-op\u00e9rateurs, voire un triple play. Mais beaucoup de CDN \u00e9trangers en Chine ne sont connect\u00e9s qu'\u00e0 un op\u00e9rateur t\u00e9l\u00e9com ou Unicom, et l'acc\u00e8s des utilisateurs mobiles est directement bloqu\u00e9.<\/p>\n Les n\u0153uds europ\u00e9ens et am\u00e9ricains d'AWS CloudFront ou de Cloudflare sont vraiment puissants, mais une fois en Asie du Sud-Est, en Am\u00e9rique latine et en Afrique, ils ne sont peut-\u00eatre pas aussi bons que certains fournisseurs qui se concentrent sur les march\u00e9s \u00e9mergents, tels que les n\u0153uds indiens et br\u00e9siliens de CDN07, la couverture des FAI locaux directement connect\u00e9s \u00e0 90% ou plus, et la latence est r\u00e9duite \u00e0 moins de 50 ms.<\/p>\n Comment puis-je savoir si la r\u00e9partition des n\u0153uds est logique ?<\/strong> Il n'est absolument pas possible de se contenter de regarder les images promotionnelles du fabricant. J'utilise g\u00e9n\u00e9ralement deux m\u00e9thodes terrestres : l'une consiste \u00e0 effectuer son propre test de latence, l'autre \u00e0 examiner le tra\u00e7age des routes (traceroute). Par exemple, pour tester l'exp\u00e9rience d'acc\u00e8s des utilisateurs en Asie du Sud-Est, vous pouvez utiliser CloudPing depuis Singapour, Jakarta, Bangkok et d'autres endroits pour mesurer le d\u00e9lai de retour \u00e0 la source.<\/p>\n Pour les plus impitoyables, allez directement au script pour simuler des demandes g\u00e9ographiques multiples :<\/p>\n L'ex\u00e9cution vous montrera quels sont les n\u0153uds qui fluctuent et quelle est la latence \u00e9lev\u00e9e. Si vous constatez une augmentation soudaine de la latence dans une certaine zone, cela signifie que les n\u0153uds sont peu nombreux ou que la ligne est d\u00e9grad\u00e9e.<\/p>\n Le tra\u00e7age d'itin\u00e9raires est plut\u00f4t un miroir qui permet de rep\u00e9rer les d\u00e9mons.<\/strong> Par exemple, utilisez la commande suivante :<\/p>\n Examinez le nombre de sauts et l'attribution d'IP dans le r\u00e9sultat. Si vous constatez que le trafic va de Singapour aux \u00c9tats-Unis et revient au Japon, adressez-vous directement au fournisseur de CDN et tapez sur la table - il est temps d'optimiser l'algorithme de planification des itin\u00e9raires.<\/p>\n Un cas classique a \u00e9t\u00e9 rencontr\u00e9 sur le terrain :<\/strong> Un client du secteur des jeux utilise un CDN rentable avec un nombre de n\u0153uds effroyablement \u00e9lev\u00e9, mais les utilisateurs sud-am\u00e9ricains ne cessent de se plaindre de d\u00e9calage. Une v\u00e9rification par traceroute a permis de constater que la demande de l'utilisateur br\u00e9silien \u00e9tait achemin\u00e9e vers Miami, puis de Miami vers Sao Paulo par le c\u00e2ble sous-marin. Plus tard, le CDN5 a \u00e9t\u00e9 modifi\u00e9, les utilisateurs se trouvant directement \u00e0 Sao Paulo, au Br\u00e9sil, et \u00e0 Buenos Aires, en Argentine, ont mis le bord du n\u0153ud, la latence est pass\u00e9e de 220 ms \u00e0 40 ms, et le joueur n'a jamais \u00e9t\u00e9 r\u00e9primand\u00e9.<\/p>\n Passons maintenant \u00e0 la s\u00e9lection des fournisseurs.<\/strong> Les strat\u00e9gies de n\u0153uds des principaux CDN du march\u00e9 sont en fait tr\u00e8s diff\u00e9rentes :<\/p>\n CDN5 est fort en Asie et en Am\u00e9rique latine, en particulier en Asie du Sud-Est, la localisation est bien faite, comme Ho Chi Minh, au Vietnam, Jakarta, en Indon\u00e9sie, o\u00f9 les villes de deuxi\u00e8me et troisi\u00e8me rangs ont des n\u0153uds de pointe, adapt\u00e9s aux entreprises d'outre-mer. Mais les n\u0153uds europ\u00e9ens sont relativement peu nombreux, si l'entreprise principale se trouve en Allemagne ou en Pologne, elle devra peut-\u00eatre s'aligner sur l'autre pays d'origine.<\/p>\n CDN07 a des racines profondes en Europe et aux \u00c9tats-Unis, \u00e0 Francfort, Londres, Amsterdam, ces endroits ont une forte capacit\u00e9 de nettoyage, des attaques anti-high-flow stables. Cependant, l'Afrique s'appuie essentiellement sur les n\u0153uds sud-africains, et les utilisateurs nord-africains devront peut-\u00eatre faire un d\u00e9tour par l'Europe.<\/p>\n 08Host ce type de d\u00e9marrage domestique, l'avantage est certainement l'int\u00e9gration des trois r\u00e9seaux, les n\u0153uds BGP, l'exp\u00e9rience de l'acc\u00e8s national inter-transporteurs en douceur, et l'enregistrement, la conformit\u00e9 avec ces choses \u00e0 s'inqui\u00e9ter. Mais la ligne maritime repose principalement sur la location de salles de serveurs \u00e0 l'\u00e9tranger, l'Asie du Sud-Est est acceptable, et l'\u00e9loignement d\u00e9pend des partenaires \u00e0 donner ou \u00e0 ne pas donner.