Sempre attivo, mai un piano a parte
Il filtraggio Layer 3/4 opera a monte di ogni porta per ogni cliente. Non esiste un “IP protetto” da acquistare, perché vendere una protezione già inclusa è un'estorsione.
Due operatori di transito, e le nostre scelte di routing
Come il traffico raggiunge realmente Chișinău, cosa succede lungo il percorso, e cosa scegliamo deliberatamente di non fargli.
- Transito
- Due operatori di transito
- Capacità
- 20 Gbps in transito misto
- Scrubbing
- 2 Tbps a monte
- IPv6
- Nativo, /64 instradato
Transito
Misto, non in failover
Entrambi gli operatori di transito trasportano traffico in ogni momento. Un collegamento di riserva è un collegamento che nessuno testa dal giorno dell'installazione.
| Voce | Oggi | Cosa significa |
|---|---|---|
| Due operatori di transito, misti | 20 Gbps | Entrambi attivi, entrambi in produzione. Non un primario con un backup a freddo — un guasto riduce la capacità, mai la connettività. |
| BGP, decisioni nostre | Tabelle complete | Riceviamo le rotte complete da entrambi e scegliamo per prefisso. Un problema di un operatore a Francoforte non diventa un problema per il cliente. |
| Terzo in arrivo | In corso | Due operatori di transito sono il minimo per sopravvivere alla perdita di uno. Tre sono il minimo per sopravvivere alla perdita di uno mentre un altro è in manutenzione. |
| IPv6 su ogni porta | /64 instradato | Non un tunnel, e non un ripensamento. Dual stack nativo, un /64 instradato per macchina, reverse DNS liberamente configurabile. |
Chișinău si trova a un solo hop dalla dorsale europea attraverso Bucarest — a 12 ms di distanza — motivo per cui una rete di un solo paese può comunque rispondere a Francoforte in 35 ms. La mappa della latenza contiene il resto.
Sotto attacco
Il filtraggio è incluso. Il blackholing non è mitigazione.
La risposta standard del settore a un'inondazione di traffico è il null-routing della vittima. Protegge il provider e completa il lavoro dell'attaccante al posto suo. Noi filtriamo, e lei resta raggiungibile.
2 Tbps di capacità di scrubbing
Gli attacchi volumetrici vengono assorbiti a monte del nostro transito, non sul nostro edge. La nostra capacità è di 20 Gbps; nulla di così grande la raggiunge mai.
Non applichiamo il null-route ai clienti
Il riflesso della maggior parte dei provider sotto attacco è mettere in blackhole il bersaglio e chiamarla mitigazione. Noi filtriamo e manteniamo il servizio raggiungibile, e chiamiamo prima di prendere in considerazione qualsiasi altra misura.
Gli attacchi flood a livello applicativo sono una conversazione
Il Layer 7 non può essere risolto a monte senza leggere il traffico, cosa che non facciamo. Per questo affrontiamo la questione insieme al cliente — regole, limiti di frequenza, un front anycast se richiesto.
Per omissione
Quattro cose che questa rete evita deliberatamente di fare
In una rete, ciò che manca conta quanto ciò che è installato. Sono assenze volute, non per trascuratezza.
Nessuna ispezione del traffico
Nessun DPI, nessuna intercettazione TLS, nessun campionamento dei flussi oltre a quanto necessario al BGP per instradare. Non potremmo dirle quale protocollo utilizza senza chiederglielo.
Nessun archivio dei flussi delle ultime 24 ore
I metadati di connessione scadono dopo un giorno. Non esiste alcun archivio netflow a lungo termine, perché un archivio è qualcosa che può essere richiesto.
Nessuno shaping, nessun fair use
La porta è la porta. Illimitato significa illimitato, e non c'è nessuna clausola più in basso che lo ridefinisce a un duty cycle dell'80%.
Nessun filtraggio forzato a monte
Non accettiamo blocklist lato operatore che scarterebbero silenziosamente il traffico. Se qualcosa deve essere bloccato, lo stabilisce un tribunale e ne diamo comunicazione.
Non fidarsi sulla parola
Misurare prima di pagare
Ogni dato in questa pagina è verificabile dalla propria macchina, in circa un minuto, senza bisogno di un account.