R\u00e9cemment, afin d'aider les clients \u00e0 mettre en \u0153uvre un programme de migration, plusieurs fournisseurs nationaux de services CDN de haute d\u00e9fense ont pris la mesure de la situation. Pour \u00eatre honn\u00eate, ces jours-ci, les entreprises choisissent le CDN en fonction de la s\u00e9lection des co\u00e9quipiers - g\u00e9n\u00e9ralement calmes et tranquilles pour voir la diff\u00e9rence, mais en cas d'attaques DDoS, les co\u00e9quipiers porcins peuvent directement faire fuir votre entreprise. Aujourd'hui, nous allons parler du CDN de haute d\u00e9fense de Tencent Cloud, je vais combiner les donn\u00e9es de test r\u00e9elles et l'exp\u00e9rience de marcher sur la fosse, sa puissance de combat r\u00e9elle pour vous.<\/p>\n
D'abord, lancer une th\u00e9orie de la temp\u00eate : maintenant sur le march\u00e9 90% \"CDN haute d\u00e9fense\" est essentiellement un ensemble CDN traditionnel de pare-feu, peut vraiment faire le r\u00e9seau + la profondeur de s\u00e9curit\u00e9 de l'int\u00e9gration de pas peu. La surprise la plus agr\u00e9able pour moi est que Tencent cloud fait descendre les capacit\u00e9s de s\u00e9curit\u00e9 \u00e0 la p\u00e9riph\u00e9rie du n\u0153ud - qu'est-ce que cela signifie ? La logique de d\u00e9fense des CDN ordinaires \u00e0 haute d\u00e9fense est que \"le trafic va d'abord au centre pour \u00eatre nettoy\u00e9 et ensuite distribu\u00e9\", alors que Tencent Cloud a int\u00e9gr\u00e9 des modules de d\u00e9tection WAF et DDoS directement dans plus de 800 n\u0153uds dans le monde, de sorte que le trafic d'attaque est \u00e9touff\u00e9 au niveau des n\u0153uds p\u00e9riph\u00e9riques. Des tests ont montr\u00e9 que la vitesse de r\u00e9ponse des attaques CC contre les applications Web est plus de trois fois sup\u00e9rieure \u00e0 celle des solutions traditionnelles, et que le temps de latence est r\u00e9duit \u00e0 20 ms.<\/p>\n
Prenons un cas r\u00e9el : l'ann\u00e9e derni\u00e8re, un client du secteur du jeu a subi des attaques mixtes de 800 Gbps, et le CDN d'un certain fournisseur (je ne le nommerai pas) a \u00e9t\u00e9 directement p\u00e9n\u00e9tr\u00e9. Apr\u00e8s avoir migr\u00e9 vers le CDN de haute d\u00e9fense du nuage de Tencent, j'ai \u00e9t\u00e9 t\u00e9moin, en arri\u00e8re-plan de la surveillance, du d\u00e9sassemblage du trafic d'attaque par r\u00e9gion : le trafic d'inondation TCP a \u00e9t\u00e9 nettoy\u00e9 par les n\u0153uds de bordure \u00e0 proximit\u00e9, l'attaque lente HTTP a \u00e9t\u00e9 intercept\u00e9e avec pr\u00e9cision par les r\u00e8gles WAF, et a finalement atteint la station source du trafic est inf\u00e9rieure \u00e0 0,1%.<\/p>\n
Mais il ne faut pas croire qu'un CDN \u00e0 haute d\u00e9fense se r\u00e9sume \u00e0 un amas de bande passante mat\u00e9rielle. L'aspect le plus impitoyable de ce syst\u00e8me Tencent Cloud est l'algorithme de planification intelligent - il ajuste m\u00eame dynamiquement les politiques de routage en fonction du type d'attaque. Par exemple, lorsqu'il est confront\u00e9 \u00e0 une attaque par r\u00e9flexion DNS, il active automatiquement la convergence des ports TCP ; lorsqu'il est confront\u00e9 \u00e0 une attaque de la couche d'application, il d\u00e9clenche un d\u00e9fi de v\u00e9rification humaine. Ces politiques sont g\u00e9n\u00e9r\u00e9es en temps r\u00e9el par des mod\u00e8les d'apprentissage automatique. J'ai essay\u00e9 de simuler une attaque hybride avec un outil de test de pression \u00e9crit en Go, et le r\u00e9sultat a \u00e9t\u00e9 que chaque mod\u00e8le d'attaque a \u00e9t\u00e9 rapidement appris et que de nouvelles r\u00e8gles ont \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9es.<\/p>\n