<\/p>\n Et enfin, une conclusion approximative :<\/strong> La distribution des n\u0153uds n'est pas seulement importante, elle est m\u00eame plus importante que le pic de d\u00e9fense. En effet, la d\u00e9fense peut \u00eatre temporairement \u00e9tendue, mais la construction de n\u0153uds est un investissement \u00e0 long terme, et il est tout simplement trop tard pour faire un effort temporaire. Lors du choix d'un CDN, remettez directement une carte du monde au fournisseur, laissez-le indiquer l'emplacement sp\u00e9cifique de la salle, la capacit\u00e9 de la bande passante, la liste de la couverture des FAI. Une fois la liste \u00e9tablie, passez directement \u00e0 l'\u00e9tape suivante.<\/p>\n Un vrai conseil :Ne jamais \u00e9conomiser l'argent des n\u0153uds.<\/strong> Le budget que vous \u00e9conomisez peut \u00eatre perdu dans les plaintes des clients si vous avez une seule congestion de routage transoc\u00e9anique. Les utilisateurs n'ont plus la patience d'attendre que vous \"optimisiez la liaison\", le retard de plus de 3 secondes se r\u00e9percute directement dans le coin sup\u00e9rieur droit de la fourche. Il faut parfois d\u00e9penser plus de 20%, couvrir plus de n\u0153uds de bordure 30%, en \u00e9change de l'am\u00e9lioration de l'exp\u00e9rience de l'utilisateur et de la r\u00e9duction des risques, le jeu en vaut absolument la chandelle.<\/p>\n D'ailleurs, m\u00e9fiez-vous des fournisseurs qui proposent de nombreux \"n\u0153uds virtuels\". Certains fournisseurs, afin d'annoncer des chiffres all\u00e9chants, virtualisent une machine physique en dizaines de \"n\u0153uds logiques\", mais la bande passante de sortie r\u00e9elle et la politique de routage sont exactement les m\u00eames. En cas d'attaque ou de pic de trafic, l'ensemble de la grappe virtuelle s'effondre. C'est vrai - une fosse, un nid.<\/p>\n En r\u00e9sum\u00e9 (tsk, et AI sense), la distribution des n\u0153uds de ce truc, c'est comme la r\u00e9paration du r\u00e9seau autoroutier. Ce n'est pas qu'un luxueux poste de p\u00e9age, cela d\u00e9pend du nombre de rampes, si l'intersection est bloqu\u00e9e ou non, et s'il y a un raccourci \u00e0 prendre. S'engager dans la d\u00e9fense et l'acc\u00e9l\u00e9ration du r\u00e9seau est essentiellement un combat avec les lois de la physique, et plus vous \u00eates proche de l'utilisateur, plus vous avez de chances de gagner.<\/p>\n La prochaine fois que vous choisirez un CDN \u00e0 haute d\u00e9fense, demandez d'abord : \"Votre n\u0153ud familial, est-il biologique ou adopt\u00e9 ?\"<\/p>","protected":false},"excerpt":{"rendered":" Lorsque j'ai rejoint l'industrie pour la premi\u00e8re fois, j'ai \u00e9galement pens\u00e9 que le CDN \u00e0 haute d\u00e9fense n'\u00e9tait pas seulement destin\u00e9 \u00e0 mener des attaques DDoS, mais aussi \u00e0 trouver une large bande passante, une valeur de d\u00e9fense de haut niveau, et que ce n'\u00e9tait pas la fin de l'affaire ? Jusqu'\u00e0 ce qu'un jour, au milieu de la nuit, le message texte de l'alarme me r\u00e9veille, le d\u00e9lai d'ex\u00e9cution monte en fl\u00e8che jusqu'\u00e0 3 000 ms, les plaintes des utilisateurs s'envolent comme des flocons de neige - pour d\u00e9couvrir que la distribution du n\u0153ud de cette affaire peut vraiment tuer. Le client est une soci\u00e9t\u00e9 de commerce \u00e9lectronique \u00e0 l'\u00e9tranger, qui utilise un CDN bon march\u00e9, appel\u00e9 \"global 500 nodes\". Habituellement, il n'y a pas de probl\u00e8me, mais une nuit, il a soudainement subi une attaque par inondation TCP, le trafic provenant principalement de l'Europe de l'Est et de l'Am\u00e9rique du Sud. En cons\u00e9quence, dans les \"n\u0153uds globaux\" du CDN, le 80% est encombr\u00e9 dans plusieurs grandes villes d'Europe et des \u00c9tats-Unis, et il n'y a pas de n\u0153ud p\u00e9riph\u00e9rique en Am\u00e9rique du Sud, de sorte que tout le trafic circule autour des \u00c9tats-Unis et retourne ensuite vers la salle des serveurs de Miami. Le retard a directement explos\u00e9, la strat\u00e9gie de d\u00e9fense n'est pas encore entr\u00e9e en vigueur, la liaison a d'abord \u00e9t\u00e9 bloqu\u00e9e \u00e0 l'heure de pointe du matin sur le quatri\u00e8me p\u00e9riph\u00e9rique nord. Cette ann\u00e9e<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1032","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1032","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=1032"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1032\/revisions"}],"predecessor-version":[{"id":1093,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/1032\/revisions\/1093"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=1032"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=1032"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=1032"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=1032"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}