Is e an artaigil seo an ceathramh san t-sreath “Mar a ghabhas thu smachd air a’ bhun-structar lìonra agad. ” Gheibhear susbaint a h-uile artaigil san t-sreath agus ceanglaichean .
В Anns a’ chaibideil seo, choimhead sinn air cuid de thaobhan de thèarainteachd lìonra ann an roinn an Ionaid Dàta. Bidh am pàirt seo coisrigte don roinn “Internet Access”.
eadar-lìon
Chan eil teagamh nach e cuspair tèarainteachd aon de na cuspairean as iom-fhillte ann an saoghal lìonraidhean dàta. Mar a thachair ann an cùisean roimhe, gun a bhith a 'tagradh doimhneachd agus iomlanachd, beachdaichidh mi an seo gu math sìmplidh, ach, nam bheachd-sa, ceistean cudromach, a chuidicheas na freagairtean dhaibh, tha mi an dòchas, ag àrdachadh ìre tèarainteachd an lìonra agad.
Nuair a bhios tu a’ sgrùdadh na roinne seo, thoir aire do na taobhan a leanas:
- dealbhadh
- Roghainnean BGP
- Dìon DOS/DDOS
- sìoladh trafaic air a’ bhalla-teine
dealbhadh
Mar eisimpleir de dhealbhadh na h-earrainn seo airson lìonra iomairt, bhithinn a’ moladh bho Cisco taobh a-staigh .
Gu dearbh, is dòcha gum bi fuasgladh luchd-reic eile a ’coimhead nas tarraingiche dhut (faic. ), ach gun a bhith gad bhrosnachadh gus an dealbhadh seo a leantainn gu mionaideach, tha e fhathast feumail dhomh na prionnsapalan agus na beachdan air a chùlaibh a thuigsinn.
Nota
Ann an SAFE, tha an roinn "Ruigsinneachd Iomallach" mar phàirt den roinn "Internet Access". Ach anns an t-sreath artaigilean seo beachdaichidh sinn air leth.
Is e an seata uidheamachd àbhaisteach san roinn seo airson lìonra iomairt
- routers crìochan
- ballachan-teine
Comharran 1
Anns an t-sreath artaigilean seo, nuair a bhios mi a 'bruidhinn mu bhallachan teine, tha mi a' ciallachadh .
Comharran 2
Bidh mi a’ fàgail a-mach beachdachadh air diofar sheòrsaichean de L2/L1 no ath-chòmhdach L2 thairis air fuasglaidhean L3 a tha riatanach gus dèanamh cinnteach à ceangal L1/L2 agus mi fhìn a chuingealachadh a-mhàin ri cùisean aig ìre L3 agus gu h-àrd. Gu ìre, chaidh cùisean L1/L2 a dheasbad sa chaibideil “".
Mura h-eil thu air balla-teine a lorg san roinn seo, cha bu chòir dhut cabhag gu co-dhùnaidhean.
Dèanamaid an aon rud mar a tha ann an Feuch an tòisich sinn leis a’ cheist: a bheil e riatanach balla-teine a chleachdadh san roinn seo nad chùis?
Is urrainn dhomh a ràdh gu bheil e coltach gur e seo an t-àite as reusanta airson ballachan teine a chleachdadh agus algoirmean sìolaidh trafaic iom-fhillte a chuir an sàs. ANNS Thug sinn iomradh air 4 factaran a dh’ fhaodadh bacadh a chuir air cleachdadh ballachan teine ann an roinn an ionaid dàta. Ach an seo chan eil iad cho cudromach tuilleadh.
Eisimpleir 1. Dàil
A thaobh an eadar-lìn, chan eil feum sam bith a bhith a’ bruidhinn mu dheidhinn dàil eadhon timcheall air 1 millisecond. Mar sin, chan urrainn don dàil san roinn seo a bhith na fheart a tha a’ cuingealachadh cleachdadh a’ bhalla-teine.
Eisimpleir 2. Coileanadh
Ann an cuid de chùisean dh’ fhaodadh am bàillidh seo a bhith cudromach fhathast. Mar sin, is dòcha gum feum thu beagan trafaic (mar eisimpleir, trafaic bho luchd-cothromachaidh luchdan) a dhol seachad air a’ bhalla-teine.
