R\u00e9cemment, j'ai aid\u00e9 quelques clients \u00e0 effectuer des tests de p\u00e9n\u00e9tration et j'ai constat\u00e9 un ph\u00e9nom\u00e8ne \u00e9trange : la configuration du serveur n'est manifestement pas mauvaise, mais \u00e0 l'heure de pointe du soir, il est coinc\u00e9 dans le PPT ; une v\u00e9rification des journaux montre que toutes les attaques CC portent sur le trafic - cette bande de petits-fils choisit l'heure de pointe pour jouer, et ne veut manifestement pas faire de bonnes affaires avec vous.<\/p>\n
Un client a pleur\u00e9 et a dit que l'utilisation originale de la haute d\u00e9fense ordinaire, chaque mois a \u00e9t\u00e9 frapp\u00e9 \u00e0 travers trois fois, le joueur a laiss\u00e9 tomber au t\u00e9l\u00e9phone du service \u00e0 la client\u00e8le a \u00e9t\u00e9 cass\u00e9. J'ai jet\u00e9 un coup d'\u0153il \u00e0 leurs factures, bon gars, mensuel petit 20,000 d\u00e9pens\u00e9 en fait \u201cpartag\u00e9 haute d\u00e9fense\u201d paquet, le trafic sur le montant de l'argent \u00e0 payer, le co\u00fbt de l'attaque directement grimp\u00e9 au plafond.<\/p>\n
Le secteur des \u00e9checs est depuis longtemps une zone sinistr\u00e9e par les attaques DDoS.<\/strong>Le jeu de soci\u00e9t\u00e9 est sensible \u00e0 la latence au niveau de la milliseconde. Contrairement aux sites web ordinaires qui peuvent encore tenir un certain temps, le jeu de soci\u00e9t\u00e9 est sensible \u00e0 la latence au niveau de la milliseconde, une vague de trafic sur la lumi\u00e8re est en retard lourd trou noir dans la salle des machines, les donn\u00e9es d'\u00e9quilibre du joueur n'est pas synchronis\u00e9 peut \u00e9galement conduire \u00e0 des litiges. Ce qui est encore plus d\u00e9go\u00fbtant, c'est que les concurrents vous choisissent pour vous engager dans des activit\u00e9s lorsque l'ordre \u201ctest de pression\u201d, ne peut pas emp\u00eacher le refroidissement direct.<\/p>\n J'ai consult\u00e9 le programme de sept ou huit fournisseurs de services de haute d\u00e9finition sur le march\u00e9 et j'ai constat\u00e9 que les clients du conseil d'administration sont plus susceptibles d'\u00eatre orient\u00e9s dans deux directions : la premi\u00e8re est la superstition de la \u201cprotection illimit\u00e9e\u201d, mais ne conna\u00eet pas l'envers du d\u00e9cor du nettoyage brutal du trafic, tuant par erreur les utilisateurs normaux ; la seconde est l'avidit\u00e9 d'acheter \u00e0 bas prix l'acc\u00e9l\u00e9ration statique du CDN, les demandes dynamiques pour la d\u00e9fense de la forme d'une nullit\u00e9 absolue.<\/p>\n Commen\u00e7ons par un cas de sang et de larmes : une plateforme de poker Texas Hold'em utilisait le \u201cpaquet de protection 100G\u201d d'un fournisseur, qui a \u00e9t\u00e9 directement p\u00e9n\u00e9tr\u00e9 par une attaque CC 30G. Le support technique a mis 4 heures avant de r\u00e9pondre, et a finalement d\u00e9couvert que ses r\u00e8gles de protection ne correspondaient pas aux caract\u00e9ristiques du protocole d'\u00e9checs - il s'est av\u00e9r\u00e9 que la soi-disant d\u00e9fense \u00e9lev\u00e9e ne concerne que les r\u00e8gles g\u00e9n\u00e9rales HTTP, la connexion longue TCP et les protocoles UDP n'offrant pratiquement aucune d\u00e9fense.<\/p>\n Pour \u00eatre vraiment utile, la haute d\u00e9fense aux \u00e9checs doit r\u00e9pondre \u00e0 trois crit\u00e8res<\/strong>Il faut que le n\u0153ud de nettoyage soit capable d'identifier la logique commerciale du protocole de jeu (par exemple, se d\u00e9connecter et se reconnecter pour d\u00e9duire de l'argent ou non), qu'il soit capable de distinguer les mod\u00e8les de comportement des personnes r\u00e9elles op\u00e9rant et des bots, et que le n\u0153ud de nettoyage soit suffisamment proche de l'utilisateur pour que la latence n'explose pas. Malheureusement, les vendeurs de 90% ne peuvent faire aucune de ces trois choses.