Skip to main content

Services de trous noirs déclenchés à distance

Le filtrage RTBH (Remotely Triggered Black Hole) est une fonction autogérée qui vous permet de bloquer le trafic inutile avant qu'il ne pénètre dans le réseau protégé d'Equinix Internet Exchange (IX). RTBH vous protège des attaques par déni de service distribué (DDoS).

  • Equinix fournit à Black Hole Host l'adresse IP .240 (en APAC), ou .253 (en AMER et EMEA) sur le sous-réseau IX avec l'adresse mac 0050.56bb.bbbb.

  • Tout le trafic de monodiffusion vers l'hôte du trou noir est refusé au niveau des ports orientés vers le client (par ACL d'adresse mac).

Pour que le filtrage soit effectif, l'annonce Black Hole doit être acceptée par les autres partenaires de peering. Les participants au peering peuvent accepter les préfixes dont la longueur est égale à 32 et la communauté BGP 65535:666. La participation à la fonctionnalité RTBH est facultative.

Informations sur l'hôte​

AMER​

MetroIPv4 AddressIPv6 AddressMac Address
Atlanta198.32.182.2532001:504:10::2:4115:253dead:dead:dead
Chicago208:115:137.2532001:504:0::2:4115:253dead:dead:dead
Dallas206.223.118.2532001:504:0::2:4115:253dead:dead:dead
Washington DC206.126.239.2532001:504:0::2:4115:253dead:dead:dead
VA198.32.190.2532001:504:e::2:4115:253dead:dead:dead
Denver198.32.114.2532001:504:0::2:4115:253dead:dead:dead
Houston198.32.135.2532001:504:0::2:4115:253dead:dead:dead
Los Angeles206.223.123.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.242.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.114.2532001:504:0::2:4115:253dead:dead:dead
New York198.32.118.2532001:504:f::2:4115:253dead:dead:dead
Seattle198.32.134.2532001:504:12::2:4115:253dead:dead:dead
Silicon Valley206.223.117.2532001:504:0::2:4115:253dead:dead:dead
Portland198.32.176.2532001:504:d::2:4115:253dead:dead:dead
Toronto198.32.181.2532001:504:d::2:4115:253dead:dead:dead
São Paulo64.191.232.2532001:504:0:7:0:2:4115:253dead:dead:dead

Asie-Pacifique​

MetroIPv4 AddressIPv6 AddressMAC Address
Hong Kong119.27.63.2402001:de8:7::2:4115:2400050.56bb.bbbb
Melbourne183.177.61.2402001:de8:6:1:0:2:4115:2400050.56bb.bbbb
Osaka203.190.227.2402001:de8:5:1:0:2:4115:2400050.56bb.bbbb
Perth101.97.43.2402001:de8:6:2:0:2:4115:2400050.56bb.bbbb
Singapore27.111.231.2402001:de8:4::2:4115:2400050.56bb.bbbb
Sydney45.127.175.2402001:de8:6::2:4115:2400050.56bb.bbbb
Tokyo203.190.230.2402001:de8:5::2:4115:2400050.56bb.bbbb

EMEA​

MetroIPv4 AddressIPv6 AddressMAC Address
Amsterdam185.1.112.2532001:7f8:83::2:4115:253dead:dead:dead
Dublin185.1.109.2532001:7f8:c3::2:4115:253dead:dead:dead
Frankfurt185.1.102.2532001:7f8:bd::2:4115:253dead:dead:dead
Geneva192.65.185.2532001:7f8:1c:24a::2:4115:253dead:dead:dead
Helsinki185.1.86.2532001:7f8:af:0::2:4115:253dead:dead:dead
London185.1.104.2532001:7f8:be::2:4115:253dead:dead:dead
Lisbon185.1.116.2532001:7f8:c7::2:4115:253dead:dead:dead
Manchester185.1.101.2532001:7f8:bc::2:4115:253dead:dead:dead
Madrid185.1.22.2532001:7f8:c6::2:4115:253dead:dead:dead
Milan185.1.106.2532001:7f8:c0::2:4115:253dead:dead:dead
Paris195.42.144.2532001:7f8:43:0::2:4115:253dead:dead:dead
Stockholm185.1.107.2532001:7f8:c1::2:4115:253dead:dead:dead
Zurich194.42.48.2532001:7f8:c:8235::2:4115:253dead:dead:dead

Autres communautés BGP prises en charge​

Connexion requise.

DefinitionCommunity String
Default Open Policy – Announce to all except to AS1234524115:24115 0:12345
Default Closed Policy – Announce to none except to AS123450:24115 24115:12345
Prepend once to AS1234565501:12345
Prepend twice to AS1234565502:12345
Prepend three times to AS1234565503:12345
Black Hole Traffic65535:666

Attaques par déni de service distribué​

Les attaques par déni de service distribué (DDoS) perturbent les services en raison d'un trafic entrant inutile dans votre port. Le filtrage RTBH peut aider à libérer l'utilisation du port de ce trafic inutile.

Pour libérer l'utilisation des ports, le serveur de routes Equinix MLPE insère une route BGP dans le réseau qui oblige les routeurs à arrêter tout le trafic vers l'hôte du trou noir avec des adresses IP et MAC prédéfinies.

Avant le début de l'attaque DDoS​

  1. Établir un peering BGP vers les serveurs de route de MLPE via le sous-réseau de peering IX de MLPE. Vous pouvez annoncer votre préfixe 1.1.1.0/24 aux serveurs de route MLPE.
  2. Les serveurs de route MLPE ré-annoncent votre préfixe aux autres participants au peering.
  3. Le prochain saut pour atteindre le préfixe 1.1.1.0/24 est .100 qui est votre adresse IP de peering.

Quand l'attaque DDoS commence​

  1. Il y a une attaque DDoS vers le serveur 1.1.1.1.

  2. Votre port est inondé de trafic entrant, ce qui entraîne une interruption de service pour tous les services de production.

  3. Libérez l'utilisation du port en arrêtant le trafic vers 1.1.1.1.

Atténuer les risques DDoS​

Pour atténuer le risque d’attaques DDoS:

Étape d'atténuation 1​

  1. Vous annoncez 1.1.1.1/32 avec Black Hole BGP community 65535:666.

  2. Les serveurs de routes MLPE modifient ces annonces de préfixes (étiquetés avec 65535:666) avec le next-hop à .240 (en APAC) ou .253 (en AMER et EMEA), et réannoncent le même préfixe aux autres participants au peering.

Étape 2 de l'atténuation​

  1. Les partenaires de peering commencent à résoudre l'adresse IP du next-hop .240 (en APAC) ou .253 (en AMER et EMEA) pour atteindre 1.1.1.1.

  2. L'hôte Black Hole répond avec un ARP avec l'adresse mac 0050.56bb.bbbb.

Succès de l'atténuation​

  1. Le trafic d'attaque avec le next-hop .240 (en APAC) ou .253 (en AMER et EMEA) est arrêté par la liste d'accès entrant du commutateur IX d'Equinix.

  2. L'attaque DDoS passant par le port de votre commutateur est atténuée.

Cette page vous a-t-elle été utile ?