Eisimpleir 3. Fiachan
Feumar aire a thoirt don fhactar seo fhathast, ach fhathast, leis cho neo-earbsach sa tha an eadar-lìn fhèin, chan eil cho cudromach sa tha e don roinn seo cho cudromach ris an ionad dàta.
Mar sin, gabhamaid ris gu bheil an t-seirbheis agad a’ fuireach a bharrachd air http/https (le seiseanan goirid). Anns a 'chùis seo, faodaidh tu dà bhogsa neo-eisimeileach a chleachdadh (gun HA) agus ma tha duilgheadas slighe ann le aon dhiubh, gluais an trafaig gu lèir chun an dàrna fear.
No faodaidh tu ballachan teine a chleachdadh ann am modh follaiseach agus, ma dh'fhàilligeas iad, leig le trafaig a dhol seachad air a 'bhalla-teine fhad' sa tha iad a 'fuasgladh na duilgheadas.
Mar sin, as coltaiche dìreach a 'phrìs is dòcha gur e seo am bàillidh a bheir ort cleachdadh ballachan-teine san roinn seo a leigeil seachad.
Cudromach!
Tha buaireadh ann am balla-teine seo a chur còmhla ri balla-teine an ionad dàta (cleachd aon bhalla-teine airson na roinnean sin). Tha am fuasgladh, ann am prionnsabal, comasach, ach feumaidh tu sin a thuigsinn oir Tha balla-teine Internet Access aig fìor thoiseach do dhìon agus “a’ gabhail os làimh ”co-dhiù cuid den trafaic droch-rùnach, an uairsin, gu dearbh, feumaidh tu aire a thoirt don chunnart nas motha gum bi am balla-teine seo ciorramach. Is e sin, le bhith a’ cleachdadh na h-aon innealan anns an dà roinn seo, lùghdaichidh tu gu mòr na tha ri fhaighinn den roinn ionad dàta agad.
Mar as àbhaist, feumaidh tu tuigsinn gum faod dealbhadh na roinne seo atharrachadh gu mòr a rèir na seirbheis a tha a ’chompanaidh a’ toirt seachad. Mar as àbhaist, faodaidh tu diofar dhòighean-obrach a thaghadh a rèir na feumalachdan agad.
Eisimpleir:
Ma tha thu nad sholaraiche susbaint, le lìonra CDN (faic, mar eisimpleir, ), an uairsin is dòcha nach eil thu airson bun-structar a chruthachadh thairis air dusanan no eadhon ceudan de phuingean làthaireachd a’ cleachdadh innealan air leth airson trafaic a stiùireadh agus a shìoladh. Bidh e daor, agus faodaidh e a bhith dìreach gun fheum.
Airson BGP chan fheum thu routers sònraichte a bhith agad, faodaidh tu innealan stòr fosgailte a chleachdadh mar . Mar sin is dòcha nach eil agad ach frithealaiche no grunn luchd-frithealaidh, suidse agus BGP.
Anns a 'chùis seo, faodaidh an t-seirbheisiche agad no grunn luchd-frithealaidh a bhith a' cluich chan e a-mhàin frithealaiche CDN, ach cuideachd router. Gu dearbh, tha tòrr mion-fhiosrachaidh ann fhathast (leithid mar a nì thu cinnteach à cothromachadh), ach tha e do-dhèanta, agus is e dòigh-obrach a tha sinn air a chleachdadh gu soirbheachail airson aon de na com-pàirtichean againn.
Faodaidh grunn ionadan dàta a bhith agad le làn dhìon (ballachan-teine, seirbheisean dìon DDOS air an toirt seachad leis na solaraichean eadar-lìn agad) agus dusanan no ceudan de phuingean làthaireachd “sìmplidh” le dìreach suidsichean L2 agus frithealaichean.
Ach dè mu dheidhinn an dìon sa chùis seo?
Bheir sinn sùil, mar eisimpleir, air an fheadhainn a bha mòr-chòrdte o chionn ghoirid . Tha an cunnart na laighe leis gu bheil tòrr trafaic air a chruthachadh, a tha dìreach “a’ gleusadh ”100% de na ceanglaichean suas agad.
Ciod a th' againn a thaobh ar dealbhachaidh.
