在您的邊緣路由器上實現 BGP FlowSpec DDoS 緩解

IP Infusion 在您的邊緣路由器上提供 DDoS 緩解：OcNOS-SP 以 sFlow 對流量進行取樣，從 FastNetMon 偵測器接收 BGP FlowSpec 與 RTBH 規則，並在兩秒內以硬體丟棄攻擊流量或對其限速，不需將流量轉送至清洗中心。

預約架構評估 取得 DDoS 解決方案簡介
<2 s從偵測到緩解
26支援 BGP FlowSpec 的 OcNOS-SP 平台
600+家業者採用 OcNOS

邊緣路由器如何阻擋攻擊

邊緣路由器將 sFlow 取樣傳送至 FastNetMon。當傳往某台主機的流量超過設定的門檻值時，FastNetMon 透過 BGP 向路由器傳送緩解規則，由路由器在硬體中執行。規則可以只比對攻擊流，也可以涵蓋傳往該主機的所有流量。

同一次攻擊，兩種阻擋方式

執行 OcNOS-SP 的邊緣路由器將 sFlow 傳送至 FastNetMon，透過 BGP 接收 FlowSpec 規則或 RTBH 路由，並丟棄攻擊流量或對其限速 FastNetMon偵測，合作夥伴產品 sFlow 取樣 透過 BGP 傳送 FlowSpec 規則 透過 BGP 傳送 RTBH 路由 網際網路轉接與對等互連 邊緣路由器OcNOS-SP在硬體中執行 目標主機您的客戶 路由撤回前無法連線 清洗後流量 攻擊流量 遙測

FlowSpec 只丟棄攻擊流。 規則比對攻擊流量，路由器在硬體中將其丟棄或限速，傳往該主機的其他流量則照常傳輸。

示意圖。

已與 FastNetMon 逐步測試

IP Infusion 部署指南已在 OcNOS 7.0.0 與 FastNetMon 2.0.367 及更新版本上完成測試，內容涵蓋 sFlow 匯出、BGP 工作階段、FlowSpec 與 RTBH、門檻值以及容錯移轉。

FastNetMon 以虛擬機器形式運作，由 FastNetMon 提供支援。若其停止運作，BGP 工作階段將逾時，路由器隨即撤回其規則，流量回到正常路徑。

取得部署指南 →

邊緣路由器執行的防護

全部 26 個 OcNOS-SP 平台皆支援 BGP FlowSpec 與 RTBH，路由器本身也提供多項防護功能。

能力它的作用適用範圍
BGP FlowSpec透過 BGP 從偵測器接收過濾規則並安裝至硬體。動作為丟棄或限速。所有 OcNOS-SP
依 VRF 設定的 FlowSpec為每個租戶 VRF 設定獨立的 FlowSpec 政策所有 OcNOS-SP
RTBH來自偵測器的路由將目標指向空的下一跳，並附帶 IANA BLACKHOLE community所有 OcNOS-SP
sFlow以設定的速率對入向流量取樣，並以頻內方式傳送至收集器所有 OcNOS-SP
IPFIX可取代 sFlow 的流量匯出方式OcNOS-SP
uRPF，嚴格與寬鬆模式丟棄來源位址偽造的封包所有 OcNOS-SP
硬體 ACL可比對位址、通訊協定、連接埠、TCP 旗標、DSCP 與分段，並支援定時規則所有 OcNOS-SP
控制平面管制Configurable CoPP protects the router's own CPU特定平台
故障安全若偵測器停止運作，BGP 工作階段會在保持計時器到期後逾時，路由器隨即撤回其規則所有 OcNOS-SP

只需一道 hardware-profile 指令，即可將 FlowSpec 規則卸載至 ASIC。截至 OcNOS 7.0，FlowSpec 支援 IPv4；IPv6 攻擊請使用 RTBH。支援情況依平台而異，請查看 OcNOS 功能矩陣.

從檢測到緩解僅需數秒。

架構簡介與部署應用說明：既包含高層全景，也包含在 OcNOS 上配合 FastNetMon 配置 BGP Flowspec 和 RTBH 的分步配置。

BGP FlowSpec DDoS 緩解：OcNOS + FastNetMon

OcNOS-SP 邊緣路由器與 FastNetMon 如何透過 BGP FlowSpec 與 RTBH 偵測 DDoS 攻擊，並在兩秒內加以阻擋。

取得簡報

自動化 DDoS 緩解：部署指南

分步配置：BGP Flowspec 策略、RTBH 觸發、FastNetMon 與 OcNOS 整合，以及可即刻部署的參考方案。

獲取應用說明

執行防護的邊緣路由器

全部 26 個 OcNOS-SP 平台皆支援 BGP FlowSpec 與 RTBH。請依所要保護的邊緣選擇路由器。

UfiSpace S9510-28DC router

匯聚邊緣

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

都會與核心

Edgecore AS7946-30XB（AGR400）

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

都會邊緣

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

對等互連與轉接邊緣

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

凡列於 OcNOS 硬體相容性清單 並搭載 OcNOS-SP 的型號，皆可執行 FlowSpec 與 RTBH。

使用 OcNOS 進行 DDoS 緩解：常見問題

什麼是 BGP FlowSpec DDoS 緩解？
BGP FlowSpec（RFC 8955）在 BGP 中承載流量過濾規則。FastNetMon 等偵測器會通告與攻擊相符的規則，OcNOS-SP 路由器將其安裝至硬體，並丟棄相符的封包或對其限速。傳往同一主機的其他流量則照常傳輸。
路由器能多快阻擋攻擊？
兩秒以內。路由器匯出 sFlow 取樣，FastNetMon 依據設定的門檻值偵測異常，並透過 BGP 傳送 FlowSpec 規則或 RTBH 路由，由路由器在硬體中執行。攻擊期間不需人工操作。
何時應使用 RTBH 而非 FlowSpec？
當您能描述攻擊特徵時，請使用 FlowSpec，如此只會丟棄攻擊流。當洪泛攻擊威脅您的鏈路時，請使用 RTBH：傳往目標的每個封包都會導向空路由，包括合法流量，直到該路由撤回為止。截至 OcNOS 7.0，FlowSpec 涵蓋 IPv4，IPv6 攻擊則以 RTBH 處理。
若 FastNetMon 停止運作會如何？
與路由器之間的 BGP 工作階段會在保持計時器（預設 90 秒）到期後逾時，路由器隨即撤回目前生效的緩解規則，流量回到正常路徑。若需要高可用性，可在同一份遙測資料上執行多個 FastNetMon 執行個體。
哪些路由器可執行 BGP FlowSpec 與 RTBH？
全部 26 個 OcNOS-SP 平台皆支援 BGP FlowSpec 與 RTBH。在實體路由器上，只需一道 hardware-profile 指令即可將 FlowSpec 規則卸載至 ASIC。請在 OcNOS 功能矩陣中查看各型號的支援情況。
FastNetMon 是 OcNOS 的一部分嗎？
不是。FastNetMon 是合作夥伴產品，以虛擬機器形式運作，由 FastNetMon 提供支援。IP Infusion 提供並支援匯出遙測資料與執行規則的路由器，並發布部署指南。

為您的邊緣規劃 DDoS 緩解。

我們會梳理您的對等互連與轉接邊緣、FlowSpec 與 RTBH 政策，以及執行該政策的 OcNOS-SP 路由器。

預約架構評估 硬體相容性清單