R\u00e9cemment, les gens me demandent toujours s'il existe une recommandation de CDN de haute d\u00e9fense qui n'est pas pourrie et qui peut \u00eatre touch\u00e9e. Pour \u00eatre honn\u00eate, le grand CDN est certainement stable, mais le prix est transparent comme du verre, les attaquants sentent que la porte est claire, un coup est pr\u00e9cis. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d - on ne sait jamais quel segment IP sera l'adversaire \u00e0 l'avance dans la liste noire.<\/p>\n
J'ai test\u00e9 pas moins de vingt fournisseurs de services CDN de petite et moyenne taille, j'ai mis le pied dans la fosse et j'ai creus\u00e9 jusqu'au tr\u00e9sor. Le chat d'aujourd'hui de trois, vous pouvez m\u00eame ne pas avoir entendu le nom, mais la capacit\u00e9 de r\u00e9sister \u00e0 la lutte est absolument au-del\u00e0 des attentes. Ce qu'ils ont en commun, c'estIl est difficile de dissimuler les adresses IP des sites sources, les r\u00e8gles de pare-feu sont aussi souples qu'un couteau suisse et la courbe des prix n'est pas aussi abrupte que celle des grands noms.<\/strong>\u3002<\/p>\n Tout d'abord, jetons un peu d'eau froide sur la marmite : ne vous attendez pas \u00e0 ce que les CDN de niche aient une densit\u00e9 de n\u0153uds Anycast globale telle que celle d'AliCloud. Leur valeur r\u00e9side dans la \u201cd\u00e9fense asym\u00e9trique\u201d, qui consiste \u00e0 compenser le d\u00e9savantage de l'\u00e9chelle mat\u00e9rielle par des strat\u00e9gies personnalis\u00e9es. Par exemple, par le filtrage des ports, l'ajustement dynamique des d\u00e9fis JS, ou m\u00eame d\u00e9guis\u00e9 en page 404 pour tromper le scanner.<\/p>\n Le premier : CDN5 - sp\u00e9cialis\u00e9 dans toutes sortes de morts fantaisistes DDoS<\/strong><\/p>\n L'argument de vente est le \u201cnettoyage intelligent des routes\u201d. J'ai pris une machine de test pour simuler une attaque de trafic mixte de 550 Gbps, et ils ont en fait utilis\u00e9 la technologie de saut de port dynamique pour y r\u00e9sister. Le principe est tr\u00e8s simple : il s'agit d'acheminer le trafic vers plusieurs n\u0153uds virtuels afin de proc\u00e9der \u00e0 une analyse des caract\u00e9ristiques, puis, par le biais de la diffusion BGP, de renvoyer le trafic nettoy\u00e9 \u00e0 la source. Le plus int\u00e9ressant est qu'il prend en charge les valeurs TTL personnalis\u00e9es pour les protocoles TCP, ce qui permet d'emp\u00eacher efficacement la tra\u00e7abilit\u00e9.<\/p>\n Le backend de configuration ressemble \u00e0 ceci (les parties cl\u00e9s sont cod\u00e9es) :<\/p>\n Le test a r\u00e9v\u00e9l\u00e9 que le contr\u00f4le de la latence de leurs n\u0153uds asiatiques est inf\u00e9rieur \u00e0 45 ms, les n\u0153uds europ\u00e9ens et am\u00e9ricains sont l\u00e9g\u00e8rement plus faibles mais peuvent \u00e9galement \u00eatre stables \u00e0 120 ms. Le prix est le point fort : 1TB de trafic + 2Tbps de protection de base moins de $200 par mois, face \u00e0 une grande attaque ne d\u00e9duit pas aveugl\u00e9ment le co\u00fbt mais d\u00e9clenche l'\u00e9lasticit\u00e9 de l'expansion.<\/p>\n The Second : CDN07 - Hiding the source IP like a military base<\/strong><\/p>\n Si vous en avez assez du mode de r\u00e9solution CNAME des grands CDN qui n'a pas chang\u00e9 depuis des ann\u00e9es, celui-ci va vous \u00e9clairer. Ils utilisent une technologie de pool d'IP dynamique, chaque requ\u00eate DNS renvoie une IP de n\u0153ud diff\u00e9rente, et le temps de survie de chaque IP est inf\u00e9rieur \u00e0 300 secondes. J'ai utilis\u00e9 ZoomEye engine sweep pendant trois jours, j'ai gel\u00e9 et je n'ai pas trouv\u00e9 leur v\u00e9ritable segment IP.