- ma chleachdas tu AnyCast, tha an trafaic air a chuairteachadh eadar na puingean làthaireachd agad. Mas e terabits an leud-bann iomlan agad, tha seo ann fhèin ann an da-rìribh (ge-tà, o chionn ghoirid tha grunn ionnsaighean air a bhith ann le trafaic droch-rùnach air òrdugh terabits) gad dhìon bho cheanglaichean “cur thairis”
- Ma tha, ge-tà, gu bheil cuid de cheanglaichean suas air am bacadh, cha leig thu leas ach an làrach seo a thoirt air falbh bhon t-seirbheis (stad a chuir air sanasachd an ro-leasachan)
- faodaidh tu cuideachd an roinn trafaic a thèid a chuir bho na h-ionadan dàta “làn” agad (agus, a rèir sin, dìon) àrdachadh, mar sin a’ toirt air falbh pàirt chudromach de thrafaig droch-rùnach bho phuingean làthaireachd gun dìon.
Agus aon nota beag eile don eisimpleir seo. Ma chuireas tu trafaic gu leòr tro IXn, bidh seo cuideachd a’ lughdachadh do chugallachd ri ionnsaighean mar sin
A 'stèidheachadh BGP
Tha dà chuspair an seo.
- Ceangalachd
- A 'stèidheachadh BGP
Tha sinn mu thràth air bruidhinn beagan mu dheidhinn ceanglaichean ann . Is e an t-amas dèanamh cinnteach gu bheil trafaic don luchd-ceannach agad a’ leantainn na slighe as fheàrr. Ged nach eil optimality an-còmhnaidh dìreach mu dheidhinn latency, mar as trice is e latency ìosal am prìomh chomharradh air optimality. Airson cuid de chompanaidhean tha seo nas cudromaiche, airson cuid eile tha e nas lugha. Tha e uile an urra ris an t-seirbheis a bheir thu seachad.
Mar eisimpleir 1
Ma tha thu nad neach-iomlaid, agus gu bheil amannan nas lugha na milliseconds cudromach don luchd-dèiligidh agad, an uairsin, gu dearbh, chan urrainn bruidhinn mu sheòrsa sam bith de eadar-lìn idir.
Mar eisimpleir 2
Mas e companaidh cluichidh a th’ annad agus gu bheil deichean de mhillean-seconds cudromach dhut, an uairsin, gu dearbh, tha ceangal glè chudromach dhut.
Mar eisimpleir 3
Feumaidh tu cuideachd tuigsinn, air sgàth feartan protocol TCP, gu bheil an ìre gluasad dàta taobh a-staigh aon seisean TCP cuideachd an urra ri RTT (Round Trip Time). Thathas cuideachd a’ togail lìonraidhean CDN gus an duilgheadas seo fhuasgladh le bhith a’ gluasad frithealaichean cuairteachaidh susbaint nas fhaisge air neach-cleachdaidh an t-susbaint seo.
Tha sgrùdadh ceangail na chuspair inntinneach ann fhèin, a tha airidh air an artaigil no an t-sreath artaigilean aige fhèin, agus tha feum air tuigse mhath air mar a tha an eadar-lìn “ag obair.”
Goireasan feumail:
Eisimpleir:
Bheir mi dìreach aon eisimpleir bheag.
Gabhamaid ris gu bheil an ionad dàta agad ann am Moscow, agus gu bheil aon uplink agad - Rostelecom (AS12389). Anns a 'chùis seo (dachaigh singilte) chan fheum thu BGP, agus tha e coltach gum bi thu a' cleachdadh an amar seòlaidh bho Rostelecom mar sheòlaidhean poblach.
Gabhamaid ris gu bheil thu a 'toirt seachad seirbheis shònraichte, agus gu bheil àireamh gu leòr de luchd-dèiligidh agad às an Úcráin, agus bidh iad a' gearan mu dàil fhada. Rè an rannsachaidh agad, fhuair thu a-mach gu bheil na seòlaidhean IP aig cuid dhiubh anns a’ ghriod 37.52.0.0/21.
Le bhith a’ ruith traceroute, chunnaic thu gu robh an trafaic a’ dol tro AS1299 (Telia), agus le bhith a’ ruith ping, fhuair thu RTT cuibheasach de 70 - 80 milliseconds. Chì thu seo cuideachd aig .
