Sempre ativo, nunca um nível separado
A filtragem de camada 3/4 fica a montante de cada porta, para cada cliente. Não existe um “IP protegido” à venda, porque vender uma proteção que o cliente já tem é extorsão.
Duas operadoras de trânsito, e nossas próprias decisões de roteamento
Como o tráfego realmente chega a Chișinău, o que acontece com ele no caminho, e as coisas que deliberadamente não fazemos com ele.
- Trânsito
- Duas operadoras
- Capacidade
- 20 Gbps mistos
- Scrubbing
- 2 Tbps de trânsito
- IPv6
- Nativo, /64 roteado
Trânsito
Misto, não em failover
Ambas as operadoras transportam tráfego o tempo todo. Um link em espera é um link que ninguém testa desde o dia em que foi instalado.
| Item | Hoje | O que isso significa |
|---|---|---|
| Duas operadoras, combinadas | 20 Gbps | Ambos ativos, ambos transportando tráfego. Não é um principal com um backup frio — uma falha reduz capacidade, nunca conectividade. |
| BGP, decisões próprias | Tabelas completas | Recebemos rotas completas de ambas e escolhemos por prefixo. Uma operadora com problemas em Frankfurt não se torna um problema para o cliente. |
| Uma terceira operadora de trânsito a caminho | Em andamento | Duas operadoras de trânsito são o mínimo para sobreviver à perda de uma. Três são o mínimo para sobreviver à perda de uma enquanto outra está em manutenção. |
| IPv6 em todas as portas | /64 roteado | Não é um túnel, nem um acréscimo tardio. Dual stack nativo, um /64 roteado por máquina, DNS reverso configurável livremente. |
Chișinău está a um salto do backbone europeu via Bucareste — a 12 ms de distância — e é por isso que uma rede de um único país ainda consegue responder a Frankfurt em 35 ms. O mapa de latência mostra o resto.
Sob ataque
A filtragem está incluída. Blackholing não é mitigação.
A resposta padrão da indústria a uma inundação de tráfego é aplicar null-route na vítima. Isso protege o provedor e termina o trabalho do atacante por ele. Nós filtramos, e mantemos o cliente acessível.
2 Tbps de capacidade de scrubbing
Inundações volumétricas são absorvidas a montante do nosso trânsito, não em nosso edge. Nossa própria capacidade é de 20 Gbps; nada dessa magnitude chega até lá.
Não aplicamos null-route aos clientes
O reflexo da maioria dos provedores sob ataque é aplicar blackhole ao alvo e chamar isso de mitigação. Nós filtramos e mantemos o serviço acessível, e entramos em contato antes de considerar qualquer outra coisa.
Inundações na camada de aplicação são uma conversa
A camada 7 não pode ser resolvida a montante sem ler o tráfego, o que não fazemos. Por isso, isso é resolvido em conjunto com o cliente — regras, limites de taxa, uma frente anycast se necessário.
Por omissão
Quatro coisas que esta rede propositalmente não faz
Em uma rede, o que está ausente importa tanto quanto o que está instalado. Essas ausências são propositais, não descuidos.
Nenhuma inspeção de tráfego
Sem DPI, sem interceptação de TLS, sem amostragem de fluxo além do que o BGP precisa para rotear. Não seria possível dizer qual protocolo está em uso sem perguntar.
Nenhum arquivo de fluxo de 24 horas
Os metadados de conexão expiram após um dia. Não há armazenamento de netflow de longo prazo, porque um armazenamento é algo que pode ser solicitado.
Sem shaping, sem fair use
A porta é a porta. Ilimitado significa ilimitado, e não há nenhuma cláusula mais adiante redefinindo isso como 80% de ciclo de trabalho.
Nenhuma filtragem forçada pela operadora de trânsito
Não aceitamos listas de bloqueio do lado da operadora que descartem o tráfego silenciosamente. Se algo precisa ser bloqueado, um tribunal decide isso e o cliente é informado.
Não confie apenas na nossa palavra
Meça antes de pagar por isso
Todos os números desta página podem ser testados a partir de qualquer máquina, em cerca de um minuto, sem necessidade de conta.