本文へスキップ

遠隔トリガーブラックホールサービス

リモートトリガーブラックホール（RTBH）フィルタリングは、不要なトラフィックがEquinix Internet Exchange（IX）の保護ネットワークに侵入する前にブロックする自己管理機能です。RTBHは分散型サービス拒否（DDoS）攻撃からお客様を保護します。

  • エクイニクスは、ブラックホールホストにIXサブネット上のIPアドレス「.240」（APAC地域）または「.253」（AMERおよびEMEA地域）、macアドレス「0050.56bb.bbbb」を提供しています。

  • ブラックホールホストに向かうすべてのユニキャストトラフィックは、(mac-address ACLによって)顧客に面したポートで拒否されます。

フィルタリングを有効にするには、ブラックホールアナウンスが他のピアリングパートナーに受け入れられなければなりません。ピアリング参加者は、プレフィックス長 = 32、BGP コミュニティ 65535:666 のプレフィックスを受け入れることができます。RTBH 機能への参加はオプションです。

ホスト情報​

米州地域​

MetroIPv4 AddressIPv6 AddressMac Address
Atlanta198.32.182.2532001:504:10::2:4115:253dead:dead:dead
Chicago208:115:137.2532001:504:0::2:4115:253dead:dead:dead
Dallas206.223.118.2532001:504:0::2:4115:253dead:dead:dead
Washington DC206.126.239.2532001:504:0::2:4115:253dead:dead:dead
VA198.32.190.2532001:504:e::2:4115:253dead:dead:dead
Denver198.32.114.2532001:504:0::2:4115:253dead:dead:dead
Houston198.32.135.2532001:504:0::2:4115:253dead:dead:dead
Los Angeles206.223.123.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.242.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.114.2532001:504:0::2:4115:253dead:dead:dead
New York198.32.118.2532001:504:f::2:4115:253dead:dead:dead
Seattle198.32.134.2532001:504:12::2:4115:253dead:dead:dead
Silicon Valley206.223.117.2532001:504:0::2:4115:253dead:dead:dead
Portland198.32.176.2532001:504:d::2:4115:253dead:dead:dead
Toronto198.32.181.2532001:504:d::2:4115:253dead:dead:dead
São Paulo64.191.232.2532001:504:0:7:0:2:4115:253dead:dead:dead

アジア太平洋地域​

MetroIPv4 AddressIPv6 AddressMAC Address
Hong Kong119.27.63.2402001:de8:7::2:4115:2400050.56bb.bbbb
Melbourne183.177.61.2402001:de8:6:1:0:2:4115:2400050.56bb.bbbb
Osaka203.190.227.2402001:de8:5:1:0:2:4115:2400050.56bb.bbbb
Perth101.97.43.2402001:de8:6:2:0:2:4115:2400050.56bb.bbbb
Singapore27.111.231.2402001:de8:4::2:4115:2400050.56bb.bbbb
Sydney45.127.175.2402001:de8:6::2:4115:2400050.56bb.bbbb
Tokyo203.190.230.2402001:de8:5::2:4115:2400050.56bb.bbbb

欧州・中東・アフリカ​

MetroIPv4 AddressIPv6 AddressMAC Address
Amsterdam185.1.112.2532001:7f8:83::2:4115:253dead:dead:dead
Dublin185.1.109.2532001:7f8:c3::2:4115:253dead:dead:dead
Frankfurt185.1.102.2532001:7f8:bd::2:4115:253dead:dead:dead
Geneva192.65.185.2532001:7f8:1c:24a::2:4115:253dead:dead:dead
Helsinki185.1.86.2532001:7f8:af:0::2:4115:253dead:dead:dead
London185.1.104.2532001:7f8:be::2:4115:253dead:dead:dead
Lisbon185.1.116.2532001:7f8:c7::2:4115:253dead:dead:dead
Manchester185.1.101.2532001:7f8:bc::2:4115:253dead:dead:dead
Madrid185.1.22.2532001:7f8:c6::2:4115:253dead:dead:dead
Milan185.1.106.2532001:7f8:c0::2:4115:253dead:dead:dead
Paris195.42.144.2532001:7f8:43:0::2:4115:253dead:dead:dead
Stockholm185.1.107.2532001:7f8:c1::2:4115:253dead:dead:dead
Zurich194.42.48.2532001:7f8:c:8235::2:4115:253dead:dead:dead

その他のサポートされるBGPコミュニティ​

ログインが必要です。

DefinitionCommunity String
Default Open Policy – Announce to all except to AS1234524115:24115 0:12345
Default Closed Policy – Announce to none except to AS123450:24115 24115:12345
Prepend once to AS1234565501:12345
Prepend twice to AS1234565502:12345
Prepend three times to AS1234565503:12345
Black Hole Traffic65535:666

分散型サービス拒否攻撃​

DDoS（Distributed Denial of Service）攻撃は、不要なインバウンドトラフィックがポートに流入することで、サービスの中断を引き起こします。RTBHフィルタリングは、この不要なトラフィックからポート利用を解放するのに役立ちます。

ポートの利用を解放するため、エクイニクスのMLPEルートサーバーはネットワークにBGPルートを挿入し、ルーターが事前に定義されたIPアドレスとMACアドレスを持つブラックホールホストへのすべてのトラフィックを停止するようにします。

DDoS攻撃が始まる前に​

  1. MLPE IX ピアリングサブネットを経由して MLPE ルートサーバに BGP ピアリングを確立します。MLPE ルートサーバにプレフィックス 1.1.1.0/24 をアナウンスすることができます。
  2. MLPE ルートサーバは、お客様のプレフィックスを他のピアリング参加者に再アナウンスします。
  3. 1.1.1.0/24プレフィックスに到達するためのネクストホップは、ピアリングIPアドレスである.100となります。

DDoS攻撃が始まるとき​

  1. サーバー1.1.1.1に対してDDoS攻撃トラフィックが発生しています。

  2. ポートがインバウンドトラフィックで溢れ、すべてのプロダクションサービスにサービスの中断を引き起こしています。

  3. 1.1.1.1へのトラフィックを停止することで、ポート使用率を解放する。

DDoSリスクの軽減​

DDoS攻撃のリスクを軽減する：

ミティゲーションステージ1​

  1. 1.1.1.1/32をブラックホールBGPコミュニティ65535:666でアナウンスしていますね。

  2. MLPE ルートサーバーは、ネクストホップを .240（APAC）または .253（AMER、EMEA）にしてこれらのプレフィックスアナウンス（65535：666 のタグ付き）を修正し、同じプレフィックスを他のピアリング参加者に再アナウンスします。

ミティゲーションステージ2​

  1. ピアリングパートナーは、ネクストホップIPアドレス.240（APAC）または.253（AMERとEMEA）を解決して1.1.1.1に到達するようにします。

  2. Black Hole Hostはmac-address 0050.56bb.bbbbのARPで返信する。

ミティゲーションサクセス​

  1. ネクストホップが.240（APAC）または.253（AMERおよびEMEA）の攻撃トラフィックは、Equinix IXスイッチのインバウンドアクセスリストによって阻止されます。

  2. スイッチポートを経由するDDoS攻撃は軽減される。

このページは役に立ちましたか？