Skip to main content

Services relatifs aux trous noirs déclenchés à distance

Le filtrage RTBH (Remotely Triggered Black Hole) est une fonction autogérée qui vous permet de bloquer le trafic inutile avant qu'il ne pénètre dans le réseau protégé d'Equinix Internet Exchange (IX). Le RTBH vous protège des attaques par déni de service distribué (DDoS).

  • Equinix fournit à Black Hole Host l'adresse IP .240 (dans la région APAC), ou .253 (dans la région AMER et EMEA) sur le sous-réseau IX avec l'adresse mac 0050.56bb.bbbb.

  • Tout le trafic de monodiffusion vers l'hôte du trou noir est refusé au niveau des ports orientés vers le client (par ACL d'adresse mac).

Pour que le filtrage prenne effet, l'annonce du trou noir doit être acceptée par d'autres partenaires de peering. Les participants au peering peuvent accepter les préfixes avec une longueur de préfixe = 32 et une communauté BGP 65535:666. La participation à la fonction RTBH est facultative.

Informations sur l'hôte​

AMER​

MetroIPv4 AddressIPv6 AddressMac Address
Atlanta198.32.182.2532001:504:10::2:4115:253dead:dead:dead
Chicago208:115:137.2532001:504:0::2:4115:253dead:dead:dead
Dallas206.223.118.2532001:504:0::2:4115:253dead:dead:dead
Washington DC206.126.239.2532001:504:0::2:4115:253dead:dead:dead
VA198.32.190.2532001:504:e::2:4115:253dead:dead:dead
Denver198.32.114.2532001:504:0::2:4115:253dead:dead:dead
Houston198.32.135.2532001:504:0::2:4115:253dead:dead:dead
Los Angeles206.223.123.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.242.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.114.2532001:504:0::2:4115:253dead:dead:dead
New York198.32.118.2532001:504:f::2:4115:253dead:dead:dead
Seattle198.32.134.2532001:504:12::2:4115:253dead:dead:dead
Silicon Valley206.223.117.2532001:504:0::2:4115:253dead:dead:dead
Portland198.32.176.2532001:504:d::2:4115:253dead:dead:dead
Toronto198.32.181.2532001:504:d::2:4115:253dead:dead:dead
São Paulo64.191.232.2532001:504:0:7:0:2:4115:253dead:dead:dead

APAC​

MetroIPv4 AddressIPv6 AddressMAC Address
Hong Kong119.27.63.2402001:de8:7::2:4115:2400050.56bb.bbbb
Melbourne183.177.61.2402001:de8:6:1:0:2:4115:2400050.56bb.bbbb
Osaka203.190.227.2402001:de8:5:1:0:2:4115:2400050.56bb.bbbb
Perth101.97.43.2402001:de8:6:2:0:2:4115:2400050.56bb.bbbb
Singapore27.111.231.2402001:de8:4::2:4115:2400050.56bb.bbbb
Sydney45.127.175.2402001:de8:6::2:4115:2400050.56bb.bbbb
Tokyo203.190.230.2402001:de8:5::2:4115:2400050.56bb.bbbb

EMEA​

MetroIPv4 AddressIPv6 AddressMAC Address
Amsterdam185.1.112.2532001:7f8:83::2:4115:253dead:dead:dead
Dublin185.1.109.2532001:7f8:c3::2:4115:253dead:dead:dead
Frankfurt185.1.102.2532001:7f8:bd::2:4115:253dead:dead:dead
Geneva192.65.185.2532001:7f8:1c:24a::2:4115:253dead:dead:dead
Helsinki185.1.86.2532001:7f8:af:0::2:4115:253dead:dead:dead
London185.1.104.2532001:7f8:be::2:4115:253dead:dead:dead
Lisbon185.1.116.2532001:7f8:c7::2:4115:253dead:dead:dead
Manchester185.1.101.2532001:7f8:bc::2:4115:253dead:dead:dead
Madrid185.1.22.2532001:7f8:c6::2:4115:253dead:dead:dead
Milan185.1.106.2532001:7f8:c0::2:4115:253dead:dead:dead
Paris195.42.144.2532001:7f8:43:0::2:4115:253dead:dead:dead
Stockholm185.1.107.2532001:7f8:c1::2:4115:253dead:dead:dead
Zurich194.42.48.2532001:7f8:c:8235::2:4115:253dead:dead:dead

Autres communautés BGP prises en charge​

Connexion requise.

DefinitionCommunity String
Default Open Policy – Announce to all except to AS1234524115:24115 0:12345
Default Closed Policy – Announce to none except to AS123450:24115 24115:12345
Prepend once to AS1234565501:12345
Prepend twice to AS1234565502:12345
Prepend three times to AS1234565503:12345
Black Hole Traffic65535:666

Attaques par déni de service distribué​

Les attaques par déni de service distribué (DDoS) perturbent les services en raison d'un trafic entrant inutile dans votre port. Le filtrage RTBH peut aider à libérer l'utilisation du port de ce trafic inutile.

Pour libérer l'utilisation des ports, le serveur de routes Equinix MLPE insère une route BGP dans le réseau qui oblige les routeurs à arrêter tout le trafic vers l'hôte du trou noir avec des adresses IP et MAC prédéfinies.

Avant le début de l'attaque DDoS​

  1. Établir un peering BGP avec les serveurs de routes MLPE via le sous-réseau de peering MLPE IX. Vous pouvez annoncer votre préfixe 1.1.1.0/24 aux serveurs de routes MLPE.
  2. Les serveurs de routes MLPE réannoncent votre préfixe aux autres participants au peering.
  3. Le prochain saut pour atteindre le préfixe 1.1.1.0/24 est .100 qui est l'adresse IP de votre peering.

Quand l'attaque DDoS commence​

  1. Il y a un trafic d'attaque DDoS vers le serveur 1.1.1.1.

  2. Votre port est inondé de trafic entrant, ce qui entraîne une interruption de service pour tous les services de production.

  3. Libérez l'utilisation du port en arrêtant le trafic vers 1.1.1.1.

Atténuer les risques de déni de service​

Pour atténuer le risque d'attaques DDoS :

Atténuation Étape 1​

  1. Vous annoncez 1.1.1.1/32 avec la communauté BGP Black Hole 65535:666.

  2. Les serveurs de routes MLPE modifient ces annonces de préfixes (étiquetés avec 65535:666) avec un next-hop à .240 (dans APAC) ou .253 (dans AMER et EMEA), et réannoncent le même préfixe à d'autres participants au peering.

Atténuation Étape 2​

  1. Les partenaires d'échange commencent à résoudre l'adresse IP du saut suivant .240 (dans la région APAC) ou .253 (dans la région AMER et EMEA) pour atteindre 1.1.1.1.

  2. Black Hole Host répond par un ARP avec l'adresse mac 0050.56bb.bbbb.

Succès de l'atténuation​

  1. Le trafic d'attaque avec le next-hop .240 (dans l'APAC) ou .253 (dans l'AMER et l'EMEA) est arrêté par la liste d'accès entrant du commutateur Equinix IX.

  2. L'attaque DDoS passant par le port de votre commutateur est atténuée.

Cette page vous a-t-elle été utile ?