A’ cleachdadh a’ ghoireas whois (air ripe.net no goireas ionadail), faodaidh tu faighinn a-mach gu furasta gur ann le AS37.52.0.0 (Ukrtelecom) a tha am bloc 21/6849.
Air adhart, le bhith a 'dol gu chì thu nach eil dàimh sam bith aig AS6849 ri AS12389 (chan eil iad nan luchd-dèiligidh no nan ceanglaichean ri chèile, agus chan eil sùil aca). Ach ma choimheadas tu air airson AS6849, chì thu, mar eisimpleir, AS29226 (Mastertel) agus AS31133 (Megafon).
Cho luath ‘s a lorgas tu glainne seallaidh nan solaraichean sin, faodaidh tu coimeas a dhèanamh eadar an t-slighe agus RTT. Mar eisimpleir, airson Mastertel RTT bidh timcheall air 30 milliseconds.
Mar sin, ma tha an eadar-dhealachadh eadar 80 agus 30 milliseconds cudromach don t-seirbheis agad, is dòcha gum feum thu smaoineachadh air ceangal, faigh an àireamh AS agad, an cruinneachadh seòlaidh agad bho RIPE agus ceangail ceanglaichean suas a bharrachd agus / no cruthaich puingean làthaireachd air IXn.
Nuair a chleachdas tu BGP, chan e a-mhàin gu bheil cothrom agad ceanglaichean a leasachadh, ach bidh thu cuideachd a’ cumail suas do cheangal eadar-lìn gun fheum.
tha molaidhean ann airson BGP a rèiteachadh. A dh’ aindeoin gun deach na molaidhean seo a leasachadh stèidhichte air “cleachdadh as fheàrr” luchd-solair, fhathast (mura h-eil na roghainnean BGP agad gu math bunaiteach) chan eil teagamh nach eil iad feumail agus gu dearbh bu chòir dhaibh a bhith mar phàirt den chruadhachadh air an do bhruidhinn sinn. .
Dìon DOS/DDOS
A-nis tha ionnsaighean DOS / DDOS air a thighinn gu bhith nam fìrinn làitheil dha mòran chompanaidhean. Gu dearbh, bidh ionnsaigh ort gu math tric ann an aon chruth no ann an dòigh eile. Leis nach do mhothaich thu fhathast tha seo a’ ciallachadh nach deach ionnsaigh chuimsichte a chuir air dòigh nad aghaidh fhathast, agus gu bheil na ceumannan dìon a chleachdas tu, eadhon is dòcha gun fhios agad (diofar dhìonan stèidhichte air siostaman obrachaidh), gu leòr dèan cinnteach gun tèid ìsleachadh na seirbheis a tha air a thoirt seachad a lughdachadh dhut fhèin agus don luchd-dèiligidh agad.
Tha goireasan eadar-lìn ann a bhios, stèidhichte air logaichean uidheamachd, a’ tarraing mhapaichean ionnsaigh breagha ann an àm fìor.
gheibh thu ceanglaichean riutha.
Is fheàrr leam bho CheckPoint.
Tha dìon an aghaidh DDOS/DOS mar as trice air a chòmhdach. Gus tuigsinn carson, feumaidh tu tuigsinn dè na seòrsaichean ionnsaighean DOS / DDOS a tha ann (faic, mar eisimpleir, no )
Is e sin, tha trì seòrsaichean ionnsaighean againn:
- ionnsaighean tomhas-lìonaidh
- ionnsaighean protocol
- ionnsaighean tagraidh
Mas urrainn dhut thu fhèin a dhìon bhon dà sheòrsa ionnsaigh mu dheireadh le bhith a ’cleachdadh, mar eisimpleir, ballachan teine, chan urrainn dhut thu fhèin a dhìon bho ionnsaighean a tha ag amas air“ faighinn thairis air ”na ceanglaichean suas agad (gu dearbh, mura h-eil do chomas iomlan de shianalan eadar-lìn air a thomhas ann an terabits, no nas fheàrr fhathast, ann an deichean terabit).
Mar sin, is e a’ chiad loidhne dìon dìon an aghaidh ionnsaighean “volummetric”, agus feumaidh do sholaraiche no solaraichean an dìon seo a thoirt dhut. Mura h-eil thu air seo a thuigsinn fhathast, tha thu dìreach fortanach airson a-nis.
