엣지 라우터에서 수행하는 BGP FlowSpec DDoS 완화

IP Infusion은 엣지 라우터에서 DDoS 완화를 제공합니다. OcNOS-SP는 sFlow로 트래픽을 샘플링하고, FastNetMon 탐지기로부터 BGP FlowSpec 및 RTBH 규칙을 받아, 트래픽을 스크러빙 센터로 우회시키지 않고 2초 이내에 하드웨어에서 공격을 드롭하거나 속도를 제한합니다.

아키텍처 리뷰 예약하기 DDoS 솔루션 브리프 받기
<2 s탐지부터 완화까지
26BGP FlowSpec 지원 OcNOS-SP 플랫폼
900+OcNOS 운영 사업자
최적 용도
스크러빙 센터 없이 자체 엣지 라우터에서 하드웨어로 DDoS 공격을 차단하는 사업자.
인증 기종
UfiSpace S9510-28DCEdgecore AS7946-30XBUfiSpace S9610-36D

엣지 라우터가 공격을 차단하는 방식

엣지 라우터는 sFlow 샘플을 FastNetMon으로 전송합니다. 특정 호스트로 향하는 트래픽이 설정된 임계값을 넘으면 FastNetMon이 BGP를 통해 라우터에 완화 규칙을 보내고, 라우터는 이를 하드웨어에서 적용합니다. 규칙은 공격 플로우만 매칭하거나, 해당 호스트로 전송되는 모든 트래픽을 매칭할 수 있습니다.

같은 공격, 두 가지 차단 방법

OcNOS-SP를 실행하는 엣지 라우터가 FastNetMon으로 sFlow를 보내고, BGP로 FlowSpec 규칙 또는 RTBH 경로를 받아 공격을 드롭하거나 속도를 제한합니다 FastNetMon탐지, 파트너 제품 sFlow 샘플 BGP로 FlowSpec 규칙 BGP로 RTBH 경로 인터넷트랜짓 및 피어링 엣지 라우터OcNOS-SP하드웨어에서 적용 대상 호스트귀사의 고객 경로 철회 시까지 도달 불가 정상 트래픽 공격 트래픽 텔레메트리

FlowSpec은 공격 플로우만 드롭합니다. 규칙이 공격과 매칭되면 라우터가 하드웨어에서 이를 폐기하거나 속도를 제한하며, 해당 호스트로 향하는 다른 트래픽은 계속 흐릅니다.

설명용 예시입니다.

FastNetMon으로 검증한 단계별 가이드

IP Infusion 도입 가이드는 OcNOS 7.0.0 및 FastNetMon 2.0.367 이상에서 테스트되었습니다. sFlow 내보내기, BGP 세션, FlowSpec과 RTBH, 임계값, 페일오버를 다룹니다.

FastNetMon은 가상 머신으로 실행되며 지원은 FastNetMon이 제공합니다. FastNetMon이 중지되면 BGP 세션이 타임아웃되고 라우터가 규칙을 철회하므로 트래픽은 정상 경로로 돌아갑니다.

도입 가이드 받기 →

엣지 라우터가 적용하는 기능

26개 OcNOS-SP 플랫폼 모두 BGP FlowSpec과 RTBH를 지원하며, 라우터 자체 보호 기능도 제공합니다.

기능기능적용 범위
BGP FlowSpec탐지기로부터 BGP로 필터 규칙을 받아 하드웨어에 설치합니다. 동작은 폐기 또는 속도 제한입니다.모든 OcNOS-SP
VRF별 FlowSpec테넌트 VRF마다 별도의 FlowSpec 정책모든 OcNOS-SP
RTBH탐지기에서 받은 경로가 IANA BLACKHOLE 커뮤니티와 함께 대상을 널 넥스트 홉으로 지정합니다모든 OcNOS-SP
sFlow설정된 비율로 수신 트래픽을 샘플링하여 인밴드로 컬렉터에 전송합니다모든 OcNOS-SP
IPFIXsFlow를 대체하는 플로우 내보내기OcNOS-SP
uRPF(strict 및 loose 모드)위조된 출발지 주소를 가진 패킷을 드롭합니다모든 OcNOS-SP
하드웨어 ACL주소, 프로토콜, 포트, TCP 플래그, DSCP, 프래그먼트 기준으로 매칭하며 시간 지정 규칙을 지원합니다모든 OcNOS-SP
컨트롤 플레인 폴리싱Configurable CoPP protects the router's own CPU일부 플랫폼
페일세이프탐지기가 중지되면 홀드 타이머 만료 후 BGP 세션이 타임아웃되고 라우터가 규칙을 철회합니다모든 OcNOS-SP

hardware-profile 명령 하나로 FlowSpec 규칙을 ASIC으로 오프로드합니다. OcNOS 7.0 기준으로 FlowSpec은 IPv4를 지원하며, IPv6 공격에는 RTBH를 사용합니다. 지원 여부는 플랫폼마다 다르므로 다음을 확인하십시오: OcNOS 기능 매트릭스.

