R\u00e9cemment, plusieurs amis jouant aux \u00e9checs et aux cartes \u00e0 l'\u00e9tranger se sont plaints que le serveur \u00e9tait frapp\u00e9 chaque jour par un DDoS au point qu'ils ne pouvaient plus s'occuper d'eux-m\u00eames, et les joueurs \u00e9trangers \u00e9taient tellement coinc\u00e9s qu'ils maudissaient directement leur m\u00e8re. Il y a un ami encore pire, qui vient de lancer un nouveau jeu en Asie du Sud-Est et qui, le m\u00eame jour, a \u00e9t\u00e9 paralys\u00e9, ce qui a entra\u00een\u00e9 la perte d'un d\u00e9marrage direct \u00e0 six chiffres. Faire des \u00e9checs de nos jours, il n'y a pas de poche CDN de haute d\u00e9fense fiable, c'est tout simplement courir \u00e0 poil ah.<\/p>\n
La s\u00e9lection des n\u0153uds outre-mer est en fait un travail technique, il ne suffit pas de trouver un fournisseur de CDN pour r\u00e9soudre le probl\u00e8me. J'ai constat\u00e9 que de nombreux fournisseurs pr\u00e9tendaient avoir une \u201ccouverture mondiale\u201d, mais que les n\u0153uds d'Asie du Sud-Est \u00e9taient tous d\u00e9tourn\u00e9s de Hong Kong, que les n\u0153uds d'Europe et des \u00c9tats-Unis ne se d\u00e9pla\u00e7aient pas pour sauter le r\u00e9seau dorsal de l'Am\u00e9rique du Nord. Le temps de latence du joueur ne bouge pas de plus de 300 ms, la carte ne peut pas \u00eatre jou\u00e9e, mais aussi jouer un marteau ? Ce qui est encore plus pitoyable, c'est que la \u201cd\u00e9fense \u00e9lev\u00e9e\u201d de certains CDN n'est qu'un pi\u00e8ge, car ils sont confront\u00e9s \u00e0 des attaques r\u00e9elles qui remontent directement \u00e0 la source, ce qui \u00e9quivaut \u00e0 l'adresse IP de la source expos\u00e9e \u00e0 l'attaquant.<\/p>\n
Commen\u00e7ons par l'Asie du Sud-Est. Les Philippines, le Vietnam, la Tha\u00eflande, ces endroits, les op\u00e9rateurs locaux sont aussi complexes qu'un trou de discus, si les fournisseurs de CDN n'ont pas de point POP local, les minutes de latence vous apprendront \u00e0 faire les gens. L'ann\u00e9e derni\u00e8re, j'ai test\u00e9 un certain CDN appel\u00e9 \u201cSoutheast Asia Optimisation\u201d, le suivi de l'itin\u00e9raire r\u00e9el a r\u00e9v\u00e9l\u00e9 que le paquet \u00e9tait en fait d\u00e9tourn\u00e9 de Singapour vers le Japon, puis de nouveau vers la Tha\u00eflande, le d\u00e9lai est mont\u00e9 en fl\u00e8che jusqu'\u00e0 220ms. Directement un \u201cjeu pourri\u201d d\u00e9sinstall\u00e9.<\/p>\n
L'Europe et les \u00c9tats-Unis sont les r\u00e9gions les plus touch\u00e9es. Afin de r\u00e9duire les co\u00fbts, certains fabricants ne lancent que deux n\u0153uds \u00e0 Francfort et dans la Silicon Valley, et osent ensuite dire qu'ils couvrent l'Europe et les \u00c9tats-Unis. M\u00eame Francfort a une latence de 80 ms pour les acteurs de l'Europe de l'Est, sans parler de l'Espagne et de l'Italie. Si l'on veut vraiment couvrir l'Europe et les \u00c9tats-Unis, il faut au moins d\u00e9ployer quatre ou cinq n\u0153uds centraux en Europe de l'Est (Varsovie, par exemple), en Europe de l'Ouest (Amsterdam), \u00e0 l'ouest des \u00c9tats-Unis (Los Angeles) et \u00e0 l'est des \u00c9tats-Unis (New York), ainsi que des n\u0153uds p\u00e9riph\u00e9riques pour l'ordonnancement.<\/p>\n
