R\u00e9cemment, plusieurs amis qui utilisent des applications sociales m'ont pos\u00e9 la m\u00eame question : votre CDN de haute s\u00e9curit\u00e9 supportera-t-il IPv6 ? Cette question est tout \u00e0 fait pertinente, apr\u00e8s tout, aujourd'hui, une application sociale doit faire face \u00e0 une vari\u00e9t\u00e9 d'attaques de r\u00e9seau, sans un CDN de haute s\u00e9curit\u00e9 fiable, elle est tout simplement nue. Mais surtout, l'IPv6 n'est pas \u201cl'avenir\u201d, c'est \u201cmaintenant\u201d la norme technologique.<\/p>\n
Je commencerai par la conclusion :Un CDN social vraiment fiable et \u00e0 haute d\u00e9fense doit prendre en charge IPv6, et il doit s'agir d'une prise en charge native, et non de ce genre de solution de transfert \u00e0 moiti\u00e9 satisfaisante !<\/strong>J'en ai test\u00e9 plusieurs. N'\u00e9coutez pas certains vendeurs qui vous rebattent les oreilles avec la \u201ccompatibilit\u00e9 IPv6\u201d, j'en ai test\u00e9 plusieurs, certains d'entre eux transforment le trafic IPv6 en trafic IPv4, puis le traitent, sans parler de la latence \u00e9lev\u00e9e, la politique de s\u00e9curit\u00e9 est \u00e9galement facile \u00e0 ignorer, il s'agit purement d'une tromperie.<\/p>\n Pourquoi les applications sociales en particulier ont-elles besoin de la prise en charge d'IPv6 ? C'est simple, le nombre d'utilisateurs est l\u00e0. Aujourd'hui, en Asie du Sud-Est, en Afrique et sur d'autres march\u00e9s \u00e9mergents, le taux de p\u00e9n\u00e9tration de l'IPv6 est de pr\u00e8s de 70% ; si vous ne prenez en charge que l'IPv4, cela \u00e9quivaut \u00e0 renoncer activement \u00e0 une grande vague d'utilisateurs. Sans parler du fait que certains op\u00e9rateurs nationaux n'attribuent m\u00eame que des adresses IPv6 par d\u00e9faut, comment permettre aux autres utilisateurs d'y acc\u00e9der ? Comment voulez-vous qu'ils y acc\u00e8dent ?<\/p>\n En th\u00e9orie, les attaques DDoS sont plus difficiles \u00e0 r\u00e9aliser parce que l'IPv6 dispose d'un espace d'adressage si vaste, n'est-ce pas ? Mais en r\u00e9alit\u00e9, les pirates se concentrent d\u00e9sormais sur l'IPv6 parce que de nombreuses entreprises ne font tout simplement pas un bon travail de protection. L'ann\u00e9e derni\u00e8re, j'ai rencontr\u00e9 une entreprise sociale dont la protection IPv4 se comportait comme un tonneau ; les r\u00e9sultats de l'entr\u00e9e d'IPv6 ont \u00e9t\u00e9 martel\u00e9s dans une passoire - les attaquants ont utilis\u00e9 directement les attaques CC IPv6, les n\u0153uds ont \u00e9t\u00e9 paralys\u00e9s sur le champ.<\/p>\n Par cons\u00e9quent, lorsque vous choisissez un CDN \u00e0 haute s\u00e9curit\u00e9, ne vous contentez pas de demander s'il prend en charge IPv6, mais renseignez-vous sur les d\u00e9tails suivants : s'agit-il d'une conversion native dual-stack ou NAT, et les r\u00e8gles de protection IPv6 sont-elles coh\u00e9rentes avec celles de l'IPv4 ? Existe-t-il une politique de pare-feu IPv6 distincte ? Le co\u00fbt de la bande passante va-t-il doubler ? Ce sont tous ces points de connaissance qui sont \u00e9chang\u00e9s pour les le\u00e7ons de sang et de larmes.<\/p>\n Prenons l'exemple du CDN5 que nous utilisons : il s'agit d'une solide pile double native. Chaque n\u0153ud \u00e9coute \u00e0 la fois IPv4 et IPv6, et les r\u00e8gles de protection sont compl\u00e8tement synchronis\u00e9es. J'ai volontairement utilis\u00e9 l'outil de test pour simuler l'attaque SYN Flood IPv6, le r\u00e9sultat du d\u00e9clenchement de l'alarme est encore plus rapide que les 200 ms de l'IPv4 - en raison de leur puce de filtrage mat\u00e9rielle optimis\u00e9e pour les messages IPv6.<\/p>\n Il est \u00e9galement simple \u00e0 configurer et il n'est pas n\u00e9cessaire d'\u00e9crire un ensemble de r\u00e8gles distinct pour IPv6. Par exemple, la mise en place d'une protection CC dans un WAF peut couvrir deux protocoles avec une seule ligne de code :<\/p>\n Mais certains vendeurs sont bien plus pitoyables. Par exemple, un certain CDN07 dit en surface qu'il supporte IPv6, mais en r\u00e9alit\u00e9 il utilise le mode de conversion par proxy. Le trafic doit d'abord faire le tour de son serveur de conversion, puis \u00eatre achemin\u00e9 vers la source. La latence est de 50 ms de plus, sans parler du fait que, le pool NAT \u00e9tant trop petit, la p\u00e9riode de pointe est souvent \u00e0 court de ports, ce qui entra\u00eene des erreurs 502. Plus tard, j'ai captur\u00e9 des paquets et j'ai d\u00e9couvert que l'en-t\u00eate de la r\u00e9ponse contenait des champs tels que `X-Forwarded-For : 2001:db8::1` qui n'\u00e9taient manifestement pas convertis, ce qui \u00e9tait scandaleux.