Mitigation DDoS par BGP FlowSpec sur vos routeurs de périphérie

IP Infusion assure la mitigation DDoS sur les routeurs de votre périphérie : OcNOS-SP échantillonne le trafic avec sFlow, reçoit les règles BGP FlowSpec et RTBH d'un détecteur FastNetMon, puis rejette ou limite l'attaque en matériel en moins de deux secondes, sans rediriger le trafic vers un centre de scrubbing.

Planifier une revue d'architecture Obtenir le brief de solution DDoS
<2 sde la détection à la mitigation
26plateformes OcNOS-SP avec BGP FlowSpec
900+opérateurs utilisent OcNOS
Idéal pour
Opérateurs qui stoppent les attaques DDoS en matériel sur leurs propres routeurs de périphérie, sans centre de scrubbing.
Qualifié sur
UfiSpace S9510-28DCEdgecore AS7946-30XBUfiSpace S9610-36D

Comment le routeur de périphérie stoppe une attaque

Le routeur de périphérie envoie des échantillons sFlow à FastNetMon. Lorsque le trafic vers un hôte dépasse un seuil configuré, FastNetMon envoie une règle de mitigation au routeur via BGP, et le routeur l'applique en matériel. La règle peut cibler uniquement le flux d'attaque, ou tout le trafic envoyé à l'hôte.

La même attaque, deux façons de la stopper

Un routeur de périphérie sous OcNOS-SP envoie sFlow à FastNetMon, reçoit une règle FlowSpec ou une route RTBH via BGP, puis rejette ou limite l'attaque FastNetMondétection, produit partenaire Échantillons sFlow Règle FlowSpec via BGP Route RTBH via BGP Internettransit et peering Routeur de périphérieOcNOS-SPapplique en matériel Hôte ciblevotre client injoignable jusqu'au retrait Trafic propre Trafic d'attaque Télémétrie

FlowSpec rejette uniquement le flux d'attaque. La règle cible l'attaque, et le routeur la rejette ou la limite en matériel pendant que le reste du trafic vers l'hôte continue de circuler.

Illustration.

Testé avec FastNetMon, étape par étape

Le guide de déploiement IP Infusion a été testé sur OcNOS 7.0.0 avec FastNetMon 2.0.367 et versions ultérieures. Il couvre l'export sFlow, la session BGP, FlowSpec et RTBH, les seuils et le failover.

FastNetMon s'exécute en machine virtuelle et est pris en charge par FastNetMon. S'il s'arrête, la session BGP expire et le routeur retire ses règles, de sorte que le trafic reprend son chemin normal.

Obtenir le guide de déploiement →

Ce que le routeur de périphérie applique

Les 26 plateformes OcNOS-SP prennent en charge BGP FlowSpec et RTBH, et le routeur ajoute ses propres protections.

CapacitéCe qu'il faitDisponible sur
BGP FlowSpecReçoit les règles de filtrage du détecteur via BGP et les installe en matériel. L'action est le rejet ou la limitation de débit.Tout OcNOS-SP
FlowSpec par VRFPolitiques FlowSpec distinctes pour chaque VRF locataireTout OcNOS-SP
RTBHLes routes du détecteur dirigent la cible vers un next-hop nul, avec la communauté IANA BLACKHOLETout OcNOS-SP
sFlowÉchantillonne le trafic entrant à un taux configuré et l'envoie au collecteur en in-bandTout OcNOS-SP
IPFIXExport de flux en alternative à sFlowOcNOS-SP
uRPF, strict et looseRejette les paquets aux adresses source usurpéesTout OcNOS-SP
ACL matériellesCorrespondance sur les adresses, le protocole, les ports, les flags TCP, DSCP et les fragments, avec des règles temporiséesTout OcNOS-SP
Control plane policingConfigurable CoPP protects the router's own CPUPlateformes sélectionnées
Sécurité en cas de panneSi le détecteur s'arrête, la session BGP expire après son hold timer et le routeur retire ses règlesTout OcNOS-SP

Une commande hardware-profile délègue les règles FlowSpec à l'ASIC. Depuis OcNOS 7.0, FlowSpec prend en charge IPv4 ; utilisez RTBH pour les attaques IPv6. La prise en charge varie selon la plateforme : consultez la Matrice de fonctionnalités OcNOS.

