R\u00e9cemment, plusieurs amis r\u00e9alisant des projets sociaux m'ont pos\u00e9 la m\u00eame question : utilisez-vous un CDN \u00e0 haute d\u00e9fense pour prendre en charge WebRTC \u00e0 la fin ? J'ai \u00e9t\u00e9 frapp\u00e9 par le DDoS tous les jours scalp engourdi, et n'ose pas exposer directement la station source, l'audio en temps r\u00e9el et la carte vid\u00e9o dans le PPT sont presque maudits \u00e0 la mort par l'utilisateur.<\/p>\n
Pour \u00eatre honn\u00eate, la premi\u00e8re fois que j'ai entendu cette question, j'ai failli pulv\u00e9riser mon caf\u00e9 sur l'\u00e9cran, car WebRTC est essentiellement une connexion P2P directe, et l'acc\u00e9l\u00e9ration traditionnelle du cache CDN n'est pas la m\u00eame chose. Mais plus les gens posaient la question, plus je me rendais compte que les choses n'\u00e9taient pas si simples - maintenant que la plateforme sociale a pris un peu d'ampleur, qui ose encore mettre les flux audio et vid\u00e9o directement nus sur le r\u00e9seau public ?<\/p>\n
J'en ai fait les frais l'ann\u00e9e derni\u00e8re. \u00c0 l'\u00e9poque, le projet \u00e9tait press\u00e9 d'\u00eatre mis en ligne et a directement lanc\u00e9 le serveur TURN sur le nuage public, qui a \u00e9t\u00e9 p\u00e9n\u00e9tr\u00e9 dans les trois jours suivant l'ouverture. L'attaquant a localis\u00e9 l'IP de notre serveur m\u00e9dia, et le trafic de 300G par seconde a directement transform\u00e9 la salle des serveurs en un trou noir. C'\u00e9tait comme si l'ensemble du centre de donn\u00e9es avait \u00e9t\u00e9 inond\u00e9 num\u00e9riquement.<\/p>\n
Le c\u0153ur du probl\u00e8me est le suivant : WebRTC a \u00e9t\u00e9 con\u00e7u \u00e0 l'origine pour une connectivit\u00e9 directe d'\u00e9gal \u00e0 \u00e9gal, mais la r\u00e9alit\u00e9 de l'environnement r\u00e9seau est si complexe qu'elle fait mal \u00e0 la t\u00eate !<\/strong>Le taux d'\u00e9chec de la travers\u00e9e NAT est sup\u00e9rieur \u00e0 30%, et les pare-feu d'entreprise sont le premier facteur de destruction des flux audio et vid\u00e9o. Cette fois, il faut compter sur le serveur TURN pour effectuer le transit - et cette chose n'est qu'un point d'exposition \u00e0 l'IP.<\/p>\n Ce qui est encore plus d\u00e9go\u00fbtant, c'est que WebRTC pr\u00e9sente une faille fatale lors de l'\u00e9tablissement d'une connexion : le processus de collecte de l'adresse du candidat ICE expose \u00e0 la fois l'IP de l'intranet et l'IP publique. J'ai saisi un paquet et je l'ai regard\u00e9 une fois, et pendant le processus de n\u00e9gociation STUN, l'IP de votre serveur a \u00e9t\u00e9 transmise \u00e0 travers le r\u00e9seau comme si elle \u00e9tait nue. Les attaquants n'ont m\u00eame pas besoin de se pr\u00e9occuper de l'analyse, ils peuvent simplement d\u00e9terminer l'IP du serveur de m\u00e9dias directement \u00e0 partir de la signalisation de la poign\u00e9e de main.<\/p>\n C'est le moment pour les CDN \u00e0 haute d\u00e9fense d'entrer en jeu. Mais les fournisseurs de CDN traditionnels tels que CDN07, leurs n\u0153uds sont principalement optimis\u00e9s pour HTTP\/HTTPS, la prise en charge des protocoles UDP est tout simplement touchante. J'ai test\u00e9 leurs n\u0153uds, le trafic WebRTC a pass\u00e9 le d\u00e9lai directement doubl\u00e9, le taux de perte de paquets de plus de 15% est un ph\u00e9nom\u00e8ne courant.