本文へスキップ

リモートでトリガーされたブラックホールサービス

Remotely Triggered Black Hole（RTBH）フィルタリングは、Equinix Internet Exchange（IX）で保護されたネットワークに入る前に不要なトラフィックをブロックできるようにする自己管理機能である。RTBHは、分散型サービス妨害（DDoS）攻撃からユーザーを保護する。

  • Equinixは、IPアドレスが.240（APAC）、または.253（AMERおよびEMEA）のBlack Hole Hostを、MACアドレスが0050.56bb.bbbのIXサブネット上で提供する。

  • ブラックホールホストへのすべてのユニキャストトラフィックは、（MACアドレスACLによって）カスタマー側ポートで拒否される。

はい。RTBH機能を有効にするには、ブラックホールのアナウンスが他のピアリングパートナーによって承認される必要があります。ピアリング参加者は、プレフィックス長が32で、BGPコミュニティが65535:666のプレフィックスを受け入れることができます。RTBH機能への参加は任意です。

ホスト情報​

米州地域​

都市圏IPv4アドレスIPv6アドレスMACアドレス
アトランタ198.32.182.2532001:504:10::2:4115:253dead: dead: dead
シカゴ208:115:137.2532001:504:0::2:4115:253dead: dead: dead
ダラス206.223.118.2532001:504:0::2:4115:253dead: dead: dead
ワシントンDC206.126.239.2532001:504:0::2:4115:253dead: dead: dead
VA198.32.190.2532001:504:e::2:4115:253dead: dead: dead
デンバー198.32.114.2532001:504:0::2:4115:253dead: dead: dead
ヒューストン198.32.135.2532001:504:0::2:4115:253dead: dead: dead
ロサンゼルス206.223.123.2532001:504:0::2:4115:253dead: dead: dead
マイアミ198.32.242.2532001:504:0::2:4115:253dead: dead: dead
マイアミ198.32.114.2532001:504:0::2:4115:253dead: dead: dead
ニューヨーク198.32.118.2532001:504:f::2:4115:253dead: dead: dead
シアトル198.32.134.2532001:504:12::2:4115:253dead: dead: dead
シリコンバレー206.223.117.2532001:504:0::2:4115:253dead: dead: dead
ポートランド198.32.176.2532001:504:d::2:4115:253dead: dead: dead
トロント198.32.181.2532001:504:d::2:4115:253dead: dead: dead
サンパウロ：64.191.232.2532001:504:0:7:0:2:4115:253dead: dead: dead

アジア太平洋地域​

都市圏IPv4アドレスIPv6アドレスMACアドレス
香港119.27.63.2402001:de8:7::2:4115:2400050.56bb.bbbb
メルボルン183.177.61.2402001:de8:6:1:0:2:4115:2400050.56bb.bbbb
大阪203.190.227.2402001:de8:5:1:0:2:4115:2400050.56bb.bbbb
パース101.97.43.2402001:de8:6:2:0:2:4115:2400050.56bb.bbbb
シンガポール27.111.231.2402001:de8:4::2:4115:2400050.56bb.bbbb
シドニー45.127.175.2402001:de8:6::2:4115:2400050.56bb.bbbb
東京203.190.230.2402001:de8:5::2:4115:2400050.56bb.bbbb

欧州・中東地域​

都市圏IPv4アドレスIPv6アドレスMACアドレス
アムステルダム185.1.112.2532001:7f8:83::2:4115:253dead: dead: dead
ダブリン185.1.109.2532001:7f8:C3::2:4115:253dead: dead: dead
フランクフルト185.1.102.2532001:7f8:BD::2:4115:253dead: dead: dead
ジュネーブ192.65.185.2532001:7f8:1c:24a::2:4115:253dead: dead: dead
ヘルシンキ185.1.86.2532001:7f8:af:0::2:4115:253dead: dead: dead
ロンドン185.1.104.2532001:7f8:Be::2:4115:253dead: dead: dead
リスボン185.1.116.2532001:7f8:C7::2:4115:253dead: dead: dead
マンチェスター185.1.101.2532001:7f8:bc::2:4115:253dead: dead: dead
マドリード185.1.22.2532001:7f8:C6::2:4115:253dead: dead: dead
ミラノ185.1.106.2532001:7f8:c0::2:4115:253dead: dead: dead
パリ195.42.144.2532001:7f8:43:0::2:4115:253dead: dead: dead
ストックホルム185.1.107.2532001:7f8:c1::2:4115:253dead: dead: dead
チューリッヒ194.42.48.2532001:7f8:c:8235::2:4115:253dead: dead: dead

サポートされているその他のBGPコミュニティ​

ログインが必要。

定義コミュニティ文字列
デフォルトのオープンポリシー–AS12345以外のすべてにアナウンス24115:24115 0:12345
デフォルトのクローズポリシー–AS12345以外に通知0:24115 24115:12345
AS12345の前に1回追加65501:12345
AS12345の前に2回追加する65502:12345
AS12345の前に3回追加する65503:12345
ブラックホール・トラフィック65535:666

分散型DoS攻撃​

Distributed Denial of Service（DDoS;分散型サービス拒絶）攻撃により、ポート内の不要なインバウンドトラフィックによりサービスが中断される。RTBHフィルタリングは、この不要なトラフィックからポート使用率を解放するのに役立つ。

ポートの使用率を解放するために、Equinix MLPEルートサーバはBGPルートをネットワークに挿入し、事前定義されたIPアドレスとMACアドレスを使用してブラックホールホストへのすべてのトラフィックをルータに強制的に停止させる。

DDoS攻撃が始まる前​

  1. MLPE IXピアリングサブネットを介してMLPEルートサーバへのBGPピアリングを確立する。プレフィックス1.1.1.0/24をMLPEルートサーバにアナウンスできる。
  2. MLPEルートサーバは、他のピアリング参加者にプレフィックスを再アナウンスする。
  3. プレフィックス1.1.1.0/24に到達するネクストホップは、ピアリングIPアドレスである.100である。

DDoS攻撃が開始されたとき​

  1. サーバ1.1.1.1へのDDoS攻撃トラフィックがある。

  2. ポートがインバウンドトラフィックでフラッディングして、すべての実稼働サービスにサービスが中断されている。

  3. 1.1.1.1へのトラフィックを停止して、ポートの使用率を解放する。

DDoSリスクを軽減する​

DDoS攻撃のリスクを軽減するには：

緩和策のステージ1​

  1. BlackHole BGPコミュニティ65535:666で1.1.1.1/32をアナウンスする。

  2. MLPEルートサーバは、ネクストホップを使用してこれらのプレフィックスアナウンス（65535:666でタグ付け）を.240（APAC）または.253（AMERおよびEMEA）に変更し、同じプレフィックスを他のピアリング参加者に再アナウンスする。

緩和策ステージ2​

  1. ピアリングパートナーは、ネクストホップIPアドレス.240（APAC）または.253（AMERおよびEMEA）の解決を開始して1.1.1.1に到達する。

  2. Black Hole HostはMACアドレス0050.56bb.bbbbのARPで応答する。

緩和策の成功​

  1. ネクストホップ.240（APAC）または.253（AMERおよびEMEA）を持つ攻撃トラフィックが、Equinix IXスイッチのインバウンドアクセスリストによって停止される。

  2. スイッチポートを通過するDDoS攻撃が軽減される

このページは役に立ちましたか？