De la détection à la mitigation en quelques secondes.

Le brief d'architecture et la note d'application de déploiement : la vue d'ensemble plus la configuration pas à pas de BGP Flowspec et du RTBH sur OcNOS avec FastNetMon.

Mitigation DDoS par BGP FlowSpec : OcNOS + FastNetMon

Comment les routeurs de périphérie OcNOS-SP et FastNetMon détectent et arrêtent les attaques DDoS avec BGP FlowSpec et RTBH, en moins de deux secondes.

Obtenir le brief

Atténuation automatisée des DDoS : guide de déploiement

Configuration pas à pas : politiques BGP Flowspec, déclenchement RTBH, intégration de FastNetMon avec OcNOS, la référence prête à déployer.

Obtenir la note d'application

Les routeurs de périphérie qui l'appliquent

BGP FlowSpec et RTBH sont pris en charge sur les 26 plateformes OcNOS-SP. Choisissez le routeur selon la périphérie qu'il protège.

UfiSpace S9510-28DC router

Périphérie d'agrégation

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

Metro et cœur

Edgecore AS7946-30XB (AGR400)

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

Périphérie metro

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

Périphérie de peering et de transit

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

Chaque modèle de la Liste de compatibilité matérielle OcNOS peut appliquer FlowSpec et RTBH avec OcNOS-SP.

Mitigation DDoS avec OcNOS : FAQ

Qu'est-ce que la mitigation DDoS par BGP FlowSpec ?
BGP FlowSpec (RFC 8955) transporte des règles de filtrage du trafic dans BGP. Un détecteur tel que FastNetMon annonce une règle qui cible l'attaque, et un routeur OcNOS-SP l'installe en matériel puis rejette ou limite les paquets correspondants. Le reste du trafic vers le même hôte continue de circuler.
En combien de temps le routeur stoppe-t-il une attaque ?
En moins de deux secondes. Le routeur exporte des échantillons sFlow, FastNetMon détecte l'anomalie selon des seuils configurés et envoie une règle FlowSpec ou une route RTBH via BGP, que le routeur applique en matériel. Aucune action manuelle n'est nécessaire pendant l'attaque.
Quand utiliser RTBH plutôt que FlowSpec ?
Utilisez FlowSpec lorsque vous pouvez décrire l'attaque, afin que seuls les flux d'attaque soient rejetés. Utilisez RTBH face à une inondation qui menace vos liens : chaque paquet destiné à la cible part vers une route nulle, trafic légitime compris, jusqu'au retrait de la route. Depuis OcNOS 7.0, FlowSpec couvre IPv4, et les attaques IPv6 sont traitées avec RTBH.
Que se passe-t-il si FastNetMon tombe en panne ?
La session BGP vers le routeur expire selon son hold timer, 90 secondes par défaut, et le routeur retire les règles de mitigation actives. Le trafic reprend son chemin normal. Pour la haute disponibilité, exécutez plusieurs instances FastNetMon sur la même télémétrie.
Quels routeurs appliquent BGP FlowSpec et RTBH ?
Les 26 plateformes OcNOS-SP prennent en charge BGP FlowSpec et RTBH. Sur les routeurs physiques, une commande hardware-profile délègue les règles FlowSpec à l'ASIC. Vérifiez chaque modèle dans la Matrice de fonctionnalités OcNOS.
FastNetMon fait-il partie d'OcNOS ?
Non. FastNetMon est un produit partenaire qui s'exécute en machine virtuelle et est pris en charge par FastNetMon. IP Infusion fournit et prend en charge les routeurs qui exportent la télémétrie et appliquent les règles, et publie le guide de déploiement.

Planifiez la mitigation DDoS de votre périphérie.

Nous cartographions votre périphérie de peering et de transit, la politique FlowSpec et RTBH, et les routeurs OcNOS-SP qui l'appliquent.

Planifier une revue d'architecture Liste de compatibilité matérielle