<\/p>\n Au lieu de cela, j'ai \u00e9t\u00e9 agr\u00e9ablement surpris par CDN5, qui se sp\u00e9cialise dans les communications en temps r\u00e9el. Tous ses n\u0153uds p\u00e9riph\u00e9riques prennent en charge les protocoles SRT et WebRTC et, surtout, ils ont d\u00e9ploy\u00e9 des clusters de proxy TURN d\u00e9di\u00e9s dans le monde entier. Voici un sch\u00e9ma de leur architecture :<\/p>\n Notez que iceTransportPolicy est r\u00e9gl\u00e9 sur relay - c'est la cl\u00e9 pour sauver des vies. Forcer tout le trafic \u00e0 passer par le relais TURN augmente un peu la latence, mais cache compl\u00e8tement l'IP source, et l'augmentation moyenne de la latence est de l'ordre de 40 ms, ce qui est bien dans la fourchette acceptable.<\/p>\n La solution de 08Host est plus int\u00e9ressante. Ils disposent d'un syst\u00e8me de routage intelligent qui peut basculer dynamiquement entre UDP et TCP en fonction des conditions du r\u00e9seau en temps r\u00e9el. Telecom utilise TCP, Unicom utilise UDP, et le r\u00e9seau mobile utilise m\u00eame le protocole QUIC. J'ai d\u00e9lib\u00e9r\u00e9ment test\u00e9 pendant le pic du soir, le taux de perte de paquets est toujours contr\u00f4l\u00e9 en dessous de 3% :<\/p>\n Ce faux pool d'adresses IP est intelligemment con\u00e7u - les n\u0153uds p\u00e9riph\u00e9riques utilisent des adresses IP virtuelles pour communiquer avec la source, et les vraies adresses IP ne sont jamais expos\u00e9es. La rotation des segments d'IP toutes les 5 minutes \u00e9quivaut \u00e0 la mise en place d'une tenue de camouflage sur le serveur.<\/p>\n L'effet de la protection DDoS est encore plus exag\u00e9r\u00e9. Le mois dernier, nous avons \u00e9t\u00e9 confront\u00e9s \u00e0 une attaque cibl\u00e9e contre la passerelle WebRTC, 800 000 paquets SYN par seconde d\u00e9di\u00e9s au port TURN. Le centre de nettoyage de CDN5 a directement d\u00e9clench\u00e9 une protection intelligente, programmant automatiquement le trafic vers trois n\u0153uds de nettoyage diff\u00e9rents. Les statistiques finales montrent que seulement 0,3% de trafic l\u00e9gitime a \u00e9t\u00e9 affect\u00e9, et les utilisateurs ne s'en sont presque pas rendu compte.<\/p>\n Toutefois, il est important de noter que tous les CDN haute d\u00e9finition ne prennent pas r\u00e9ellement en charge WebRTC. Certains fournisseurs se contentent de transmettre le trafic UDP sans m\u00eame offrir de garanties de qualit\u00e9 de service de base. Lors des tests, veillez \u00e0 examiner les indicateurs cl\u00e9s suivants : taux de r\u00e9ussite de la connexion ICE, variance du d\u00e9lai de bout en bout, taux de retransmission des pertes de paquets. J'ai r\u00e9sum\u00e9 un sch\u00e9ma de v\u00e9rification rapide :<\/p>\n Les donn\u00e9es de mesure montrent qu'un bon CDN \u00e0 haute d\u00e9fense peut contr\u00f4ler le temps de latence WebRTC P99 dans les 200 ms, avec un taux de r\u00e9ussite de la connexion de 5 secondes de 99,8% ou plus. En particulier, l'optimisation de la liaison transfrontali\u00e8re asiatique permet de r\u00e9duire le d\u00e9lai entre Hong Kong et la Silicon Valley \u00e0 environ 150 ms, ce qui est proche du niveau des donn\u00e9es d\u00e9di\u00e9es.