Le niveau de configuration est en fait plus simple que pr\u00e9vu. Au lieu d'\u00e9crire un tas de jugements dans Nginx comme dans les solutions traditionnelles, la plupart des politiques de s\u00e9curit\u00e9 sont g\u00e9r\u00e9es par une interface visuelle :<\/p>\n
Mais il y a des pi\u00e8ges : si vous avez besoin de personnaliser les r\u00e8gles du WAF en profondeur, vous devez savoir que leur moteur de r\u00e8gles utilise un langage DSL auto-d\u00e9velopp\u00e9, qui est l\u00e9g\u00e8rement plus co\u00fbteux \u00e0 apprendre au d\u00e9part. Je recommande d'utiliser la fonction \"Rule Simulation Test\" dans la console pour v\u00e9rifier l'effet, sinon vous risquez de tuer accidentellement le trafic normal. En outre, bien que leur syst\u00e8me de journalisation soit puissant, les journaux originaux doivent \u00eatre achet\u00e9s aupr\u00e8s de services de journalisation suppl\u00e9mentaires, ce qui n'est pas aussi bien que CDN5 qui fournit directement des journaux gratuits \u00e0 t\u00e9l\u00e9charger.<\/p>\n
En termes de performance, trois s\u00e9ries de tests de pression ont \u00e9t\u00e9 effectu\u00e9es : sous le flux normal de 500QPS, la latence entre Hangzhou et le n\u0153ud de Singapour \u00e9tait stable \u00e0 83ms, et dans les m\u00eames conditions, CDN07 a d\u00fb courir jusqu'\u00e0 110ms+. Lorsque le mode de protection totale est activ\u00e9, la perte de performance de Tencent Cloud est d'environ 12%, tandis que la perte de 08Host atteint 22%. Mention sp\u00e9ciale pour le sc\u00e9nario vid\u00e9o : l'optimisation du protocole HLS\/DASH de Tencent Cloud est vraiment en place, et le temps de chargement des sauts al\u00e9atoires est 40% plus rapide que celui des autres familles, gr\u00e2ce \u00e0 leur algorithme intelligent de pr\u00e9-pull.<\/p>\n
Honn\u00eatement, le prix : le CDN de haute d\u00e9fense de Tencent n'est certainement pas bon march\u00e9. Le forfait de protection de base commence \u00e0 3 000 euros par mois, et s'il est confront\u00e9 \u00e0 une attaque \u00e0 grande \u00e9chelle, il d\u00e9clenchera \u00e9galement une facturation flexible. Mais il faut voir les choses sous un autre angle : compar\u00e9 \u00e0 la perte d'activit\u00e9 caus\u00e9e par les attaques, cet investissement est en fait tr\u00e8s rentable. L'entreprise a r\u00e9cemment lanc\u00e9 le mod\u00e8le de facturation \"bande passante garantie + pic flexible\", qui est tr\u00e8s pratique. L'ann\u00e9e derni\u00e8re, j'ai g\u00e9r\u00e9 un projet de commerce \u00e9lectronique qui m'a permis d'\u00e9conomiser 37%.<\/p>\n
Enfin, les sc\u00e9narios applicables : si vous travaillez dans la finance, les jeux, le commerce \u00e9lectronique et d'autres activit\u00e9s \u00e0 haut risque, le CDN haute d\u00e9fense de Tencent Cloud est sans aucun doute le premier choix. En particulier pour les activit\u00e9s \u00e0 l'\u00e9tranger, leur interconnexion d\u00e9di\u00e9e avec AWS\/AliCloud est d'une qualit\u00e9 tr\u00e8s stable. Mais s'il s'agit d'un site web officiel statique, de blogs et d'autres activit\u00e9s \u00e0 faible fr\u00e9quence, la protection de base du CDN5 est suffisante, il n'est pas n\u00e9cessaire de payer pour des fonctionnalit\u00e9s avanc\u00e9es qui ne peuvent pas \u00eatre utilis\u00e9es.<\/p>\n
En r\u00e9sum\u00e9, le CDN haute d\u00e9fense de Tencent Cloud est comme un couteau suisse - il n'est pas le moins cher, mais il permet de sauver des vies dans les moments critiques. Sa force r\u00e9side dans l'int\u00e9gration profonde de la s\u00e9curit\u00e9 et du transport, en particulier le syst\u00e8me de planification intelligent et les capacit\u00e9s de s\u00e9curit\u00e9 de pointe. Mais si vous recherchez une configuration minimaliste ou un prix extr\u00eamement bas, vous devrez peut-\u00eatre envisager d'autres options. Il est recommand\u00e9 de demander un package de test avant d'effectuer un achat formel, et de l'utiliser pendant 7 jours avec un trafic professionnel r\u00e9el, et la fonction \"Rapport de s\u00e9curit\u00e9\" dans l'arri\u00e8re-plan de surveillance vous montrera clairement les points \u00e0 risque.<\/p>\n