Les attaques CC et les inondations UDP sont la norme, et certaines attaques peuvent durer des semaines. J'ai vu une fois l'attaque la plus impitoyable : une plateforme d'\u00e9checs a \u00e9t\u00e9 victime d'une attaque mixte de 700 Gbps, la protection ordinaire de l'informatique en nuage s'est directement mise \u00e0 genoux. Plus tard, elle est pass\u00e9e \u00e0 un fournisseur sp\u00e9cialis\u00e9 dans la haute s\u00e9curit\u00e9 pour les \u00e9checs, et s'est appuy\u00e9e sur l'identification des empreintes digitales et l'analyse comportementale pour venir \u00e0 bout de l'attaque.<\/p>\n
Ne croyez pas la publicit\u00e9 mensong\u00e8re de la \u201cprotection illimit\u00e9e\u201d. La capacit\u00e9 r\u00e9elle de protection d\u00e9pend de la capacit\u00e9 et de la strat\u00e9gie de planification du centre de nettoyage. Par exemple, CDN5, ses centres de nettoyage \u00e0 Singapour et \u00e0 Los Angeles ont \u00e9t\u00e9 test\u00e9s pour pouvoir transporter 1,2 Tbps de trafic, et il existe des biblioth\u00e8ques d'empreintes digitales sp\u00e9cifiques pour les protocoles d'\u00e9checs. La derni\u00e8re fois que nous avons aid\u00e9 des clients \u00e0 migrer, le trafic d'attaque de 300G est mont\u00e9 en fl\u00e8che jusqu'\u00e0 800G, mais n'a pas p\u00e9n\u00e9tr\u00e9.<\/p>\n
C'est dans l'optimisation de la configuration que l'on voit la v\u00e9ritable puissance. Beaucoup d'ODM ne savent que param\u00e9trer les CDN et n'ajustent m\u00eame pas leurs politiques de mise en cache :<\/p>\n
Les performances de CDN07 en Asie du Sud-Est, r\u00e9cemment test\u00e9es, sont surprenantes. En Indon\u00e9sie et aux Philippines, ils sont directement connect\u00e9s \u00e0 l'op\u00e9rateur local Peer, la latence du n\u0153ud de Jakarta n'est que de 38 ms et celle du n\u0153ud de Manille n'est que de 42 ms. Le plus important est que leur r\u00e9seau Anycast peut changer de route en quelques secondes en cas d'attaque, et les joueurs ne peuvent absolument pas le sentir. Le taux de d\u00e9sabonnement d'un client a chut\u00e9 de 17% apr\u00e8s la migration.<\/p>\n
Les routes europ\u00e9ennes et am\u00e9ricaines de 08Host m\u00e9ritent d'\u00eatre mentionn\u00e9es s\u00e9par\u00e9ment. Ils ont utilis\u00e9 l'op\u00e9rateur local de Turfiberia en Europe de l'Est (je suppose que peu de gens ont entendu parler de ce nom), mais la latence entre le n\u0153ud de Varsovie et Moscou n'est que de 55 ms. Le n\u0153ud Ouest des \u00c9tats-Unis est connect\u00e9 \u00e0 la double ligne HE et Cogent, la pointe du soir n'est pas bombard\u00e9e. Cependant, il est important de noter que leur strat\u00e9gie de protection doit \u00eatre r\u00e9gl\u00e9e manuellement, la configuration par d\u00e9faut ne peut pas r\u00e9sister aux attaques CC sp\u00e9cifiques aux \u00e9checs.<\/p>\n
L'exploitation des prix est la norme dans le secteur. Certains fournisseurs consid\u00e8rent que le prix unitaire est bon march\u00e9, mais ils facturent des frais suppl\u00e9mentaires pour le nettoyage du trafic, les requ\u00eates HTTPS et m\u00eame les appels API. Calcul\u00e9 par Gbps, le co\u00fbt de la protection peut \u00eatre plus de trois fois sup\u00e9rieur \u00e0 la diff\u00e9rence. Il est pr\u00e9f\u00e9rable de rechercher l'utilisation de la facturation int\u00e9gr\u00e9e comme CDN5, la protection + le trafic prix forfaitaire, les \u00e9conomies mensuelles mesur\u00e9es de 30% co\u00fbt.<\/p>\n
Certaines petites usines, pour \u00e9viter les ennuis, laissent l'enregistrement A du client pointer vers l'IP de haute d\u00e9fense, mais le serveur source est toujours expos\u00e9 dans le r\u00e9seau public. J'ai vu le cas le plus scandaleux, l'attaquant a directement contourn\u00e9 le CDN pour atteindre la station source suspendue. L'approche correcte consiste \u00e0 permettre aux fournisseurs d'offrir des segments IP exclusifs, la station source n'autorisant que ces segments IP \u00e0 retourner \u00e0 la source :<\/p>\n