<\/p>\n De plus, il prend en charge le \u201cFake Dead Mode\u201d - lorsqu'une attaque p\u00e9n\u00e9trante est d\u00e9tect\u00e9e, il d\u00e9guise automatiquement la r\u00e9ponse de la station source en une page d'erreur 502 tout en basculant vers une autre IP en arri\u00e8re-plan, ce qui est pratiquement invisible pour le client, mais l'attaquant pensera qu'il a vraiment accroch\u00e9 la cible.<\/p>\n Donner une configuration de liaison NGINX :<\/p>\n L'inconv\u00e9nient est que les documents sont tous en anglais et que la r\u00e9ponse \u00e0 l'ordre de travail doit attendre environ 6 heures. Mais l'effet de d\u00e9fense peut se permettre d'attendre - l'ann\u00e9e derni\u00e8re, une attaque CC de 500G, la bande passante de mon entreprise est pleine, ils utilisent en fait la technologie de restructuration du protocole pour filtrer la demande effective, et finalement fuir vers la station source du trafic de moins de 3%.<\/p>\n Troisi\u00e8mement : 08Host - La voiture blind\u00e9e du pauvre, mais qui peut se battre<\/strong><\/p>\n Celui-ci convient mieux aux webmasters qui disposent d'un budget serr\u00e9 mais qui sont harcel\u00e9s tous les jours. Vous pouvez obtenir 2Tbps de protection de base pour $79 par mois, et bien que le nombre de n\u0153uds soit faible, chacun est livr\u00e9 avec un \u00e9quipement de nettoyage du mat\u00e9riel. J'ai d\u00e9moli leur rapport de trafic, j'ai trouv\u00e9 l'op\u00e9ration magique : le trafic jeu\/UDP et le trafic Web\/TCP doivent aller sur des lignes physiques diff\u00e9rentes pour \u00e9viter les interf\u00e9rences.<\/p>\n Ce qui m'a le plus surpris, c'est la possibilit\u00e9 de personnaliser la base de r\u00e8gles du WAF \u00e0 l'aide de scripts Lua :<\/p>\n La pr\u00e9cision de blocage mesur\u00e9e est nettement sup\u00e9rieure \u00e0 celle du WAF gratuit de Cloudflare. Cependant, sachez qu'il s'effondre directement apr\u00e8s un d\u00e9passement de trafic et ne vous laissera pas endett\u00e9 comme les grands acteurs. Il convient aux activit\u00e9s qui ne fluctuent pas trop, et vous devrez acheter un pack de r\u00e9silience si vous avez beaucoup de trafic soudain.<\/p>\n Comparaison c\u00f4te \u00e0 c\u00f4te des produits secs<\/strong><\/p>\n Comparez ces trois solutions \u00e0 AWS Shield, que j'ai utilis\u00e9 :<\/p>\n Le temps de r\u00e9cup\u00e9ration pour CDN5 en cas d'attaque SYN Flood de 500 Gbps est environ 10 secondes plus rapide que pour AWS car il y a moins de surcharge de programmation globale. Un dernier mot de v\u00e9rit\u00e9.<\/strong><\/p>\n Quelle est la plus grande crainte des CDN de niche ? Ce n'est pas qu'ils ne puissent pas supporter le coup, mais que les n\u0153uds soient instables. J'ai subi des pertes - une certaine publicit\u00e9 100Tbps capacit\u00e9 de nettoyage, la rencontre r\u00e9elle 300G attaque sur toute la ligne rouge. Le choix du fournisseur de services doit donc porter sur deux points :Disponibilit\u00e9 de la certification SOC2<\/strong>\u548cPouvez-vous fournir un relev\u00e9 des cas d'attaques r\u00e9elles<\/strong>\u3002<\/p>\n Autre conseil : avant de signer le contrat, vous devez tester le \u201cpourcentage de trafic retournant \u00e0 la source\u201d. Le taux de nettoyage des fournisseurs habituels est d'au moins 95% ou plus, ce qui signifie qu'un trafic d'attaque de 100G ne sera renvoy\u00e9 \u00e0 la station source que dans une proportion inf\u00e9rieure \u00e0 5G. Si l'autre partie n'ose pas fournir un acc\u00e8s de test, il faut passer directement.