Ir para o conteúdo principal

Serviços de buraco negro acionados remotamente

A filtragem RTBH (Remotely Triggered Black Hole) é um recurso autogerenciado que permite bloquear o tráfego desnecessário antes que ele entre na rede protegida do Equinix Internet Exchange (IX). O RTBH protege você contra ataques de negação de serviço distribuído (DDoS).

  • A Equinix fornece ao Black Hole Host o endereço IP .240 (na APAC) ou .253 (na AMER e EMEA) na sub-rede IX com o endereço MAC 0050.56bb.bbbb.

  • Todo o tráfego unicast em direção ao host do Black Hole é negado nas portas voltadas para o cliente (por ACL de endereço MAC).

Para que a filtragem entre em vigor, o anúncio do Buraco Negro deve ser aceito por outros parceiros de peering . Os participantes do peering podem aceitar os prefixos com comprimento de prefixo = 32 e comunidade BGP 65535:666. A participação no recurso RTBH é opcional.

Informações do anfitrião​

AMER​

MetroIPv4 AddressIPv6 AddressMac Address
Atlanta198.32.182.2532001:504:10::2:4115:253dead:dead:dead
Chicago208:115:137.2532001:504:0::2:4115:253dead:dead:dead
Dallas206.223.118.2532001:504:0::2:4115:253dead:dead:dead
Washington DC206.126.239.2532001:504:0::2:4115:253dead:dead:dead
VA198.32.190.2532001:504:e::2:4115:253dead:dead:dead
Denver198.32.114.2532001:504:0::2:4115:253dead:dead:dead
Houston198.32.135.2532001:504:0::2:4115:253dead:dead:dead
Los Angeles206.223.123.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.242.2532001:504:0::2:4115:253dead:dead:dead
Miami198.32.114.2532001:504:0::2:4115:253dead:dead:dead
New York198.32.118.2532001:504:f::2:4115:253dead:dead:dead
Seattle198.32.134.2532001:504:12::2:4115:253dead:dead:dead
Silicon Valley206.223.117.2532001:504:0::2:4115:253dead:dead:dead
Portland198.32.176.2532001:504:d::2:4115:253dead:dead:dead
Toronto198.32.181.2532001:504:d::2:4115:253dead:dead:dead
São Paulo64.191.232.2532001:504:0:7:0:2:4115:253dead:dead:dead

APAC​

MetroIPv4 AddressIPv6 AddressMAC Address
Hong Kong119.27.63.2402001:de8:7::2:4115:2400050.56bb.bbbb
Melbourne183.177.61.2402001:de8:6:1:0:2:4115:2400050.56bb.bbbb
Osaka203.190.227.2402001:de8:5:1:0:2:4115:2400050.56bb.bbbb
Perth101.97.43.2402001:de8:6:2:0:2:4115:2400050.56bb.bbbb
Singapore27.111.231.2402001:de8:4::2:4115:2400050.56bb.bbbb
Sydney45.127.175.2402001:de8:6::2:4115:2400050.56bb.bbbb
Tokyo203.190.230.2402001:de8:5::2:4115:2400050.56bb.bbbb

EMEA​

MetroIPv4 AddressIPv6 AddressMAC Address
Amsterdam185.1.112.2532001:7f8:83::2:4115:253dead:dead:dead
Dublin185.1.109.2532001:7f8:c3::2:4115:253dead:dead:dead
Frankfurt185.1.102.2532001:7f8:bd::2:4115:253dead:dead:dead
Geneva192.65.185.2532001:7f8:1c:24a::2:4115:253dead:dead:dead
Helsinki185.1.86.2532001:7f8:af:0::2:4115:253dead:dead:dead
London185.1.104.2532001:7f8:be::2:4115:253dead:dead:dead
Lisbon185.1.116.2532001:7f8:c7::2:4115:253dead:dead:dead
Manchester185.1.101.2532001:7f8:bc::2:4115:253dead:dead:dead
Madrid185.1.22.2532001:7f8:c6::2:4115:253dead:dead:dead
Milan185.1.106.2532001:7f8:c0::2:4115:253dead:dead:dead
Paris195.42.144.2532001:7f8:43:0::2:4115:253dead:dead:dead
Stockholm185.1.107.2532001:7f8:c1::2:4115:253dead:dead:dead
Zurich194.42.48.2532001:7f8:c:8235::2:4115:253dead:dead:dead

Outras comunidades BGP compatíveis​

É necessário efetuar login.

DefinitionCommunity String
Default Open Policy – Announce to all except to AS1234524115:24115 0:12345
Default Closed Policy – Announce to none except to AS123450:24115 24115:12345
Prepend once to AS1234565501:12345
Prepend twice to AS1234565502:12345
Prepend three times to AS1234565503:12345
Black Hole Traffic65535:666

Ataques de negação de serviço distribuídos​

O ataque de negação de serviço distribuído (DDoS) causa a interrupção dos serviços devido ao tráfego de entrada desnecessário em sua porta. A filtragem RTBH pode ajudar a liberar a utilização da porta desse tráfego desnecessário.

Para liberar a utilização da porta, o servidor de rotas MLPE da Equinix insere uma rota BGP na rede que força os roteadores a interromper todo o tráfego para o host Black Hole com endereços IP e MAC predefinidos.

Antes do início do ataque DDoS​

  1. Estabelecer peering BGP para servidores de rota MLPE por meio da sub-rede de peering MLPE IX. Você pode anunciar seu prefixo 1.1.1.0/24 para os servidores de rota do MLPE.
  2. Os servidores de rota do MLPE anunciam novamente seu prefixo para outros participantes do peering.
  3. O próximo salto para alcançar o prefixo 1.1.1.0/24 é .100, que é o seu endereço IP de emparelhamento.

Quando o ataque DDoS começa​

  1. Há um tráfego de ataque DDoS em direção ao servidor 1.1.1.1.

  2. Sua porta é inundada com tráfego de entrada, causando interrupção de serviço em todos os serviços de produção.

  3. Libere a utilização da porta interrompendo o tráfego para 1.1.1.1.

Mitigando riscos de DDoS​

Para mitigar o risco de ataques DDoS:

Mitigação Estágio 1​

  1. Você anuncia 1.1.1.1/32 com a comunidade Black Hole BGP 65535:666.

  2. Os servidores de rota do MLPE modificam esses anúncios de prefixo (marcados com 65535:666) com o próximo salto para .240 (na APAC) ou .253 (na AMER e na EMEA) e anunciam novamente o mesmo prefixo para outros participantes do peering.

Mitigação Estágio 2​

  1. Os parceiros de peering começam a resolver o endereço IP do próximo salto .240 (na APAC) ou .253 (na AMER e EMEA) para alcançar 1.1.1.1.

  2. O host do Black Hole responde com um ARP com endereço MAC 0050.56bb.bbbb.

Sucesso da mitigação​

  1. O tráfego de ataque com o próximo salto .240 (na APAC) ou .253 (na AMER e EMEA) é interrompido pela lista de acesso de entrada do switch Equinix IX.

  2. O ataque DDoS que passa pela porta de seu switch é atenuado.

Esta página foi útil?