<\/p>\n Il y a un 08Host plus d\u00e9sesp\u00e9r\u00e9, la page promotionnelle \u00e9crite en grandes lettres, \u201cfull support for IPv6\u201d, les r\u00e9sultats d'un service \u00e0 la client\u00e8le, vous devez ajouter de l'argent pour acheter \u201cEnterprise Enhanced Edition\u201d pour ouvrir. La version de base du CDN haute d\u00e9fense, m\u00eame les futurs protocoles de r\u00e9seau doivent-ils payer un suppl\u00e9ment ? De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d.<\/p>\n En fait, la principale difficult\u00e9 de la protection IPv6 r\u00e9side dans le fait que l'espace d'adressage est si vaste que le m\u00e9canisme traditionnel de liste noire est facilement inefficace. Par exemple, en IPv4, vous pouvez bloquer un segment \/24 pour affecter au maximum 256 IP, mais en IPv6, vous pouvez bloquer un segment \/64 - cela repr\u00e9sente 18,4 milliards de milliards d'adresses, qui oserait faire cela ? La v\u00e9ritable solution fiable doit donc reposer sur l'analyse comportementale et l'apprentissage automatique.<\/p>\n Notre strat\u00e9gie actuelle est une combinaison d'\u00e9valuation de la r\u00e9putation et de mod\u00e9lisation du trafic en temps r\u00e9el. Par exemple, si 1000 demandes de connexion apparaissent dans le m\u00eame segment \/64, cela d\u00e9clenche directement une limitation \u00e9lastique des flux au lieu d'un blocage brutal. Cet ensemble de r\u00e8gles ressemble \u00e0 peu pr\u00e8s \u00e0 ceci lorsqu'il est configur\u00e9 sur CDN5 :<\/p>\n Pour \u00eatre honn\u00eate, il n'y a pas beaucoup de fournisseurs qui osent dire qu'ils ont compl\u00e8tement p\u00e9n\u00e9tr\u00e9 la haute d\u00e9fense IPv6. Outre le CDN5 dont on vient de se vanter, les deux autres fabricants internationaux ne sont pas mauvais, mais les n\u0153uds nationaux sont trop peu nombreux, le d\u00e9lai ne peut pas r\u00e9pondre aux exigences de temps r\u00e9el des applications sociales. Quoi qu'il en soit, lors de la s\u00e9lection d'un mod\u00e8le, veillez \u00e0 le tester, en vous concentrant sur trois points : les fluctuations de la latence IPv6, la dur\u00e9e d'efficacit\u00e9 de la protection et la structure des co\u00fbts.<\/p>\n Enfin, certains clients pensent toujours qu'IPv6 est une \u201cvoie alternative\u201d et ne veulent pas investir de ressources. Par cons\u00e9quent, ils attendent vraiment que l'adresse IPv4 soit \u00e9puis\u00e9e ou touch\u00e9e avant de se pr\u00e9cipiter pour migrer, et le co\u00fbt de la transformation est alors encore plus \u00e9lev\u00e9. Il serait pr\u00e9f\u00e9rable de choisir un CDN avec une double pile compl\u00e8te, et de la mettre en place en une seule fois.<\/p>\n En bref, si le CDN de haute d\u00e9fense pour les applications sociales ne prend pas en charge l'IPv6 natif, vous pouvez passer votre chemin. Il ne s'agit pas d'un retard technologique, il n'est tout simplement pas destin\u00e9 \u00e0 vous servir pendant longtemps - m\u00eame l'adaptation de base du futur r\u00e9seau n'est pas possible, mais vous osez \u00e9galement faire payer une d\u00e9fense de haut niveau ?<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, plusieurs amis qui utilisent des applications sociales m'ont pos\u00e9 la m\u00eame question : votre CDN de haute s\u00e9curit\u00e9 supportera-t-il IPv6 ? Cette question est tout \u00e0 fait pertinente, apr\u00e8s tout, aujourd'hui, une application sociale doit faire face \u00e0 une vari\u00e9t\u00e9 d'attaques de r\u00e9seau, sans un CDN de haute s\u00e9curit\u00e9 fiable, elle est tout simplement nue. Mais surtout, IPv6 n'est plus un \u201cfutur\u201d, mais une norme technologique. J'ai d'abord dit la conclusion : le v\u00e9ritable CDN social fiable \u00e0 haute s\u00e9curit\u00e9 doit prendre en charge IPv6, et doit \u00eatre une prise en charge native, pas une sorte de sch\u00e9ma de transfert \u00e0 moiti\u00e9 satisfaisant. N'\u00e9coutez pas ce que disent certains vendeurs \u00e0 propos de la \u201ccompatibilit\u00e9 IPv6\u201d, j'en ai test\u00e9 plusieurs, dont certains transforment le trafic IPv6 en trafic IPv4, puis le traitent, sans parler de la latence \u00e9lev\u00e9e, et de la politique de s\u00e9curit\u00e9 qui peut facilement ne pas \u00eatre prise en compte, ce qui ne fait que tromper les gens. Pourquoi les applications sociales ?<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-967","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/967","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=967"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/967\/revisions"}],"predecessor-version":[{"id":1158,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/967\/revisions\/1158"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=967"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=967"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=967"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=967"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}