<\/p>\n Maintenant j'utilise CDN5 + 08Host architecture de double redondance - le trafic quotidien va 08Host \u00e9conomies de co\u00fbts, les attaques plus de 800G automatiquement basculer CDN5. cet ensemble de solutions que purement utiliser Cloudflare Enterprise Edition \u00e9conomies mensuelles de $4000 +, et n'a pas sembl\u00e9 \u00eatre un faux tuer.<\/p>\n En bref, un CDN \u00e0 haute d\u00e9fense est comme une assurance, il ne faut pas attendre d'\u00eatre touch\u00e9 pour \u00e9tudier la situation. En enterrant plusieurs lignes de d\u00e9fense \u00e0 l'avance, on peut au moins faire sentir \u00e0 l'attaquant que \u201cce petit-fils est vraiment difficile \u00e0 m\u00e2cher\u201d et se tourner vers un kaki plus tendre. Apr\u00e8s tout, dans le domaine de la s\u00e9curit\u00e9 des r\u00e9seaux.Survivre \u00e0 son adversaire, c'est gagner.<\/strong>\u3002<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, les gens me demandent toujours s'il existe une recommandation de CDN de haute d\u00e9fense qui n'est pas pourrie et qui peut \u00eatre touch\u00e9e. Pour \u00eatre honn\u00eate, le grand CDN est certainement stable, mais le prix est transparent comme du verre, les attaquants sentent que la porte est claire, un coup est pr\u00e9cis. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d - on ne sait jamais quel segment IP sera l'adversaire \u00e0 l'avance dans la liste noire. J'ai test\u00e9 pas moins de vingt fournisseurs de services CDN de petite et moyenne taille, j'ai mis le pied dans la fosse et j'ai creus\u00e9 jusqu'au tr\u00e9sor. Aujourd'hui, je vous pr\u00e9sente trois fournisseurs dont vous n'avez peut-\u00eatre jamais entendu le nom, mais dont la capacit\u00e9 \u00e0 r\u00e9sister au combat d\u00e9passe toutes les esp\u00e9rances. Ils ont en commun : la source cach\u00e9e IP \u00e0 faire durer, des r\u00e8gles de pare-feu aussi flexibles qu'un couteau suisse, et la courbe des prix n'est pas aussi raide que celle des grandes entreprises. Tout d'abord, versons de l'eau froide : n'esp\u00e9rez pas que les CDN de niche puissent avoir une densit\u00e9 de n\u0153uds Anycast globale comme celle d'AliCloud. Leur valeur r\u00e9side dans l\u201c\"asym\u00e9trie\".<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-927","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/927","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=927"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/927\/revisions"}],"predecessor-version":[{"id":1198,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/927\/revisions\/1198"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=927"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=927"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=927"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=927"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\u25aa Taux de reconnaissance des attaques CC : CDN07 atteint 99,2%, 08Host 97%, AWS version gratuite 89% seulement.
\u25aa Prix : la m\u00eame base de protection de 2Tbps, les grands acteurs ont une moyenne de $1200\/mois, ces trois-l\u00e0 se situent dans une fourchette de $300.<\/p>\n