Co to jest centrum czyszczące (scrubbing center)?
Centrum czyszczące oddziela ruch ataku od legalnego i zwraca ten drugi do sieci. Modele always-on i on-demand, GRE, koszty i pułapki.
Ostatnia aktualizacja:
Centrum czyszczące (scrubbing center) to infrastruktura, przez którą przepuszcza się ruch podczas ataku DDoS, żeby oddzielić pakiety ataku od ruchu prawdziwych użytkowników. To, co przejdzie filtrację, wraca do sieci klienta, a reszta jest odrzucana. Kluczowe pytania przy takiej usłudze są dwa: kiedy ruch trafia do centrum i czyja to infrastruktura.
Always-on kontra on-demand
W modelu always-on ruch stale przechodzi przez filtr, więc mitygacja nie ma momentu startu. Nic nie trzeba wykrywać ani przełączać, bo obrona już pracuje. W modelu on-demand ruch idzie normalną trasą, a do centrum trafia dopiero po wykryciu ataku, zwykle przez ogłoszenie prefiksu przez BGP w stronę dostawcy ochrony. To rozwiązanie tańsze, ale ma wbudowane opóźnienie: trzeba wykryć atak, przekierować ruch i doczekać zbieżności BGP, a te kilkadziesiąt sekund albo kilka minut zwykle wystarcza, żeby użytkownicy zauważyli przerwę.
Jak ruch wraca do klienta
Po oczyszczeniu ruch trzeba dostarczyć do sieci docelowej, i tu zaczyna się część, którą łatwo przeoczyć przy podpisywaniu umowy. Najczęstsze metody to tunel GRE, dedykowane łącze albo cross-connect, jeśli obie strony są w tej samej lokalizacji. Tunel oznacza dodatkowy nagłówek, a więc mniejsze MTU i ryzyko fragmentacji, oraz kolejny element, który może paść. Trasa powrotna bywa też znacznie dłuższa od pierwotnej, zwłaszcza gdy centrum czyszczące stoi w innym kraju.
Czyja to infrastruktura
Scrubbing prowadzony przez operatora w jego własnej sieci to co innego niż usługa wykupiona u zewnętrznego dostawcy globalnego. W pierwszym przypadku ruch zostaje w tej samej sieci, która i tak go przenosi, a trasa pozostaje krótka. W drugim ruch jest oddawany podmiotowi trzeciemu, często do infrastruktury za granicą, co ma konsekwencje dla opóźnień, dla widoczności w diagnostyce i dla tego, kto właściwie ogląda dane Twoich użytkowników.
Warto też sprawdzić, jak wygląda deklarowana obecność dostawcy w Twoim kraju. Globalna firma potrafi wykazywać lokalny punkt obecności, który w praktyce jest jednym węzłem satelitarnym wiszącym na pojedynczym uplinku do własnego szkieletu, a właściwa pojemność filtrująca stoi zupełnie gdzie indziej. Kiedy ten uplink się zapełni, ruch wraca na trasę zagraniczną.
Czego scrubbing nie załatwia
- Nie pomoże, jeśli atak nasyci łącze przed punktem, w którym ruch jest przechwytywany. Filtr musi stać powyżej wąskiego gardła.
- W modelu on-demand nie chroni w czasie potrzebnym na detekcję i zbieżność BGP, a to zwykle najkosztowniejsze minuty ataku.
- Przy carpet bombingu wymaga przekierowania całego prefiksu, więc z normalnej trasy schodzą też klienci, których nikt nie atakuje.
- Ruch szyfrowany w warstwie 7 wymaga osobnych ustaleń, bo bez dostępu do treści żądań filtracja aplikacyjna jest ograniczona.
Najczęstsze pytania
Czy scrubbing zawsze wymaga tunelu GRE?
Nie. GRE jest wygodne, gdy strony nie mają wspólnej lokalizacji, ale jeśli dostawca ochrony jest obecny w tym samym centrum danych albo w tym samym punkcie wymiany ruchu, wystarczy cross-connect lub dedykowany VLAN. To rozwiązanie lepsze, bo nie dokłada nagłówka, nie zmniejsza MTU i nie wprowadza dodatkowego elementu do awarii.
Always-on czy on-demand?
Zależy od tego, ile kosztuje Cię minuta niedostępności. On-demand jest tańszy i wystarcza tam, gdzie krótka przerwa jest akceptowalna. Always-on ma sens wszędzie, gdzie ataki się powtarzają albo gdzie przerwa oznacza zerwane sesje abonentów, przegrane transakcje czy wypadnięcie graczy z serwera.