エッジルーターで実現する BGP FlowSpec による DDoS 緩和

IP Infusion は、お客様のエッジルーター上で DDoS 緩和を実現します。OcNOS-SP は sFlow でトラフィックをサンプリングし、FastNetMon の検知システムから BGP FlowSpec および RTBH ルールを受け取り、トラフィックをスクラビングセンターへ迂回させることなく、2 秒以内に攻撃をハードウェアで破棄またはレート制限します。

アーキテクチャレビューをご予約ください DDoS ソリューションブリーフを入手
<2 s検知から緩和まで
26BGP FlowSpec 対応の OcNOS-SP プラットフォーム
900+OcNOS を運用する事業者

エッジルーターが攻撃を阻止する仕組み

エッジルーターは sFlow サンプルを FastNetMon に送信します。あるホスト宛てのトラフィックが設定したしきい値を超えると、FastNetMon は BGP 経由で緩和ルールをルーターに送信し、ルーターはそれをハードウェアで適用します。ルールは攻撃フローのみ、またはホスト宛てのすべてのトラフィックを対象にできます。

同じ攻撃を止める 2 つの方法

OcNOS-SP を実行するエッジルーターが FastNetMon に sFlow を送信し、BGP で FlowSpec ルールまたは RTBH ルートを受け取り、攻撃を破棄またはレート制限します FastNetMon検知（パートナー製品） sFlow サンプル BGP で FlowSpec ルール BGP で RTBH ルート インターネットトランジットとピアリング エッジルーターOcNOS-SPハードウェアで適用 対象ホスト貴社の顧客 ルート撤回まで到達不能 正常なトラフィック 攻撃トラフィック テレメトリ

FlowSpec は攻撃フローのみを破棄します。 ルールが攻撃に一致し、ルーターはそれをハードウェアで破棄またはレート制限します。その間も、ホスト宛てのその他のトラフィックは流れ続けます。

説明用の図です。

FastNetMon で検証済みの手順

IP Infusion の導入ガイドは、OcNOS 7.0.0 と FastNetMon 2.0.367 以降で検証されています。sFlow エクスポート、BGP セッション、FlowSpec と RTBH、しきい値、フェイルオーバーについて説明しています。

FastNetMon は仮想マシンとして動作し、サポートは FastNetMon が提供します。FastNetMon が停止すると BGP セッションがタイムアウトし、ルーターはルールを撤回するため、トラフィックは通常の経路に戻ります。

導入ガイドを入手 →

エッジルーターが適用する機能

26 の OcNOS-SP プラットフォームすべてが BGP FlowSpec と RTBH をサポートし、ルーター自身の保護機能も備えています。

機能その働き対応範囲
BGP FlowSpec検知システムから BGP でフィルタールールを受け取り、ハードウェアにインストールします。アクションは破棄またはレート制限です。すべての OcNOS-SP
VRF ごとの FlowSpecテナント VRF ごとに個別の FlowSpec ポリシーすべての OcNOS-SP
RTBH検知システムからのルートが、IANA BLACKHOLE コミュニティを付けて対象をヌルネクストホップに向けますすべての OcNOS-SP
sFlow設定したレートで受信トラフィックをサンプリングし、インバンドでコレクターに送信しますすべての OcNOS-SP
IPFIXsFlow の代替となるフローエクスポートOcNOS-SP
uRPF（ストリクトとルーズ）送信元アドレスを詐称したパケットを破棄しますすべての OcNOS-SP
ハードウェア ACLアドレス、プロトコル、ポート、TCP フラグ、DSCP、フラグメントで照合し、時間指定ルールにも対応すべての OcNOS-SP
コントロールプレーンポリシングConfigurable CoPP protects the router's own CPU一部のプラットフォーム
フェイルセーフ検知システムが停止すると、BGP セッションはホールドタイマー経過後にタイムアウトし、ルーターはルールを撤回しますすべての OcNOS-SP

hardware-profile コマンド 1 つで FlowSpec ルールを ASIC にオフロードします。OcNOS 7.0 時点で FlowSpec は IPv4 に対応しており、IPv6 の攻撃には RTBH を使用します。対応状況はプラットフォームにより異なります。詳しくは次をご確認ください： OcNOS 機能マトリクス.