<\/p>\n Nous avons test\u00e9 trois fournisseurs sp\u00e9cialis\u00e9s dans la protection des jeux, mais c'est assez int\u00e9ressant : le programme d'\u00e9checs de CDN5 analysera en profondeur les paquets de jeu, gr\u00e2ce \u00e0 la fr\u00e9quence des op\u00e9rations du joueur et \u00e0 la trajectoire de la souris pour d\u00e9terminer la personne r\u00e9elle ; CDN07 s'est m\u00eame engag\u00e9 dans un ensemble de mod\u00e8les d'IA pour analyser le comportement anormal du jeu (comme les robots qui appellent les paris en quelques secondes) ; 08Host est un syst\u00e8me simple et brutal - - Tout le trafic passe d'abord par le filtre de protocole d\u00e9velopp\u00e9 par l'entreprise avant d'entrer dans le centre de nettoyage. Tout le trafic passe d'abord par un filtre de protocole auto-d\u00e9velopp\u00e9 avant d'entrer dans le centre de nettoyage.<\/p>\n Mais ces choses ne sont jamais \u00e9crites dans le devis. Si vous demandez au service client\u00e8le \u201cquel est le principe de votre anti-CC\u201d, vous risquez d'obtenir une s\u00e9rie de mots standards : \u201cnotre syst\u00e8me identifiera automatiquement le trafic anormal\u201d.Ne croyez pas ce genre de discours.<\/strong>Pour y croire vraiment, il faudrait les obliger \u00e0 \u00e9laborer des r\u00e8gles personnalis\u00e9es pour le protocole des \u00e9checs.<\/p>\n D\u00e9montons maintenant la structure des co\u00fbts. Le co\u00fbt d'un CDN de haute d\u00e9fense est divis\u00e9 en quatre \u00e9l\u00e9ments principaux : la bande passante de base, la capacit\u00e9 de protection, les fonctions \u00e0 valeur ajout\u00e9e (telles que les certificats, le WAF) et le nettoyage excessif. Les vendeurs v\u00e9reux ont tendance \u00e0 baisser le prix de la bande passante de base, puis \u00e0 s'appuyer sur les trois derniers \u00e9l\u00e9ments pour compenser.<\/p>\n Vous voyez ? Plus l\u00e9ger que le prix de l'offre principale, il tombe absolument dans le gouffre. Une fois qu'un client a achet\u00e9 un forfait de facturation flexible CDN07 bon march\u00e9, les r\u00e9sultats d'une journ\u00e9e ont \u00e9t\u00e9 jou\u00e9s 800G flux, les frais de nettoyage d'une seule journ\u00e9e \u00e0 s\u00e9cher un petit dix mille - la facturation flexible d'origine ne fixe pas de plafond !<\/p>\n Mon conseil serait de donner la priorit\u00e9 \u00e0 un forfait bande passante fixe + protection plafonn\u00e9e<\/strong>Le premier est le CDN5 Chess Edition, dont le prix de d\u00e9part est de 20 000 yuans. Par exemple, la version d\u00e9di\u00e9e aux \u00e9checs de CDN5 a un prix de d\u00e9part de 25 000, mais l'engagement de 300G au sein de l'attaque n'est pas factur\u00e9, plus de 300G tirent directement le trou noir plut\u00f4t que de continuer \u00e0 br\u00fbler de l'argent pour nettoyer - c'est plus r\u00e9el, apr\u00e8s tout, vraiment rencontr\u00e9 plus de 300G attaque n'est pas aussi bon que de couper la salle de serveur de rechange.<\/p>\n Un autre point faible cach\u00e9 : de nombreux fournisseurs d\u201c\u201doptimisation des \u00e9checs\u201c sont en fait des r\u00e9glages de param\u00e8tres TCP + l'acc\u00e8s aux n\u0153uds dans le voisinage. Mais si l'on croit en leur m\u00e9chancet\u00e9, en ouvrant r\u00e9ellement tous les n\u0153uds mondiaux, les utilisateurs d'Asie du Sud-Est peuvent \u00eatre envoy\u00e9s vers le n\u0153ud des \u00c9tats-Unis - la latence grimpe directement \u00e0 plus de 300 ms. Il est pr\u00e9f\u00e9rable de les laisser mettre la strat\u00e9gie d'ordonnancement des n\u0153uds par \u00e9crit dans le contrat, par exemple \u201dles utilisateurs de Chine continentale doivent obligatoirement \u00eatre ordonnanc\u00e9s vers les n\u0153uds nationaux, les utilisateurs \u00e9trangers ne doivent pas transiter par plus de 3 sauts\".