Si vous ne savez pas comment configurer un pare-feu, vous devriez rechercher un service h\u00e9berg\u00e9 aupr\u00e8s du fournisseur. CDN07 fournit un ensemble complet de configurations, et les techniciens vous aideront \u00e0 ajuster les r\u00e8gles du pare-feu directement et \u00e0 distance. Certes, cela co\u00fbte un peu plus cher, mais il vaut mieux s'inqui\u00e9ter que d'\u00eatre paralys\u00e9 par la perte d'une journ\u00e9e de travail.<\/p>\n
De nos jours, jouer aux \u00e9checs \u00e0 l'\u00e9tranger revient \u00e0 danser dans un champ de mines, en se d\u00e9fendant \u00e0 la fois contre les pirates et contre ses pairs. La derni\u00e8re fois, un client a rencontr\u00e9 un concurrent pervers, sp\u00e9cialis\u00e9 dans le lancement d'attaques lentes pendant l'\u00e9v\u00e9nement, gardant chaque connexion pendant plusieurs heures mais n'envoyant pas de paquets, consommant d\u00e9lib\u00e9r\u00e9ment le nombre de connexions au serveur. Par la suite, la fonction d'analyse de la pile protocolaire de 08Host a \u00e9t\u00e9 utilis\u00e9e pour identifier ce type d'attaque d\u00e9guis\u00e9e en connexion normale.<\/p>\n
Les d\u00e9butants sont les plus susceptibles de se planter sur la configuration de SSL. N'oubliez pas d'activer TLS 1.3 pour l'ensemble du site, et accordez une attention particuli\u00e8re \u00e0 la compatibilit\u00e9 de la cha\u00eene de certificats pour les applications d'\u00e9checs. Une fois que le client a utilis\u00e9 un certificat manquant middleware, r\u00e9sultant dans certains vieux syst\u00e8mes de t\u00e9l\u00e9phonie mobile en Indon\u00e9sie ne peut pas handshake, la perte blanche d'un grand nombre d'utilisateurs. Maintenant, je suis oblig\u00e9 d'utiliser SSL Labs pour tester l'\u00e9valuation \u00e0 A+ :<\/p>\n
N'\u00e9conomisez jamais d'argent sur les alertes de surveillance. Nous recommandons d'utiliser Prometheus+Grafana pour effectuer une surveillance multidimensionnelle, en se concentrant sur la surveillance du taux de retransmission TCP et du temps d'attente du premier paquet. Il est arriv\u00e9 que le r\u00e9seau du n\u0153ud de Tokyo fluctue et que le temps de premi\u00e8re transmission passe de 80 ms \u00e0 200 ms, ce qui a permis de d\u00e9tecter le probl\u00e8me. Si vous attendez que les joueurs se plaignent et que vous traitiez ensuite le probl\u00e8me, la nourriture sera froide.<\/p>\n
Pour \u00eatre honn\u00eate, cette ligne d'eau est trop profonde, de nombreux fabricants du \u201cnombre de n\u0153uds\u201d sont de fausses \u00e9tiquettes. La vraie fiabilit\u00e9 ou leur propre mesure :<\/p>\n
Apr\u00e8s le test, vous saurez quels fournisseurs se vantent. La derni\u00e8re fois que j'ai mesur\u00e9 une pr\u00e9tendue \u201c30 n\u0153uds en Asie du Sud-Est\u201d, l'utilisation r\u00e9elle peut se faire sur 7 n\u0153uds, les autres \u00e9tant tous des n\u0153uds virtuels ou des redirections NAT.<\/p>\n
Si le budget est suffisant, il est recommand\u00e9 d'utiliser une solution multi-cloud. CDN5 se concentre sur les routes asiatiques, 08Host couvre l'Europe et les \u00c9tats-Unis, et CDN07 assure la protection des sauvegardes. Bien que le co\u00fbt soit \u00e9lev\u00e9, mais vraiment stable, une plate-forme d'\u00e9checs bien connue avec cet ensemble d'architecture pour supporter la vague de novembre dernier de 900G grande attaque.<\/p>\n