수 초 내 탐지부터 완화까지.

아키텍처 개요와 도입 app note: 상위 수준의 큰 그림과 더불어 FastNetMon을 활용한 OcNOS의 BGP Flowspec 및 RTBH 단계별 구성 가이드를 제공합니다.

BGP FlowSpec DDoS 완화: OcNOS + FastNetMon

OcNOS-SP 엣지 라우터와 FastNetMon이 BGP FlowSpec과 RTBH로 DDoS 공격을 탐지하고 2초 이내에 차단하는 방식을 설명합니다.

브리프 받기

자동화된 DDoS 완화: 도입 가이드

단계별 구성: BGP Flowspec 정책, RTBH 트리거링, OcNOS와 FastNetMon 통합, 즉시 배포 가능한 레퍼런스.

애플리케이션 노트 받기

이를 적용하는 엣지 라우터

BGP FlowSpec과 RTBH는 26개 OcNOS-SP 플랫폼 모두에서 지원됩니다. 보호할 엣지에 맞춰 라우터를 선택하십시오.

UfiSpace S9510-28DC router

애그리게이션 에지

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

메트로 및 코어

Edgecore AS7946-30XB (AGR400)

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

메트로 에지

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

피어링 및 트랜짓 엣지

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

OcNOS-SP를 실행하는 경우 OcNOS 하드웨어 호환성 목록 에 등재된 모든 모델에서 FlowSpec과 RTBH를 적용할 수 있습니다.

OcNOS를 활용한 DDoS 완화: 자주 묻는 질문

BGP FlowSpec DDoS 완화란 무엇인가요?
BGP FlowSpec(RFC 8955)은 트래픽 필터 규칙을 BGP에 담아 전달합니다. FastNetMon과 같은 탐지기가 공격과 매칭되는 규칙을 광고하면, OcNOS-SP 라우터가 이를 하드웨어에 설치하고 매칭되는 패킷을 폐기하거나 속도를 제한합니다. 같은 호스트로 향하는 다른 트래픽은 계속 흐릅니다.
라우터는 얼마나 빨리 공격을 차단하나요?
2초 이내입니다. 라우터가 sFlow 샘플을 내보내면 FastNetMon이 설정된 임계값을 기준으로 이상을 탐지하고 BGP로 FlowSpec 규칙 또는 RTBH 경로를 전송하며, 라우터는 이를 하드웨어에서 적용합니다. 공격 중에 수동 조치가 필요하지 않습니다.
FlowSpec 대신 RTBH를 사용해야 하는 경우는 언제인가요?
공격을 특정할 수 있을 때는 FlowSpec을 사용해 공격 플로우만 드롭합니다. 링크를 위협하는 플러드 공격에는 RTBH를 사용합니다. 이 경우 경로가 철회될 때까지 정상 트래픽을 포함해 대상으로 향하는 모든 패킷이 널 경로로 보내집니다. OcNOS 7.0 기준으로 FlowSpec은 IPv4를 지원하며, IPv6 공격은 RTBH로 처리합니다.
FastNetMon이 중단되면 어떻게 되나요?
라우터와의 BGP 세션이 홀드 타이머(기본값 90초)에 따라 타임아웃되고, 라우터는 활성 완화 규칙을 철회합니다. 트래픽은 정상 경로로 돌아갑니다. 고가용성을 위해서는 동일한 텔레메트리로 둘 이상의 FastNetMon 인스턴스를 실행하십시오.
BGP FlowSpec과 RTBH를 적용하는 라우터는 무엇인가요?
26개 OcNOS-SP 플랫폼 모두 BGP FlowSpec과 RTBH를 지원합니다. 물리 라우터에서는 hardware-profile 명령 하나로 FlowSpec 규칙을 ASIC으로 오프로드합니다. 각 모델은 OcNOS 기능 매트릭스에서 확인하십시오.
FastNetMon은 OcNOS에 포함되어 있나요?
아니요. FastNetMon은 가상 머신으로 실행되는 파트너 제품이며 지원은 FastNetMon이 제공합니다. IP Infusion은 텔레메트리를 내보내고 규칙을 적용하는 라우터를 공급 및 지원하며, 도입 가이드를 게시합니다.

엣지를 위한 DDoS 완화를 계획하세요.

피어링 및 트랜짓 엣지, FlowSpec 및 RTBH 정책, 이를 적용할 OcNOS-SP 라우터를 함께 정리합니다.

아키텍처 리뷰 예약하기 하드웨어 호환성 목록