<\/p>\n Je vais mettre une r\u00e8gle Nginx directement sur l'exemple de configuration, sp\u00e9cifiquement pour prot\u00e9ger contre les CC lents dans la cat\u00e9gorie \u00e9checs :<\/p>\n Cet ensemble de r\u00e8gles a permis \u00e0 un client particulier de r\u00e9duire les fausses demandes de 80%, mais attention !Ne l'appliquez pas directement.<\/strong>Apr\u00e8s tout, chaque cadre de jeu a un chemin d'API diff\u00e9rent, et certaines d\u00e9tections de paquets de battements de c\u0153ur n\u00e9cessitent un contr\u00f4le plus granulaire.<\/p>\n Bien entendu, il s'agit l\u00e0 de la valeur nominale, et le prix r\u00e9el de la transaction peut \u00eatre r\u00e9duit de 70 %. Si vous payez annuellement, vous pouvez toujours obtenir un autre 10%, maisNe payez pas toute l'ann\u00e9e en une seule fois.<\/strong>--Testez-le d'abord pendant un mois, en vous concentrant sur la rapidit\u00e9 avec laquelle il r\u00e9pond aux urgences la nuit. Le vendeur le plus scandaleux que j'aie connu a fait passer les appels techniques du week-end par six succursales avant d'obtenir quelqu'un, et le serveur \u00e9tait alors dans un trou noir depuis huit heures.<\/p>\n Aujourd'hui, certains fournisseurs font m\u00eame des \u201cparis sur l'efficacit\u00e9 de la d\u00e9fense\u201d, en promettant par exemple de payer les d\u00e9penses du mois s'ils sont p\u00e9n\u00e9tr\u00e9s. Cela semble bien, n'est-ce pas ? Mais les d\u00e9tails du contrat sont \u00e9crits dans \u201cseulement l'attaque SYN Flood\u201d - et maintenant l'industrie des \u00e9checs 90% est une attaque hybride CC, ce jeu de mots vole.<\/p>\n Pour \u00eatre honn\u00eate, de nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d. Les ventes de certains fournisseurs pour la performance, donneront aux clients un \u201ctrafic de test\u201d ouvert pour prouver l'effet de la d\u00e9fense, en fait, le trafic d'attaque \u00e0 d'autres clients autour du n\u0153ud. Comment juger ? C'est simple : soudain, un jour, le d\u00e9lai a grimp\u00e9 en fl\u00e8che, mais la console ne peut pas voir l'enregistrement de l'attaque, quatre-vingts pour cent sont \u00e0 mettre sur le compte du malfaiteur.<\/p>\n Vraiment vouloir \u00e9conomiser de l'argent et programme s\u00e9curis\u00e9, je sugg\u00e8re une architecture hybride : ressources statiques \u00e0 jeter CDN5 (leurs n\u0153uds \u00e0 l'\u00e9tranger bon march\u00e9), l'activit\u00e9 principale avec CDN07 chess ligne d\u00e9di\u00e9e, serveur de base de donn\u00e9es front-end plus une couche de 08Host's WAF - de sorte que m\u00eame si une certaine maison est \u00e0 sec \u00e0 travers la paralysie compl\u00e8te n'est pas. Bien que la configuration initiale point de difficult\u00e9, mais \u00e0 long terme le co\u00fbt vers le bas 30% aussi plus s\u00fbr.<\/p>\n J'ai oubli\u00e9 de mentionner la chose la plus importante :Pr\u00e9voyez toujours un plan de secours.<\/strong>La premi\u00e8re chose que j'aimerais faire est de tirer le meilleur parti de la situation. J'ai vu trop de clients confier tous leurs biens \u00e0 un fournisseur de haute s\u00e9curit\u00e9, avec pour r\u00e9sultat que les c\u00e2bles de fibre optique de l'autre pi\u00e8ce sont d\u00e9terr\u00e9s et que l'ensemble du personnel a les yeux secs pendant 12 heures. Il faut au moins pr\u00e9parer une grappe de serveurs de secours, synchroniser r\u00e9guli\u00e8rement les donn\u00e9es et, dans les moments critiques, couper pendant un certain temps avec l'IP de haute s\u00e9curit\u00e9 facturable du fabricant de l'informatique en nuage.