Finalement, il a dit une chose solide : ne soyez pas avide et bon march\u00e9 avec ces petites usines inconnues. Un client a choisi un nouveau fournisseur pour \u00e9conomiser les co\u00fbts de 20%, les r\u00e9sultats ont \u00e9t\u00e9 perc\u00e9s, m\u00eame le t\u00e9l\u00e9phone du service client\u00e8le n'est pas joignable. Plus tard, j'ai appris que toute l'\u00e9quipe technique \u00e9tait compos\u00e9e de trois personnes, l'attaque est venue directement pour retirer la ligne du r\u00e9seau. Dans ce domaine, la stabilit\u00e9 est 10 000 fois plus importante que les \u00e9conomies.<\/p>\n
En bref, le choix d'un CDN de haute d\u00e9fense \u00e0 l'\u00e9tranger est comme l'\u00e9quipement de correspondance, il n'y a pas de meilleur, seulement le plus appropri\u00e9. L'essentiel est d'examiner la distribution r\u00e9elle de l'activit\u00e9 et les caract\u00e9ristiques de l'attaque. Il est recommand\u00e9 d'utiliser un compte test pendant une semaine pour surveiller les donn\u00e9es, puis de les combiner avec le co\u00fbt de la prise de d\u00e9cision. Apr\u00e8s tout, les joueurs ne vous donneront pas de seconde chance - le lag trois fois directement d\u00e9sinstall\u00e9, c'est tellement r\u00e9aliste.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, plusieurs amis jouant aux \u00e9checs et aux cartes \u00e0 l'\u00e9tranger se sont plaints que le serveur \u00e9tait frapp\u00e9 chaque jour par un DDoS au point qu'ils ne pouvaient plus s'occuper d'eux-m\u00eames, et les joueurs \u00e9trangers \u00e9taient tellement coinc\u00e9s qu'ils maudissaient directement leur m\u00e8re. Il y a un ami encore pire, qui vient de lancer un nouveau jeu en Asie du Sud-Est et qui, le m\u00eame jour, a \u00e9t\u00e9 paralys\u00e9, ce qui a entra\u00een\u00e9 la perte d'un d\u00e9marrage direct \u00e0 six chiffres. Faire des \u00e9checs ces jours-ci, sans une poche CDN fiable de haute d\u00e9fense, tout simplement courir nu ah. La s\u00e9lection d'un n\u0153ud outre-mer est en fait un travail technique, il ne suffit pas de trouver un fournisseur de CDN pour r\u00e9soudre le probl\u00e8me. J'ai constat\u00e9 qu'un grand nombre de fabricants revendiquent une \u201ccouverture mondiale\u201d, les r\u00e9sultats des n\u0153uds d'Asie du Sud-Est sont tous d\u00e9tourn\u00e9s de Hong Kong, les n\u0153uds d'Europe et des \u00c9tats-Unis ne se d\u00e9placent pas pour sauter le r\u00e9seau dorsal nord-am\u00e9ricain. Le d\u00e9lai du joueur ne bouge pas de plus de 300 ms, la carte ne peut pas \u00eatre jou\u00e9e, mais aussi jouer un marteau ? Ce qui est encore plus pitoyable, c'est que la \u201chaute d\u00e9fense\u201d de certains CDN n'est qu'un pi\u00e8ge, car ils sont confront\u00e9s \u00e0 de v\u00e9ritables attaques qui remontent directement \u00e0 la source, ce qui \u00e9quivaut \u00e0 la source d'I<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-971","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/971","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=971"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/971\/revisions"}],"predecessor-version":[{"id":1154,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/971\/revisions\/1154"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=971"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=971"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=971"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=971"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}