Mitigazione DDoS con BGP FlowSpec sui router edge

IP Infusion fornisce la mitigazione DDoS sui router edge della rete: OcNOS-SP campiona il traffico con sFlow, riceve regole BGP FlowSpec e RTBH da un detector FastNetMon e scarta o limita in velocità l'attacco in hardware entro due secondi, senza deviare il traffico verso uno scrubbing center.

Prenota una revisione dell'architettura Scarica il solution brief DDoS
<2 sdal rilevamento alla mitigazione
26piattaforme OcNOS-SP con BGP FlowSpec
900+operatori utilizzano OcNOS

Come il router edge blocca un attacco

Il router edge invia campioni sFlow a FastNetMon. Quando il traffico verso un host supera una soglia configurata, FastNetMon invia una regola di mitigazione al router tramite BGP, e il router la applica in hardware. La regola può corrispondere solo al flusso dell'attacco oppure a tutto il traffico inviato all'host.

Lo stesso attacco, due modi per bloccarlo

Un router edge con OcNOS-SP invia sFlow a FastNetMon, riceve una regola FlowSpec o una route RTBH tramite BGP e scarta o limita in velocità l'attacco FastNetMonrilevamento, partner campioni sFlow regola FlowSpec via BGP route RTBH via BGP Internettransito e peering Router edgeOcNOS-SPapplica in hardware Host bersaglioil tuo cliente irraggiungibile fino al ritiro della route Traffico pulito Traffico di attacco Telemetria

FlowSpec scarta solo il flusso dell'attacco. La regola corrisponde all'attacco, e il router lo scarta o ne limita la velocità in hardware mentre il resto del traffico verso l'host continua a fluire.

A scopo illustrativo.

Testato con FastNetMon, passo dopo passo

La guida al deployment di IP Infusion è stata testata su OcNOS 7.0.0 con FastNetMon 2.0.367 e versioni successive. Copre l'export sFlow, la sessione BGP, FlowSpec e RTBH, le soglie e il failover.

FastNetMon viene eseguito come macchina virtuale ed è supportato da FastNetMon. Se si arresta, la sessione BGP scade e il router ritira le proprie regole, così il traffico torna al suo percorso normale.

Scarica la guida al deployment →

Cosa applica il router edge

Tutte le 26 piattaforme OcNOS-SP supportano BGP FlowSpec e RTBH, e il router aggiunge le proprie protezioni.

CapacitàCosa faDove
BGP FlowSpecRiceve le regole di filtro dal detector tramite BGP e le installa in hardware. L'azione è scarto o rate limit.Tutte le OcNOS-SP
FlowSpec per VRFPolicy FlowSpec separate per ogni VRF tenantTutte le OcNOS-SP
RTBHLe route dal detector indirizzano il bersaglio verso un next-hop nullo, con la community IANA BLACKHOLETutte le OcNOS-SP
sFlowCampiona il traffico in ingresso a una frequenza configurata e lo invia al collector in-bandTutte le OcNOS-SP
IPFIXExport dei flussi in alternativa a sFlowOcNOS-SP
uRPF, strict e looseScarta i pacchetti con indirizzi sorgente falsificatiTutte le OcNOS-SP
ACL hardwareMatch su indirizzi, protocollo, porte, flag TCP, DSCP e frammenti, con regole temporizzateTutte le OcNOS-SP
Control plane policingConfigurable CoPP protects the router's own CPUPiattaforme selezionate
Fail-safeSe il detector si arresta, la sessione BGP scade allo scadere dell'hold timer e il router ritira le proprie regoleTutte le OcNOS-SP

Un solo comando hardware-profile delega le regole FlowSpec all'ASIC. A partire da OcNOS 7.0, FlowSpec supporta IPv4; usa RTBH per gli attacchi IPv6. Il supporto varia in base alla piattaforma: consulta la Matrice delle funzionalità OcNOS.

Dal rilevamento alla mitigazione in pochi secondi.

L'architecture brief e l'app note di deployment: il quadro di alto livello più la configurazione passo-passo per BGP Flowspec e RTBH su OcNOS con FastNetMon.

Mitigazione DDoS con BGP FlowSpec: OcNOS + FastNetMon

Come i router edge OcNOS-SP e FastNetMon rilevano e bloccano gli attacchi DDoS con BGP FlowSpec e RTBH, entro due secondi.

Scarica il brief

Mitigazione automatizzata del DDoS: guida al deployment

Configurazione passo passo: policy BGP Flowspec, attivazione RTBH, integrazione di FastNetMon con OcNOS, il riferimento pronto all'implementazione.

Ottieni la nota applicativa

Router edge che la applicano

BGP FlowSpec e RTBH sono supportati su tutte le 26 piattaforme OcNOS-SP. Scegli il router in base all'edge che protegge.

UfiSpace S9510-28DC router

Edge di aggregazione

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

Metro e core

Edgecore AS7946-30XB (AGR400)

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

Edge metro

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

Edge di peering e transito

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

Ogni modello presente nella Elenco di compatibilità hardware OcNOS con OcNOS-SP può applicare FlowSpec e RTBH.

Mitigazione DDoS con OcNOS: FAQ

Che cos'è la mitigazione DDoS con BGP FlowSpec?
BGP FlowSpec (RFC 8955) trasporta regole di filtro del traffico all'interno di BGP. Un detector come FastNetMon annuncia una regola che corrisponde all'attacco, e un router OcNOS-SP la installa in hardware e scarta o limita in velocità i pacchetti corrispondenti. Il resto del traffico verso lo stesso host continua a fluire.
Quanto rapidamente il router blocca un attacco?
Entro due secondi. Il router esporta campioni sFlow, FastNetMon rileva l'anomalia rispetto alle soglie configurate e invia una regola FlowSpec o una route RTBH tramite BGP, che il router applica in hardware. Durante l'attacco non serve alcun intervento manuale.
Quando usare RTBH invece di FlowSpec?
Usa FlowSpec quando puoi descrivere l'attacco, così vengono scartati solo i flussi dell'attacco. Usa RTBH per un flood che minaccia i tuoi link: ogni pacchetto destinato al bersaglio va verso una null route, compreso il traffico legittimo, finché la route non viene ritirata. A partire da OcNOS 7.0, FlowSpec copre IPv4 e gli attacchi IPv6 si gestiscono con RTBH.
Cosa succede se FastNetMon si arresta?
La sessione BGP verso il router scade allo scadere dell'hold timer, 90 secondi per impostazione predefinita, e il router ritira le regole di mitigazione attive. Il traffico torna al suo percorso normale. Per l'alta disponibilità, esegui più di un'istanza di FastNetMon sulla stessa telemetria.
Quali router applicano BGP FlowSpec e RTBH?
Tutte le 26 piattaforme OcNOS-SP supportano BGP FlowSpec e RTBH. Sui router fisici, un solo comando hardware-profile delega le regole FlowSpec all'ASIC. Verifica ogni modello nella OcNOS Feature Matrix.
FastNetMon fa parte di OcNOS?
No. FastNetMon è un prodotto partner che viene eseguito come macchina virtuale ed è supportato da FastNetMon. IP Infusion fornisce e supporta i router che esportano la telemetria e applicano le regole, e pubblica la guida al deployment.

Pianifica la mitigazione DDoS per il tuo edge.

Mappiamo il tuo edge di peering e transito, la policy FlowSpec e RTBH e i router OcNOS-SP che la applicano.

Prenota una revisione dell'architettura Elenco di compatibilità hardware