R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 faire face \u00e0 un \u00e9v\u00e9nement DDoS, et j'ai d\u00e9couvert que son entreprise utilisait une architecture CDN \u00e0 haute d\u00e9fense \u00e0 un seul n\u0153ud, et que l'attaque avait paralys\u00e9 directement toute l'entreprise pendant trois jours. Cette affaire me rappelle que de nombreuses entreprises choisissent des solutions de haute s\u00e9curit\u00e9 sans conna\u00eetre la liste des n\u0153uds et la diff\u00e9rence essentielle entre les n\u0153uds multiples, pensant toujours \u201cqu'il y a une protection sur la ligne\u201d. Le r\u00e9sultat est que l'attaque est venue pleurer les parents, apr\u00e8s le r\u00e9tablissement de l'entreprise continuent \u00e0 utiliser l'ancien programme, avec l'ouverture de la bo\u00eete aveugle comme.<\/p>\n
Un CDN haute d\u00e9fense \u00e0 n\u0153ud unique consiste, pour parler franchement, \u00e0 centraliser l'ensemble du trafic dans un centre de nettoyage pour le traiter. Cela semble \u00eatre une grande \u00e9conomie, n'est-ce pas ? Mais vous pensez ah, les demandes des utilisateurs de tout le pays ou m\u00eame du monde entier doivent faire le tour de ce point, la latence est \u00e9lev\u00e9e, sans parler du fait qu'une fois que vous avez rencontr\u00e9 un DDoS \u00e0 grande \u00e9chelle, que vous ayez une bande passante de d\u00e9fense de 100G ou de 500G, vous frappez le plein directement \u00e0 l'effondrement de l'ensemble de la ligne. J'ai test\u00e9 le programme \u00e0 n\u0153ud unique d'un fournisseur, 300Gbps SYN Flood over, non seulement la carte de visite est morte, mais m\u00eame l'arri\u00e8re-plan de gestion ne peut pas se connecter - parce que la surface de contr\u00f4le et la surface de donn\u00e9es ne sont pas s\u00e9par\u00e9es.<\/p>\n
L'architecture multi-n\u0153uds est la bonne r\u00e9ponse pour les CDN modernes \u00e0 haute d\u00e9fense. Comme le CDN5, ces fournisseurs de services sont depuis longtemps engag\u00e9s dans le nettoyage distribu\u00e9, des centaines de n\u0153uds dans le monde entier planifiant le trafic de mani\u00e8re intelligente. Les attaques viennent automatiquement guider le trafic vers le centre de nettoyage le plus proche, apr\u00e8s avoir jou\u00e9 les donn\u00e9es sales et laiss\u00e9 le trafic propre retourner \u00e0 la source. Ne dites pas 300G, c'est doubl\u00e9 peut \u00e9galement transporter, parce que le trafic a \u00e9t\u00e9 d\u00e9sassembl\u00e9 \u00e0 diff\u00e9rents n\u0153uds dans le traitement parall\u00e8le.<\/p>\n
La vitesse du n\u0153ud unique est encore meilleure. L'ann\u00e9e derni\u00e8re, une plateforme de commerce \u00e9lectronique a effectu\u00e9 des tests de migration, passant d'un n\u0153ud unique \u00e0 un programme multi-n\u0153uds CDN07, le d\u00e9lai moyen est pass\u00e9 de 180 ms \u00e0 40 ms. Pourquoi ? Parce que les utilisateurs n'ont pas besoin d'aller jusqu'au seul n\u0153ud, directement pr\u00e8s de l'acc\u00e8s. En particulier pour les entreprises multinationales, avec le r\u00e9seau multi-n\u0153uds Asie-Pacifique de 08Host, Hong Kong, Singapour, Tokyo, trois lignes de programmation, la vitesse d'acc\u00e8s des utilisateurs \u00e9trangers augmente de 60% ou plus.<\/p>\n
Il y a aussi un petit d\u00e9tail que beaucoup de gens ignorent : une fois que le programme de n\u0153ud unique pour \u00e9tendre la capacit\u00e9 de l'ensemble de la mise \u00e0 niveau de temps d'arr\u00eat, et multi-n\u0153uds supportent la commutation \u00e0 l'\u00e9chelle grise. La semaine derni\u00e8re, pour aider une soci\u00e9t\u00e9 de jeux \u00e0 ajouter des n\u0153uds, directement au pool d'\u00e9quilibrage de charge CDN5 a jet\u00e9 un nouveau serveur, le trafic est automatiquement distribu\u00e9 en fonction du poids, l'utilisateur est compl\u00e8tement imperceptible. Cette flexibilit\u00e9 nous sauve la vie pendant les p\u00e9riodes de pointe.<\/p>\n
Les d\u00e9fenses sont encore plus diff\u00e9rentes. Les n\u0153uds uniques reviennent \u00e0 mettre des \u0153ufs dans un panier, tandis que les n\u0153uds multiples constituent une strat\u00e9gie typique de division et de conqu\u00eate. J'ai rencontr\u00e9 une situation : un APP financier a \u00e9t\u00e9 cibl\u00e9 pour toucher le trafic g\u00e9ographique, la source de l'attaque est concentr\u00e9e dans l'est de la Chine. S'il s'agit d'un seul n\u0153ud, il doit \u00eatre compl\u00e8tement paralys\u00e9, mais apr\u00e8s avoir utilis\u00e9 le sch\u00e9ma multi-n\u0153uds, le syst\u00e8me planifie automatiquement le trafic de la Chine de l'Est vers le centre de nettoyage de Nanjing et Hangzhou, et les autres utilisateurs r\u00e9gionaux ne sont pas du tout affect\u00e9s. Ce type de pr\u00e9vention et de contr\u00f4le \u00e0 grain fin d'un seul n\u0153ud est tout simplement impossible.<\/p>\n