Pour ajouter une connaissance froide : leurs serveurs de n\u0153uds sont \u00e9quip\u00e9s par d\u00e9faut d'un noyau de s\u00e9curit\u00e9 TencentOS auto-d\u00e9velopp\u00e9, la capacit\u00e9 de protection au niveau du syst\u00e8me est beaucoup plus forte que celle d'un Linux ordinaire. L'ann\u00e9e derni\u00e8re, lors de l'apparition d'une vuln\u00e9rabilit\u00e9 de type \"zero-day\" dans Linux, nous avons d\u00e9ploy\u00e9 l'activit\u00e9 CDN en nuage de Tencent sans \u00eatre affect\u00e9s.<\/p>\n
Il n'y a pas de solution miracle pour la s\u00e9curit\u00e9 des r\u00e9seaux, et un bon CDN doit \u00eatre accompagn\u00e9 d'un bon syst\u00e8me d'exploitation et de maintenance. N'oubliez pas de v\u00e9rifier r\u00e9guli\u00e8rement l'int\u00e9grit\u00e9 de la cha\u00eene de certificats SSL, de mettre \u00e0 jour la base de r\u00e8gles WAF, mais aussi de faire un bon travail de furtivit\u00e9 de la station source - on a vu trop de gens acheter un CDN \u00e0 haute d\u00e9fense, mais \u00e0 cause de la fuite d'IP de la station source, ils ont \u00e9t\u00e9 directement touch\u00e9s par la vraie - trag\u00e9die. Rappelez-vous : un CDN \u00e0 haute d\u00e9fense est la premi\u00e8re ligne de d\u00e9fense, pas la seule.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, afin d'aider les clients \u00e0 mettre en \u0153uvre un programme de migration, plusieurs fournisseurs nationaux de services CDN de haute d\u00e9fense ont pris la mesure de la situation. Pour \u00eatre honn\u00eate, ces jours-ci, les entreprises choisissent le CDN en fonction de la s\u00e9lection des co\u00e9quipiers - g\u00e9n\u00e9ralement calmes et tranquilles pour voir la diff\u00e9rence, mais en cas d'attaques DDoS, les co\u00e9quipiers porcins peuvent directement faire fuir votre entreprise. Aujourd'hui, nous allons parler du CDN \u00e0 haute d\u00e9fense de Tencent Cloud. Je vais combiner les donn\u00e9es de test r\u00e9elles et l'exp\u00e9rience de la fosse, son v\u00e9ritable pouvoir de combat pour vous permettre de voir. Tout d'abord, lancer une th\u00e9orie de temp\u00eate : maintenant sur le march\u00e9 90% \"CDN haute d\u00e9fense\" est essentiellement un ensemble CDN traditionnel de pare-feu, peut vraiment faire le r\u00e9seau + la profondeur de s\u00e9curit\u00e9 de l'int\u00e9gration de pas peu. La surprise la plus agr\u00e9able de ce syst\u00e8me est qu'il fait descendre les capacit\u00e9s de s\u00e9curit\u00e9 \u00e0 la p\u00e9riph\u00e9rie du n\u0153ud - qu'est-ce que cela signifie ? La logique de d\u00e9fense des CDN ordinaires \u00e0 haute d\u00e9fense est la suivante : \"le trafic passe d'abord par le centre pour \u00eatre nettoy\u00e9, puis distribu\u00e9\", et le nuage de Tencent dans l'ensemble de l'infrastructure de s\u00e9curit\u00e9.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-917","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/917","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=917"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/917\/revisions"}],"predecessor-version":[{"id":1208,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/917\/revisions\/1208"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=917"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=917"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=917"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=917"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}