פעיל תמיד, לעולם לא כחבילה נפרדת
סינון בשכבה 3/4 ממוקם במעלה הזרם של כל פורט עבור כל לקוח. אין "IP מוגן" לרכישה, משום שמכירת הגנה שכבר קיימת היא סחיטה.
שני ספקי תעבורה, והחלטות ניתוב משלנו
כיצד התעבורה מגיעה בפועל לקישינב, מה קורה לה בדרך, והדברים שבמכוון לא נעשים לה.
- תעבורה
- שני ספקי תעבורה
- קיבולת
- 20 Gbps מעורב
- בדיקת תקינות
- 2 Tbps רוחב פס יוצא
- IPv6
- מקורי, מנותב /64
תעבורה
תעבורה מעורבת, לא מעבר גיבוי (failover)
שני ספקי התעבורה מעבירים תנועה בכל עת. קישור גיבוי הוא קישור שאף אחד לא בדק מאז יום ההתקנה שלו.
| פריט | היום | מה המשמעות |
|---|---|---|
| שני ספקי תעבורה, בשילוב | 20 Gbps | שניהם פעילים, שניהם נושאים תעבורה. לא ראשי עם גיבוי קר — כשל מסיר קיבולת, לעולם לא קישוריות. |
| BGP, החלטות שלנו בלבד | טבלאות מלאות | אנחנו מקבלים מסלולים מלאים משני הספקים ובוחרים לפי prefix. יום רע של ספק תעבורה בפרנקפורט לא הופך ליום רע עבור הלקוח. |
| שליש בהזמנה | בתהליך | שני ספקי תעבורה הם המינימום כדי לשרוד אובדן של אחד. שלושה הם המינימום כדי לשרוד אובדן של אחד בזמן שהשני נמצא בתחזוקה. |
| IPv6 בכל פורט | /64 מנותב | לא מנהרה (tunnel) ולא מחשבה שלאחר מעשה. Dual stack טבעי, /64 מנותב לכל מכונה, ו-DNS הפוך שניתן להגדיר באופן עצמאי. |
Chișinău נמצאת קפיצה אחת מעמוד השדרה האירופי דרך בוקרשט — במרחק 12 ms — ולכן רשת במדינה בודדת עדיין יכולה לענות לפרנקפורט תוך 35 ms. למפת ההשהיה יש את השאר.
בזמן התקפה
הסינון כלול. Blackholing אינו הפחתה.
התגובה המקובלת בתעשייה להצפה היא לנתב את הקורבן לאין (null-route). הדבר מגן על הספק ומשלים עבור התוקף את המשימה. אנחנו מסננים, והנגישות נשמרת.
יכולת סינון תעבורה של 2 Tbps
הצפות נפח (volumetric floods) נבלמות במעלה הזרם מספקי התעבורה שלנו, לא בקצה שלנו. הקיבולת העצמית שלנו היא 20 Gbps; דבר בסדר גודל כזה לעולם לא מגיע אליה.
לא מתבצע null-route ללקוחות
התגובה האינסטינקטיבית של רוב הספקים תחת מתקפה היא לבצע blackhole ליעד ולכנות זאת מיטיגציה. אצלנו מתבצע סינון והנגישות נשמרת, ומתבצעת פנייה טלפונית לפני שנשקל כל דבר אחר.
הצפות בשכבת האפליקציה הן שיחה
שכבה 7 אינה ניתנת לפתרון במעלה הזרם בלי לקרוא את התעבורה, וזה לא נעשה. הטיפול בכך משותף — כללים, הגבלות קצב, וחזית anycast עבור מי שמעוניין בכך.
בהשמטה
ארבעה דברים שהרשת הזו נמנעת מהם בכוונה
ברשת, מה שנעדר חשוב לא פחות ממה שמותקן. אלה העדרים מכוונים, לא מחדלים.
ללא בדיקת תעבורה
אין DPI, אין יירוט TLS, ואין דגימת תעבורה מעבר למה ש-BGP צריך כדי לנתב. לא ניתן לדעת אילו פרוטוקולים בשימוש בלי לשאול.
אין ארכיון flow ל-24 שעות
מטא-נתוני חיבור פגים לאחר יום. אין מאגר netflow לטווח ארוך, משום שמאגר הוא דבר שאפשר לבקש אותו.
ללא עיצוב תעבורה, ללא סעיף שימוש הוגן
הפורט הוא הפורט. ללא הגבלת נפח פירושה ללא הגבלת נפח, ואין סעיף בהמשך שמגדיר זאת מחדש כמחזור עבודה של 80%.
ללא סינון כפוי מצד ספקי התעבורה
איננו מקבלים רשימות חסימה בצד ספק התעבורה שיפילו תעבורה בשקט. אם יש צורך לחסום משהו, בית משפט קובע זאת ואנו מודיעים על כך.
אין צורך להסתמך רק על דברינו
למדוד לפני שמשלמים
כל נתון בעמוד הזה ניתן לבדיקה עצמאית, תוך כדקה, ללא צורך בחשבון.