DDoS-Mitigation per BGP FlowSpec auf Ihren Edge-Routern

IP Infusion liefert DDoS-Mitigation auf den Routern an Ihrem Netzrand: OcNOS-SP erfasst Traffic-Stichproben per sFlow, übernimmt BGP-FlowSpec- und RTBH-Regeln von einem FastNetMon-Detektor und verwirft oder drosselt den Angriff innerhalb von zwei Sekunden in Hardware, ohne den Traffic in ein Scrubbing Center umzuleiten.

Architektur-Review vereinbaren DDoS Solution Brief anfordern
<2 svon der Erkennung bis zur Mitigation
26OcNOS-SP-Plattformen mit BGP FlowSpec
900+Betreiber setzen OcNOS ein

Wie der Edge-Router einen Angriff stoppt

Der Edge-Router sendet sFlow-Stichproben an FastNetMon. Überschreitet der Traffic zu einem Host einen konfigurierten Schwellenwert, sendet FastNetMon per BGP eine Mitigationsregel an den Router, und der Router setzt sie in Hardware durch. Die Regel kann nur den Angriffsfluss erfassen oder den gesamten Traffic an den Host.

Derselbe Angriff, zwei Wege, ihn zu stoppen

Ein Edge-Router mit OcNOS-SP sendet sFlow an FastNetMon, empfängt per BGP eine FlowSpec-Regel oder eine RTBH-Route und verwirft oder drosselt den Angriff FastNetMonErkennung, Partnerprodukt sFlow-Stichproben FlowSpec-Regel per BGP RTBH-Route per BGP InternetTransit und Peering Edge-RouterOcNOS-SPsetzt in Hardware durch Ziel-HostIhr Kunde erreichbar erst nach Rücknahme Sauberer Traffic Angriffsverkehr Telemetrie

FlowSpec verwirft nur den Angriffsfluss. Die Regel erfasst den Angriff, und der Router verwirft oder drosselt ihn in Hardware, während anderer Traffic zum Host weiterfließt.

Schematische Darstellung.

Mit FastNetMon getestet, Schritt für Schritt

Der Deployment Guide von IP Infusion wurde auf OcNOS 7.0.0 mit FastNetMon 2.0.367 und neuer getestet. Er behandelt den sFlow-Export, die BGP-Session, FlowSpec und RTBH, Schwellenwerte und Failover.

FastNetMon läuft als virtuelle Maschine und wird von FastNetMon unterstützt. Fällt es aus, läuft die BGP-Session ab und der Router nimmt seine Regeln zurück, sodass der Traffic wieder seinen normalen Pfad nimmt.

Deployment Guide anfordern →

Was der Edge-Router durchsetzt

Alle 26 OcNOS-SP-Plattformen unterstützen BGP FlowSpec und RTBH, und der Router ergänzt eigene Schutzfunktionen.

FunktionWas es bewirktVerfügbar auf
BGP FlowSpecÜbernimmt Filterregeln per BGP vom Detektor und installiert sie in Hardware. Die Aktion ist Verwerfen oder Drosseln.Alle OcNOS-SP
FlowSpec pro VRFSeparate FlowSpec-Policies für jede Mandanten-VRFAlle OcNOS-SP
RTBHRouten vom Detektor verweisen das Ziel auf einen Null-Next-Hop, mit der Community IANA BLACKHOLEAlle OcNOS-SP
sFlowErfasst eingehenden Traffic mit einer konfigurierten Rate und sendet ihn in-band an den CollectorAlle OcNOS-SP
IPFIXFlow-Export als Alternative zu sFlowOcNOS-SP
uRPF, strict und looseVerwirft Pakete mit gefälschten QuelladressenAlle OcNOS-SP
Hardware-ACLsAbgleich auf Adressen, Protokoll, Ports, TCP-Flags, DSCP und Fragmente, mit zeitgesteuerten RegelnAlle OcNOS-SP
Control Plane PolicingConfigurable CoPP protects the router's own CPUAusgewählte Plattformen
AusfallsicherheitFällt der Detektor aus, läuft die BGP-Session nach ihrem Hold-Timer ab und der Router nimmt seine Regeln zurückAlle OcNOS-SP

Ein hardware-profile-Befehl lagert FlowSpec-Regeln auf den ASIC aus. Ab OcNOS 7.0 unterstützt FlowSpec IPv4; für IPv6-Angriffe nutzen Sie RTBH. Die Unterstützung variiert je nach Plattform: Prüfen Sie die OcNOS-Feature-Matrix.