検知から緩和まで数秒。

アーキテクチャ概要とデプロイメントアプリケーションノート：高レベルの全体像に加え、FastNetMonと連携したOcNOS上のBGP FlowspecおよびRTBHの段階的な設定手順。

BGP FlowSpec による DDoS 緩和：OcNOS + FastNetMon

OcNOS-SP エッジルーターと FastNetMon が、BGP FlowSpec と RTBH で DDoS 攻撃を検知し、2 秒以内に阻止する仕組みを解説します。

概要資料を入手

自動 DDoS 緩和：導入ガイド

ステップバイステップの構成：BGP Flowspecポリシー、RTBHトリガー、FastNetMonとOcNOSの統合、すぐに導入可能なリファレンス。

アプリケーションノートを入手

適用を担うエッジルーター

BGP FlowSpec と RTBH は 26 の OcNOS-SP プラットフォームすべてでサポートされています。保護するエッジに合わせてルーターを選択してください。

UfiSpace S9510-28DC router

アグリゲーションエッジ

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

メトロおよびコア

Edgecore AS7946-30XB（AGR400）

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

メトロエッジ

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

ピアリングおよびトランジットエッジ

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

OcNOS-SP 搭載時、 OcNOSハードウェア互換性リスト に掲載のすべてのモデルで FlowSpec と RTBH を適用できます。

OcNOS による DDoS 緩和：よくある質問

BGP FlowSpec による DDoS 緩和とは何ですか?
BGP FlowSpec（RFC 8955）は、トラフィックフィルタールールを BGP で伝送します。FastNetMon などの検知システムが攻撃に一致するルールをアドバタイズし、OcNOS-SP ルーターがそれをハードウェアにインストールして、一致するパケットを破棄またはレート制限します。同じホスト宛てのその他のトラフィックは流れ続けます。
ルーターはどのくらいの速さで攻撃を阻止しますか?
2 秒以内です。ルーターが sFlow サンプルをエクスポートし、FastNetMon が設定したしきい値に基づいて異常を検知し、BGP で FlowSpec ルールまたは RTBH ルートを送信します。ルーターはそれをハードウェアで適用します。攻撃中に手動で操作する必要はありません。
FlowSpec ではなく RTBH を使うべきなのはどのような場合ですか?
攻撃の特徴を記述できる場合は FlowSpec を使用し、攻撃フローのみを破棄します。リンクを圧迫するフラッド攻撃には RTBH を使用します。この場合、ルートが撤回されるまで、正規のトラフィックを含め対象宛てのすべてのパケットがヌルルートに送られます。OcNOS 7.0 時点で FlowSpec は IPv4 に対応しており、IPv6 の攻撃は RTBH で対処します。
FastNetMon が停止した場合はどうなりますか?
ルーターとの BGP セッションがホールドタイマー（デフォルトは 90 秒）でタイムアウトし、ルーターは有効な緩和ルールを撤回します。トラフィックは通常の経路に戻ります。高可用性が必要な場合は、同じテレメトリで複数の FastNetMon インスタンスを実行してください。
BGP FlowSpec と RTBH を適用できるルーターはどれですか?
26 の OcNOS-SP プラットフォームすべてが BGP FlowSpec と RTBH をサポートしています。物理ルーターでは、hardware-profile コマンド 1 つで FlowSpec ルールを ASIC にオフロードします。各モデルの対応状況は OcNOS 機能マトリクスでご確認ください。
FastNetMon は OcNOS に含まれていますか?
いいえ。FastNetMon はパートナー製品で、仮想マシンとして動作し、サポートは FastNetMon が提供します。IP Infusion は、テレメトリをエクスポートしルールを適用するルーターを提供・サポートし、導入ガイドを公開しています。

エッジの DDoS 緩和を計画しましょう。

ピアリングおよびトランジットエッジ、FlowSpec と RTBH のポリシー、それを適用する OcNOS-SP ルーターを整理します。

アーキテクチャレビューをご予約ください ハードウェア互換性リスト