Eisimpleir:
Canaidh sinn gu bheil grunn uplinks agad, ach chan urrainn ach aon de na solaraichean an dìon seo a thoirt dhut. Ach ma thèid an trafaic gu lèir tro aon sholaraiche, dè mu dheidhinn a’ cheangal air an do bhruidhinn sinn beagan na bu thràithe?
Anns a 'chùis seo, feumaidh tu pàirt a thoirt seachad ceangal rè an ionnsaigh. Ach
- chan eil seo ach fad an ionnsaigh. Ma thachras ionnsaigh, faodaidh tu BGP ath-dhealbhadh le làimh no gu fèin-ghluasadach gus nach tèid trafaic a-mhàin tron t-solaraiche a bheir dhut an “sgàilean”. Às deidh don ionnsaigh a bhith seachad, faodaidh tu an t-slighe a thilleadh chun staid a bh ’ann roimhe
- Chan eil e riatanach a h-uile trafaig a ghluasad. Ma chì thu, mar eisimpleir, nach eil ionnsaighean ann tro chuid de uplinks no peerings (no nach eil an trafaic cudromach), faodaidh tu leantainn air adhart a’ sanasachadh ro-leasachain le buadhan farpaiseach a dh’ ionnsaigh na nàbaidhean BGP sin.
Faodaidh tu cuideachd dìon bho “ionnsaighean pròtacal” agus “ionnsaighean tagraidh” a thiomnadh dha na com-pàirtichean agad.
an seo faodaidh tu deagh sgrùdadh a leughadh (). Fìor, tha an artaigil dà bhliadhna a dh'aois, ach bheir e beachd dhut air na dòighean-obrach air mar as urrainn dhut thu fhèin a dhìon bho ionnsaighean DDOS.
Ann am prionnsabal, faodaidh tu thu fhèin a chuingealachadh gu seo, a 'toirt a-mach do dhìon gu tur. Tha buannachdan ann don cho-dhùnadh seo, ach tha ana-cothrom follaiseach ann cuideachd. Is e an fhìrinn gun urrainn dhuinn bruidhinn (a-rithist, a rèir dè a bhios do chompanaidh a ’dèanamh) mu bhith beò sa ghnìomhachas. Agus earbsa a leithid de rudan ann an treas phàrtaidhean ...
Mar sin, leigamaid sùil air mar a chuireas tu an dàrna agus an treas loidhne dìon air dòigh (a bharrachd air dìon bhon t-solaraiche).
Mar sin, is e an dàrna loidhne dìon sìoladh agus luchd-cuingealachadh trafaic (poileisearan) aig beul do lìonra.
Mar eisimpleir 1
Gabhamaid ris gu bheil thu air do chòmhdach fhèin le sgàilean an aghaidh DDOS le cuideachadh bho aon de na solaraichean. Gabhamaid ris gu bheil an solaraiche seo a’ cleachdadh Arbor gus trafaic agus sìoltachain a shìoladh aig oir an lìonraidh aige.
Tha an leud-bann as urrainn dha Arbor “a phròiseasadh” cuibhrichte, agus chan urrainn don t-solaraiche, gu dearbh, a dhol seachad air trafaic a chom-pàirtichean gu lèir a bhios ag òrdachadh na seirbheis seo tro uidheamachd sìolaidh. Mar sin, fo chumhachan àbhaisteach, chan eil trafaic air a shìoladh.
Gabhamaid ris gu bheil ionnsaigh tuiltean SYN ann. Eadhon ged a dh’ òrduich thu seirbheis a thionndaidheas trafaic gu sìoladh gu fèin-ghluasadach ma thig ionnsaigh, cha tachair seo sa bhad. Airson mionaid no barrachd bidh thu fhathast fo ionnsaigh. Agus faodaidh seo leantainn gu fàiligeadh san uidheamachd agad no gun tèid an t-seirbheis a mhilleadh. Anns a ’chùis seo, le bhith a’ cuingealachadh trafaic aig an t-slighe iomall, ged a dh ’adhbhraicheas e nach tèid cuid de sheiseanan TCP a stèidheachadh rè na h-ùine seo, sàbhalaidh sin do bhun-structar bho dhuilgheadasan nas motha.