Erkennung bis Mitigation in Sekunden.

Das Architecture Brief und die Deployment App Note: das High-Level-Bild plus die Schritt-für-Schritt-Konfiguration für BGP Flowspec und RTBH auf OcNOS mit FastNetMon.

DDoS-Mitigation per BGP FlowSpec: OcNOS + FastNetMon

Wie OcNOS-SP Edge-Router und FastNetMon DDoS-Angriffe mit BGP FlowSpec und RTBH erkennen und innerhalb von zwei Sekunden stoppen.

Brief anfordern

Automatisierte DDoS-Mitigation: Deployment Guide

Schritt-für-Schritt-Konfiguration: BGP-Flowspec-Policies, RTBH-Triggering, FastNetMon-Integration mit OcNOS, die einsatzbereite Referenz.

Application Note erhalten

Edge-Router, die sie durchsetzen

BGP FlowSpec und RTBH werden auf allen 26 OcNOS-SP-Plattformen unterstützt. Wählen Sie den Router nach dem Netzrand, den er schützt.

UfiSpace S9510-28DC router

Aggregations-Edge

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

Metro und Core

Edgecore AS7946-30XB (AGR400)

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

Metro-Edge

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

Peering- und Transit-Edge

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

Jedes Modell auf der OcNOS-Hardware-Kompatibilitätsliste kann mit OcNOS-SP FlowSpec und RTBH durchsetzen.

DDoS-Mitigation mit OcNOS: FAQ

Was ist DDoS-Mitigation per BGP FlowSpec?
BGP FlowSpec (RFC 8955) überträgt Traffic-Filterregeln innerhalb von BGP. Ein Detektor wie FastNetMon kündigt eine Regel an, die den Angriff erfasst, und ein OcNOS-SP-Router installiert sie in Hardware und verwirft oder drosselt die passenden Pakete. Anderer Traffic zum selben Host fließt weiter.
Wie schnell stoppt der Router einen Angriff?
Innerhalb von zwei Sekunden. Der Router exportiert sFlow-Stichproben, FastNetMon erkennt die Anomalie anhand konfigurierter Schwellenwerte und sendet per BGP eine FlowSpec-Regel oder RTBH-Route, die der Router in Hardware durchsetzt. Während des Angriffs ist kein manueller Eingriff nötig.
Wann sollte ich RTBH statt FlowSpec verwenden?
Verwenden Sie FlowSpec, wenn Sie den Angriff beschreiben können, sodass nur die Angriffsflüsse verworfen werden. Verwenden Sie RTBH bei einer Flut, die Ihre Links gefährdet: Jedes Paket an das Ziel geht an eine Null-Route, legitimer Traffic eingeschlossen, bis die Route zurückgenommen wird. Ab OcNOS 7.0 deckt FlowSpec IPv4 ab, und IPv6-Angriffe werden mit RTBH behandelt.
Was passiert, wenn FastNetMon ausfällt?
Die BGP-Session zum Router läuft nach ihrem Hold-Timer ab, standardmäßig 90 Sekunden, und der Router nimmt die aktiven Mitigationsregeln zurück. Der Traffic nimmt wieder seinen normalen Pfad. Für Hochverfügbarkeit betreiben Sie mehr als eine FastNetMon-Instanz auf derselben Telemetrie.
Welche Router setzen BGP FlowSpec und RTBH durch?
Alle 26 OcNOS-SP-Plattformen unterstützen BGP FlowSpec und RTBH. Auf physischen Routern lagert ein hardware-profile-Befehl FlowSpec-Regeln auf den ASIC aus. Prüfen Sie jedes Modell in der OcNOS Feature Matrix.
Ist FastNetMon Teil von OcNOS?
Nein. FastNetMon ist ein Partnerprodukt, das als virtuelle Maschine läuft und von FastNetMon unterstützt wird. IP Infusion liefert und unterstützt die Router, die die Telemetrie exportieren und die Regeln durchsetzen, und veröffentlicht den Deployment Guide.

Planen Sie die DDoS-Mitigation für Ihren Netzrand.

Wir erfassen Ihren Peering- und Transit-Edge, die FlowSpec- und RTBH-Policy und die OcNOS-SP-Router, die sie durchsetzen.

Architektur-Review vereinbaren Hardware-Kompatibilitätsliste