<\/p>\n En bref, il ne suffit pas de regarder les chiffres des prix pour choisir la haute d\u00e9fense, il faut aussi se pencher sur la question du frottement : la protection CC n'est pas vraiment bas\u00e9e sur la logique d'entreprise ? La programmation des n\u0153uds n'est-elle pas soumise \u00e0 des restrictions g\u00e9ographiques ? La programmation des n\u0153uds est-elle soumise \u00e0 des restrictions g\u00e9ographiques ? Y a-t-il des frais ou un trou noir apr\u00e8s une surcharge ? La r\u00e9ponse d'urgence est 7 \u00d7 24 ou 5 \u00d7 8, ces conditions sont \u00e9crites dans le contrat, plut\u00f4t que d'\u00e9couter les vantardises des vendeurs, qui sont bien plus r\u00e9elles.<\/p>\n Apr\u00e8s tout, cette ligne d'eau est trop profonde, certains vendeurs du \u201cpaquet sp\u00e9cial \u00e9checs\u201d doivent changer le nom du paquet g\u00e9n\u00e9ral qui co\u00fbte 20 000 yuans. Si vous ouvrez la bouche et demandez \u201ccomment pr\u00e9venir les attaques de CC aux \u00e9checs\u201d, et que l'autre partie balbutie et r\u00e9pond \"secrets d'affaires\", d\u00e9p\u00eachez-vous de changer de nom, vraiment.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 quelques joueurs d'\u00e9checs \u00e0 effectuer des tests de p\u00e9n\u00e9tration et j'ai constat\u00e9 un ph\u00e9nom\u00e8ne \u00e9trange : la configuration du serveur n'est manifestement pas mauvaise, mais \u00e0 l'heure de pointe du soir, les joueurs sont bloqu\u00e9s dans le PPT ; une v\u00e9rification des journaux montre que toutes les attaques CC portent sur le trafic - cette bande de petits-fils choisit les heures de pointe pour jouer, et ne veut manifestement pas que vous fassiez des affaires. Un client a pleur\u00e9 et a dit que l'utilisation originale de la d\u00e9fense \u00e9lev\u00e9e ordinaire, a \u00e9t\u00e9 frapp\u00e9e \u00e0 travers trois fois par mois, le joueur a chut\u00e9 au t\u00e9l\u00e9phone du service \u00e0 la client\u00e8le a \u00e9t\u00e9 cass\u00e9. J'ai jet\u00e9 un coup d'\u0153il \u00e0 leurs factures, bon gars, mensuel petit 20,000 d\u00e9pens\u00e9 en fait \u201cpartag\u00e9 haute d\u00e9fense\u201d package, le trafic sur le montant de l'argent pour payer l'attaque, le co\u00fbt d'un pic direct sur le plafond. L'industrie des \u00e9checs est depuis longtemps une zone sinistr\u00e9e par les attaques DDoS. Contrairement aux sites web ordinaires qui peuvent encore tenir un certain temps, les jeux d'\u00e9checs et de cartes sont sensibles \u00e0 la latence au niveau de la milliseconde, une vague de trafic sur la lumi\u00e8re est en retard, lourd est le trou noir dans la salle des machines, les donn\u00e9es d'\u00e9quilibre du joueur.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-933","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/933","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=933"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/933\/revisions"}],"predecessor-version":[{"id":1192,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/933\/revisions\/1192"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=933"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=933"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=933"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=933"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}