<\/p>\n Avec le recul, la combinaison de WebRTC et d'un CDN \u00e0 haute d\u00e9fense est presque comme une double assurance pour la communication en temps r\u00e9el. Tous deux conservent l'avantage de la faible latence du P2P et acqui\u00e8rent la capacit\u00e9 de prot\u00e9ger le nuage. La protection contre les attaques DDoS permet \u00e0 elle seule d'\u00e9conomiser des centaines de milliers d'euros de bande passante chaque ann\u00e9e, en particulier pour les plates-formes sociales les plus durement touch\u00e9es.<\/p>\n Enfin, une le\u00e7on de larmes : ne construisez pas votre propre cluster TURN pour \u00e9conomiser de l'argent. Mon \u00e9quipe a pass\u00e9 trois mois l'ann\u00e9e derni\u00e8re, l'\u00e9quipement de nettoyage du trafic l\u00e9ger a investi plus de deux millions, les r\u00e9sultats de l'effet de protection n'est pas aussi bon que les fournisseurs CDN professionnels. Maintenant qu'on y r\u00e9fl\u00e9chit bien, on se dit que les choses professionnelles doivent \u00eatre confi\u00e9es \u00e0 des professionnels.<\/p>\n Revenons donc \u00e0 la question initiale : le CDN social \u00e0 haute d\u00e9fense prend en charge WebRTC. La r\u00e9ponse n'est pas seulement la prise en charge, mais aussi la n\u00e9cessit\u00e9 de la prise en charge. De nos jours, la communication en temps r\u00e9el sans protection \u00e9quivaut \u00e0 courir nu sur le champ de bataille, et n'importe quel script boy peut gagner la sc\u00e8ne. En choisissant le bon fournisseur de services CDN, votre activit\u00e9 audio et vid\u00e9o peut vraiment \u00eatre tranquille.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, plusieurs amis r\u00e9alisant des projets sociaux m'ont pos\u00e9 la m\u00eame question : utilisez-vous un CDN \u00e0 haute d\u00e9fense pour prendre en charge WebRTC \u00e0 la fin ? J'ai \u00e9t\u00e9 frapp\u00e9 par des DDoS tous les jours, et je n'ose pas exposer directement la station source, la carte audio et vid\u00e9o en temps r\u00e9el dans le PPT est presque grond\u00e9e \u00e0 mort par l'utilisateur. Pour \u00eatre honn\u00eate, la premi\u00e8re fois que j'ai entendu cette question, j'ai failli pulv\u00e9riser du caf\u00e9 sur l'\u00e9cran, car WebRTC est essentiellement une connexion P2P directe, et l'acc\u00e9l\u00e9ration du cache CDN traditionnel n'est pas une solution. Mais plus les gens posaient la question, plus je me rendais compte que les choses n'\u00e9taient pas si simples - maintenant que la plateforme sociale a pris de l'ampleur, qui oserait encore mettre les flux audio et vid\u00e9o directement nus sur le r\u00e9seau public ? J'ai essuy\u00e9 cette perte l'ann\u00e9e derni\u00e8re. \u00c0 l'\u00e9poque, le projet \u00e9tait press\u00e9 d'\u00eatre mis en ligne, lan\u00e7ant directement le serveur TURN dans le nuage public, les r\u00e9sultats de l'ouverture trois jours sur le r\u00e9seau public.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-975","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/975","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=975"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/975\/revisions"}],"predecessor-version":[{"id":1150,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/975\/revisions\/1150"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=975"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=975"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=975"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=975"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}