La configuration n'est pas aussi compliqu\u00e9e qu'on pourrait le penser. Les solutions multi-n\u0153uds sont maintenant essentiellement des op\u00e9rations bas\u00e9es sur l'API, comme l'utilisation du syst\u00e8me de planification de 08Host, \u00e9crire une simple configuration de poids pour contr\u00f4ler la direction du trafic :<\/p>\n
Ne croyez jamais ces rumeurs qui disent que le co\u00fbt des n\u0153uds multiples est \u00e9lev\u00e9. Aujourd'hui, CDN07 ce type de fournisseur selon la facturation de la bande passante \u00e9lastique, utilise g\u00e9n\u00e9ralement combien compte combien, l'attaque augmente automatiquement la capacit\u00e9. Au contraire, un seul n\u0153ud afin de r\u00e9server la bande passante de d\u00e9fense, la capacit\u00e9 80% perp\u00e9tuellement inactive, ce qui est un v\u00e9ritable g\u00e2chis.<\/p>\n
Enfin, une le\u00e7on de larmes : certaines petites usines se vantent d'avoir un \u201csuper n\u0153ud\u201d qui est encore une architecture unique, mais la configuration de la machine est empil\u00e9e en hauteur seulement. En cas d'attaques mixtes (CC + DDoS + connexion lente), l'unit\u00e9 centrale est directement touch\u00e9e. Le programme multi-n\u0153uds habituel tel que CDN5 a mis en place sept couches de protection, chaque n\u0153ud peut ind\u00e9pendamment effectuer la d\u00e9tection d'anomalies HTTP et la r\u00e9ponse au d\u00e9fi.<\/p>\n
Ne vous laissez donc pas abuser par ces publicit\u00e9s de \u201cvaleur de d\u00e9fense ultra-\u00e9lev\u00e9e\u201d. Le nombre de n\u0153uds est le principal indicateur d'un CDN \u00e0 haute d\u00e9fense, l'architecture distribu\u00e9e apporte non seulement la profondeur de la d\u00e9fense, mais aussi une v\u00e9ritable protection de la continuit\u00e9 des activit\u00e9s. De nos jours, m\u00eame les CDN doivent \u201cpr\u00e9venir les co\u00e9quipiers\u201d - pour emp\u00eacher ceux qui font des \u00e9conomies sur les fournisseurs de programmes.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 faire face \u00e0 un \u00e9v\u00e9nement DDoS, et j'ai d\u00e9couvert que son entreprise utilisait une architecture CDN \u00e0 haute d\u00e9fense \u00e0 un seul n\u0153ud, et que l'attaque avait paralys\u00e9 directement toute l'entreprise pendant trois jours. Cette affaire me rappelle que de nombreuses entreprises choisissent des solutions de haute s\u00e9curit\u00e9 sans conna\u00eetre la liste des n\u0153uds et la diff\u00e9rence essentielle entre les n\u0153uds multiples, pensant toujours \u201cqu'il y a une protection sur la ligne\u201d. Le r\u00e9sultat est que l'attaque est venue pleurer les parents, apr\u00e8s la restauration des affaires continuer \u00e0 utiliser l'ancien programme, avec l'ouverture d'une bo\u00eete aveugle comme. Le CDN haute d\u00e9fense \u00e0 n\u0153ud unique consiste \u00e0 concentrer tout le trafic dans un centre de nettoyage pour le g\u00e9rer. Cela semble \u00eatre beaucoup de travail, n'est-ce pas ? Mais vous pensez ah, les demandes des utilisateurs de tout le pays ou m\u00eame du monde entier doivent faire le tour de ce point, latence \u00e9lev\u00e9e, sans parler, une fois rencontr\u00e9 un DDoS \u00e0 grande \u00e9chelle, que vous 100G ou 500G de bande passante de d\u00e9fense, frapper le plein directement \u00e0 l'effondrement de l'ensemble de la ligne. J'ai test\u00e9 le programme \u00e0 n\u0153ud unique d'un fournisseur, 3<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-987","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/987","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=987"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/987\/revisions"}],"predecessor-version":[{"id":1138,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/987\/revisions\/1138"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=987"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=987"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=987"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=987"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}