R\u00e9cemment, des clients m'ont demand\u00e9 : quel CDN \u00e0 haute d\u00e9fense utilisez-vous, et celui de Huawei Cloud est-il correct ? Pour \u00eatre honn\u00eate, de nos jours, m\u00eame les CDN doivent \"emp\u00eacher les co\u00e9quipiers\" - certains fournisseurs de services parlent d'\"acc\u00e9l\u00e9ration globale\", les attaques CC r\u00e9elles retournent directement \u00e0 la source, ce n'est pas une fosse ?<\/p>\n
Le mois dernier, notre \u00e9quipe a mis \u00e0 jour l'architecture de s\u00e9curit\u00e9, et j'ai sorti le Huawei Cloud high-defence CDN, l'ancien CDN5 de l'industrie, et le CDN07, qui se concentre sur les pays d'outre-mer, et je les ai tous test\u00e9s \u00e0 tour de r\u00f4le. La m\u00e9thode de test est tr\u00e8s simple et rudimentaire : il s'agit de d\u00e9verser un trafic mixte directement sur le nom de domaine de test pour voir lequel peut supporter le sc\u00e9nario d'attaque r\u00e9el.<\/p>\n
Lancez d'abord des conclusions :<\/strong>Cette solution Huawei Cloud est vraiment \u00e0 la hauteur de l'expression \"classe entreprise\" dans les trois dimensions essentielles que sont la qualit\u00e9 des n\u0153uds, la pr\u00e9cision de la d\u00e9fense et la stabilit\u00e9. Mais ne vous empressez pas de d\u00e9bourser de l'argent, il y a quelques pi\u00e8ges que vous devez conna\u00eetre \u00e0 l'avance.<\/p>\n L'environnement de test a \u00e9t\u00e9 construit avec trois ensembles d'architectures : Huawei Cloud high defence CDN, WAF acceleration package of CDN5, et Asia-Pacific preferred line of CDN07. Chaque ensemble de configuration comprend 10 pages principales, y compris des API dynamiques et des ressources statiques, avec LoaderRunner simulant un trafic normal de 500 QPS + un trafic d'attaque de 200 QPS, des demandes mixtes, des tests de pression continus pendant 6 heures.<\/p>\n Le premier tour de mesure de la couverture des n\u0153uds. Huawei Cloud annonce officiellement plus de 2800 n\u0153uds, j'ai en fait utilis\u00e9 la commande Dig pour analyser le nombre de n\u0153uds qui peuvent \u00eatre atteints : 137 (Asie-Pacifique), compar\u00e9 aux 89 de CDN5 et aux 211 de CDN07, le nombre de n\u0153uds se situant dans la moyenne. J'ai choisi sp\u00e9cifiquement le pic du soir en utilisant MTR pour tracer l'itin\u00e9raire, et j'ai constat\u00e9 que les sauts du n\u0153ud de Hong Kong de Huawei Cloud sont contr\u00f4l\u00e9s \u00e0 moins de 5 sauts, et que le n\u0153ud de Los Angeles se trouve sur l'itin\u00e9raire CN2 GIA. Au contraire, bien que CDN07 ait de nombreux n\u0153uds, la latence de certains n\u0153uds d'Asie du Sud-Est a grimp\u00e9 \u00e0 plus de 380 ms.<\/p>\n Voici un d\u00e9tail qui m\u00e9rite d'\u00eatre soulign\u00e9 : les n\u0153uds p\u00e9riph\u00e9riques de Huawei Cloud optimisent la pile TCP. J'ai saisi un paquet et j'ai vu qu'ils ont modifi\u00e9 les param\u00e8tres du noyau, le nombre de retransmissions SYN a \u00e9t\u00e9 r\u00e9duit de 5 fois par d\u00e9faut \u00e0 3 fois, et le temps de r\u00e9cup\u00e9ration de l'\u00e9tat TIME_WAIT a \u00e9t\u00e9 compress\u00e9 \u00e0 1 seconde. Ne sous-estimez pas ce changement, lorsque vous rencontrez une attaque SYN Flood, le pool de connexions ne sera pas occup\u00e9, le test actuel peut transporter 3000 paquets malform\u00e9s de plus par seconde.<\/p>\n L'attaque CC a d\u00e9clench\u00e9 une v\u00e9rification humaine, mais la logique de v\u00e9rification est un peu int\u00e9ressante : le m\u00eame appareil ne fera pas appara\u00eetre le code de v\u00e9rification \u00e0 nouveau dans les 24 heures suivant la premi\u00e8re v\u00e9rification, mais utilisera le moteur d'analyse comportementale pour effectuer une v\u00e9rification silencieuse. J'ai pris Selenium pour simuler le comportement du navigateur, jusqu'\u00e0 ce que la 17\u00e8me requ\u00eate d\u00e9clenche \u00e0 nouveau la v\u00e9rification, puis CDN5 toutes les 5 fois pour v\u00e9rifier que l'exp\u00e9rience est trop bonne.<\/p>\n La chose la plus \u00e9tonnante est la protection contre les attaques lentes. Huawei Cloud a pris l'initiative d'\u00e9touffer la connexion lente 15 secondes apr\u00e8s l'\u00e9tablissement de la connexion, et a \u00e9galement envoy\u00e9 automatiquement un paquet RST au client. Plus tard, j'ai v\u00e9rifi\u00e9 les documents et j'ai d\u00e9couvert qu'ils utilisaient l'algorithme SMP (Slow Attack Mitigation) qu'ils ont eux-m\u00eames d\u00e9velopp\u00e9 et qui, m\u00eame chez Cloudflare, est une fonction plug-in payante.<\/p>\n L'affichage des r\u00e8gles de protection configur\u00e9es pour le segment, c'est la vraie affaire :<\/p>\n J'ai jou\u00e9 un peu les trouble-f\u00eates lors de la session de test de stabilit\u00e9 en simulant la gigue du r\u00e9seau r\u00e9gional. ChaosMesh a \u00e9t\u00e9 utilis\u00e9 pour injecter 30% de perte de paquets dans les n\u0153uds de test pendant 10 minutes. 