Mar eisimpleir 2
Is dòcha gu bheil àireamh anabarrach mòr de phasgan SYN chan ann a-mhàin mar thoradh air ionnsaigh tuiltean SYN. Gabhamaid ris gun toir thu seachad seirbheis anns am faod thu aig an aon àm mu 100 mìle ceangal TCP (gu aon ionad dàta).
Canaidh sinn, mar thoradh air duilgheadas geàrr-ùine le aon de na prìomh sholaraichean agad, gu bheil leth de na seiseanan agad air am breabadh. Ma tha an tagradh agad air a dhealbhadh ann an dòigh a tha, gun a bhith a’ smaoineachadh dà uair, sa bhad (no às deidh beagan ùine a tha an aon rud airson a h-uile seisean) a ’feuchainn ris a’ cheangal ath-stèidheachadh, gheibh thu co-dhiù 50 mìle pacaid SYN timcheall air. aig an aon àm.
Ma dh’ fheumas tu, mar eisimpleir, crathadh làimhe ssl / tls a ruith a bharrachd air na seiseanan sin, a tha a’ toirt a-steach iomlaid theisteanasan, an uairsin bho thaobh a bhith a’ lughdachadh ghoireasan airson do chothromachadh luchdan, bidh seo na “DDOS” tòrr nas làidire na rud sìmplidh. SYN tuil. Bhiodh e coltach gum bu chòir do luchd-cothromachaidh tachartasan mar seo a làimhseachadh, ach... gu mì-fhortanach, tha a leithid de dhuilgheadas romhainn.
Agus, gu dearbh, sàbhalaidh poileas air an router iomall an uidheamachd agad sa chùis seo cuideachd.
Is e an treas ìre de dhìon an aghaidh DDOS/DOS na roghainnean balla-teine agad.
An seo faodaidh tu stad a chuir air an dà chuid ionnsaighean den dàrna agus an treas seòrsa. San fharsaingeachd, faodar a h-uile dad a ruigeas am balla-teine a shìoladh an seo.
Tip
Feuch ri cho beag de dh’ obair ’s a ghabhas a thoirt don bhalla-teine, a’ sìoladh a-mach cho mòr ‘s as urrainn dhut air a’ chiad dà loidhne dìon. Agus air an adhbhar sin.
An do thachair e a-riamh dhut, le cothrom, fhad ‘s a tha thu a’ gineadh trafaic gus sgrùdadh a dhèanamh, mar eisimpleir, dè cho seasmhach ‘s a tha siostam obrachaidh an luchd-frithealaidh agad ri ionnsaighean DDOS, gun do“ mharbh thu” do bhalla-teine, ga luchdachadh gu 100 sa cheud, le trafaic aig dian àbhaisteach ? Mura h-eil, is dòcha gu bheil e dìreach air sgàth 's nach do dh'fheuch thu?
San fharsaingeachd, tha balla-teine, mar a thuirt mi, na rud iom-fhillte, agus tha e ag obair gu math le so-leòntachd aithnichte agus fuasglaidhean deuchainneach, ach ma chuireas tu rudeigin neo-àbhaisteach, dìreach beagan sgudal no pacaidean le cinn ceàrr, tha thu còmhla ri cuid, chan ann le coltachd cho beag (stèidhichte air an eòlas agam), faodaidh tu eadhon uidheamachd àrd-ìre a shàrachadh. Mar sin, aig ìre 2, le bhith a’ cleachdadh ACLS cunbhalach (aig ìre L3/L4), na leig ach trafaic a-steach don lìonra agad a bu chòir a dhol a-steach ann.
A’ sìoladh trafaic air a’ bhalla-teine
Leanaidh sinn leis a’ chòmhradh mun bhalla-teine. Feumaidh tu tuigsinn gur e dìreach aon seòrsa de ionnsaigh saidhbear a th’ ann an ionnsaighean DOS/DDOS.
A bharrachd air dìon DOS / DDOS, faodaidh rudeigin mar an liosta fheartan a leanas a bhith againn cuideachd:
- tagradh balla-teine
- casg bagairtean (antivirus, anti-spyware, agus so-leòntachd)
- Criathradh URL
- sìoladh dàta (sìoladh susbaint)
- bacadh fhaidhlichean (bacadh seòrsaichean faidhle)
Tha e an urra riut fhèin co-dhùnadh dè a dh’ fheumas tu bhon liosta seo.
Airson a leantainn
Source: www.habr.com