Ir al contenido principal

Servicios de activación remota de agujeros negros

El filtrado RTBH (Remotely Triggered Black Hole) es una función autogestionada que le permite bloquear el tráfico innecesario antes de que entre en la red protegida Equinix Internet Exchange (IX). RTBH le protege de los ataques de denegación de servicio distribuido (DDoS).

  • Equinix proporciona a Black Hole Host la dirección IP .240 (en APAC), o .253 (en AMER y EMEA) en la subred IX con la dirección mac 0050.56bb.bbbb.

  • Todo el tráfico unicast hacia el Host Black Hole es denegado en los puertos de cara al cliente (por ACL de dirección mac).

Para que el filtrado surta efecto, el anuncio de Black Hole debe ser aceptado por otros socios peering. Los participantes peering pueden aceptar los prefijos con longitud de prefijo = 32 y comunidad BGP 65535:666. La participación en la función RTBH es opcional.

Información sobre el anfitrión​

AMER​

MetroIPv4 AddressIPv6 AddressMac Address
Atlanta198.32.182.2532001:504:10::2:4115:253dead:dead:dead
Chicago208:115:137.2532001:504:0::2:4115:253dead:dead:dead
Dallas206.223.118.2532001:504:0::2:4115:253dead:dead:dead
Washington DC206.126.239.2532001:504:0::2:4115:253dead:dead:dead
VA198.32.190.2532001:504:e::2:4115:253dead:dead:dead
Denver198.32.114.2532001:504:0::2:4115:253dead:dead:dead
Houston198.32.135.2532001:504:0::2:4115:253dead:dead:dead
Los Angeles206.223.123.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.242.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.114.2532001:504:0::2:4115:253dead:dead:dead
New York198.32.118.2532001:504:f::2:4115:253dead:dead:dead
Seattle198.32.134.2532001:504:12::2:4115:253dead:dead:dead
Silicon Valley206.223.117.2532001:504:0::2:4115:253dead:dead:dead
Portland198.32.176.2532001:504:d::2:4115:253dead:dead:dead
Toronto198.32.181.2532001:504:d::2:4115:253dead:dead:dead
São Paulo64.191.232.2532001:504:0:7:0:2:4115:253dead:dead:dead

APAC​

MetroIPv4 AddressIPv6 AddressMAC Address
Hong Kong119.27.63.2402001:de8:7::2:4115:2400050.56bb.bbbb
Melbourne183.177.61.2402001:de8:6:1:0:2:4115:2400050.56bb.bbbb
Osaka203.190.227.2402001:de8:5:1:0:2:4115:2400050.56bb.bbbb
Perth101.97.43.2402001:de8:6:2:0:2:4115:2400050.56bb.bbbb
Singapore27.111.231.2402001:de8:4::2:4115:2400050.56bb.bbbb
Sydney45.127.175.2402001:de8:6::2:4115:2400050.56bb.bbbb
Tokyo203.190.230.2402001:de8:5::2:4115:2400050.56bb.bbbb

EMEA​

MetroIPv4 AddressIPv6 AddressMAC Address
Amsterdam185.1.112.2532001:7f8:83::2:4115:253dead:dead:dead
Dublin185.1.109.2532001:7f8:c3::2:4115:253dead:dead:dead
Frankfurt185.1.102.2532001:7f8:bd::2:4115:253dead:dead:dead
Geneva192.65.185.2532001:7f8:1c:24a::2:4115:253dead:dead:dead
Helsinki185.1.86.2532001:7f8:af:0::2:4115:253dead:dead:dead
London185.1.104.2532001:7f8:be::2:4115:253dead:dead:dead
Lisbon185.1.116.2532001:7f8:c7::2:4115:253dead:dead:dead
Manchester185.1.101.2532001:7f8:bc::2:4115:253dead:dead:dead
Madrid185.1.22.2532001:7f8:c6::2:4115:253dead:dead:dead
Milan185.1.106.2532001:7f8:c0::2:4115:253dead:dead:dead
Paris195.42.144.2532001:7f8:43:0::2:4115:253dead:dead:dead
Stockholm185.1.107.2532001:7f8:c1::2:4115:253dead:dead:dead
Zurich194.42.48.2532001:7f8:c:8235::2:4115:253dead:dead:dead

Otras comunidades BGP soportadas​

Es necesario iniciar sesión.

DefinitionCommunity String
Default Open Policy – Announce to all except to AS1234524115:24115 0:12345
Default Closed Policy – Announce to none except to AS123450:24115 24115:12345
Prepend once to AS1234565501:12345
Prepend twice to AS1234565502:12345
Prepend three times to AS1234565503:12345
Black Hole Traffic65535:666

Ataques distribuidos de denegación de servicio​

El ataque de Denegación de Servicio Distribuido (DDoS) causa la interrupción de los servicios debido al tráfico entrante innecesario en su puerto. El filtrado RTBH puede ayudar a liberar la utilización del puerto de este tráfico innecesario.

Para liberar la utilización de puertos, el servidor de rutas MLPE de Equinix inserta una ruta BGP en la red que obliga a los routers a detener todo el tráfico hacia el Black Hole Host con direcciones IP y MAC predefinidas.

Antes de que comience el ataque DDoS​

  1. Establecer peering BGP a servidores de rutas MLPE a través de la subred de peering MLPE IX. Puede anunciar su prefijo 1.1.1.0/24 a los servidores de rutas MLPE.
  2. Los servidores de rutas MLPE vuelven a anunciar su prefijo a otros participantes del peering.
  3. El siguiente salto para alcanzar el prefijo 1.1.1.0/24 es .100 que es su dirección IP de peering.

Cuando comienza el ataque DDoS​

  1. Hay un tráfico de ataque DDoS hacia el servidor 1.1.1.1.

  2. Su puerto se inunda de tráfico entrante causando interrupciones en todos los servicios de producción.

  3. Libera la utilización del puerto deteniendo el tráfico hacia 1.1.1.1.

Mitigación de riesgos DDoS​

Para mitigar el riesgo de ataques DDoS:

Fase 1 de mitigación​

  1. Anuncia 1.1.1.1/32 con la comunidad BGP 65535:666 de Black Hole.

  2. Los servidores de rutas MLPE modifican estos anuncios de prefijo (etiquetados con 65535:666) con next-hop a .240 (en APAC) o .253 (en AMER y EMEA), y vuelven a anunciar el mismo prefijo a otros participantes de peering.

Fase 2 de mitigación​

  1. Los socios de peering empiezan a resolver la dirección IP de siguiente salto .240 (en APAC) o .253 (en AMER y EMEA) para llegar a 1.1.1.1.

  2. El host Black Hole responde con un ARP con la dirección mac 0050.56bb.bbbb.

Éxito de la mitigación​

  1. El tráfico de ataque con next-hop .240 (en APAC) o .253 (en AMER y EMEA) es detenido por la lista de acceso entrante del switch Equinix IX.

  2. Se mitiga el ataque DDoS que atraviesa el puerto de su conmutador.

¿Fue útil esta página?