3 n\u0153uds dans CDN5 ont \u00e9t\u00e9 mis hors ligne directement, et CDN07 a d\u00e9clench\u00e9 un \u00e9quilibrage de charge global, mais la commutation a pris 47 secondes. Bien que Huawei Cloud ait \u00e9galement eu 2 n\u0153uds avec une r\u00e9ponse lente, le syst\u00e8me de planification intelligent a coup\u00e9 le trafic vers le n\u0153ud de Tokyo en 12 secondes, et l'utilisateur n'en a pas \u00e9t\u00e9 conscient.<\/p>\n Bien s\u00fbr, il n'est pas parfait. Deux probl\u00e8mes ont \u00e9t\u00e9 constat\u00e9s : premi\u00e8rement, le processus d'enregistrement des n\u0153uds nationaux est tr\u00e8s fastidieux, il faut remplir un tas d'engagements et attendre trois jours ouvrables pour les examiner ; deuxi\u00e8mement, le temps de latence du syst\u00e8me de journalisation est \u00e9lev\u00e9, les journaux d'attaques doivent attendre 5 \u00e0 10 minutes pour \u00eatre consult\u00e9s, ce qui n'est pas aussi bien que les journaux en temps r\u00e9el du flux de 08Host.<\/p>\n Le prix de Huawei Cloud appartient \u00e0 la cat\u00e9gorie \"viande douloureuse mais peut sauver des vies\". L'offre de base commence \u00e0 20 000 euros par mois, soit 40% de plus que CDN5, mais 20% de moins que CDN07. L'essentiel, c'est qu'il n'y a pas de frais pour le trafic de nettoyage exc\u00e9dentaire ! Les frais de nettoyage de certains fournisseurs sont plus \u00e9lev\u00e9s que ceux de l'offre principale, mais l'argument de Huawei Cloud est vrai.<\/p>\n Une derni\u00e8re remarque pour offenser : ne croyez pas \u00e0 toutes ces conneries de \"d\u00e9fense illimit\u00e9e\". Si vous \u00eates r\u00e9ellement confront\u00e9 \u00e0 un DDoS de 800G ou plus, n'importe quel fournisseur vous entra\u00eenera dans un trou noir. L'avantage de Huawei Cloud est que ses algorithmes de d\u00e9fense sont plus intelligents, identifiant et att\u00e9nuant les attaques \u00e0 un stade pr\u00e9coce, plut\u00f4t que de s'appuyer uniquement sur la bande passante.<\/p>\n Si votre entreprise se trouve dans la r\u00e9gion Asie-Pacifique et que vous devez concilier acc\u00e9l\u00e9ration et s\u00e9curit\u00e9, Huawei Cloud High Defence CDN vaut vraiment la peine d'\u00eatre essay\u00e9. Mais n'oubliez pas de pr\u00e9parer votre num\u00e9ro d'enregistrement \u00e0 l'avance et d'extraire les journaux critiques pour les stocker localement - leur p\u00e9riode de conservation des journaux n'est que de 30 jours, ce qui est assez pitoyable.<\/p>\n J'ai rassembl\u00e9 les donn\u00e9es de test dans Excel. Si vous avez besoin de donn\u00e9es d\u00e9taill\u00e9es, vous pouvez m'envoyer un courriel en priv\u00e9. Il ne faut jamais s'attendre \u00e0 ce qu'un seul fournisseur puisse tout faire, une d\u00e9fense \u00e0 plusieurs niveaux est la meilleure fa\u00e7on de proc\u00e9der.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, des clients m'ont demand\u00e9 : quel CDN de haute d\u00e9fense utilisez-vous, et celui de Huawei Cloud est-il correct ? Pour \u00eatre honn\u00eate, de nos jours, m\u00eame les CDN doivent \"pr\u00e9venir les co\u00e9quipiers\" - certains fournisseurs de services parlent d'\"acc\u00e9l\u00e9ration globale\", mais en r\u00e9alit\u00e9, lorsqu'ils rencontrent des attaques CC, ils vous renvoient directement \u00e0 la source, n'est-ce pas un pi\u00e8ge ? Il se trouve que le mois dernier, notre \u00e9quipe a proc\u00e9d\u00e9 \u00e0 une mise \u00e0 niveau de l'architecture de s\u00e9curit\u00e9, et j'ai sorti de la ronde le Huawei cloud high defence CDN, l'ancien CDN5 de l'industrie, ainsi que le principal CDN07 d'outre-mer, pour les tester une fois. La m\u00e9thode de test est tr\u00e8s simple et rudimentaire : directement vers le nom de domaine de test pour verser un trafic mixte, afin de voir lequel peut r\u00e9sister \u00e0 des sc\u00e9narios d'attaque r\u00e9els. La conclusion s'impose d'embl\u00e9e : la solution de Huawei Cloud peut vraiment \u00eatre qualifi\u00e9e de \"classe entreprise\" dans les trois dimensions essentielles que sont la qualit\u00e9 des n\u0153uds, la pr\u00e9cision de la d\u00e9fense et la stabilit\u00e9. Mais ne vous empressez pas de d\u00e9bourser de l'argent, il y a quelques pi\u00e8ges que vous devez conna\u00eetre \u00e0 l'avance. Anneau de test<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-972","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/972","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=972"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/972\/revisions"}],"predecessor-version":[{"id":1153,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/972\/revisions\/1153"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=972"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=972"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=972"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=972"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}