Закупка
Расчёт ёмкости защиты от DDoS: гигабит недостаточно
Обновлено: август 2026 г. · Шесть чисел и происхождение каждого · Время чтения ~12 мин
Средство защиты от DDoS рассчитывается от вашего канала, вашего легитимного пика и пакетной скорости, которую способен предъявить атакующий — именно в этом порядке. Скорость в битах — последнее число, с которым стоит рассуждать: тот же канал несёт примерно в восемнадцать раз больше пакетов при минимальном размере кадра, а устройство исчерпывается пакетами. Считайте под канал, за которым устройство стоит, а не под ту атаку, которую вы себе представляете.
Разговор о ёмкости почти всегда начинается не с того конца. Поставщик спрашивает, какая у вас полоса, предлагает модель с близкой цифрой, и дальше обсуждается цена.
В этой последовательности пропущен единственный вопрос, от которого зависит, работает ли схема: сколько пакетов в секунду может прийти на это устройство и что произойдёт, когда они придут.
Коротко
| Устройство | Число | Откуда берётся | Что решает |
|---|---|---|---|
| Ёмкость канала | Ваш договор с оператором | Жёсткий потолок того, что вообще может дойти до устройства | |
| Пакетная скорость на этом канале | Арифметика, при кадрах в 64 байта | Скорость, которую устройство обязано пережить | |
| Легитимный пик | Ваша собственная телеметрия за полный деловой цикл | Порог, ниже которого пороги срабатывания опускать нельзя | |
| Новых сессий в секунду | Ваша телеметрия на пике | Есть ли у атаки на исчерпание таблицы сессий пространство для работы | |
| Горизонт роста | Ваш собственный тренд, а не вендорский | Запас и срок следующего шага по ёмкости | |
| Допустимость отказа | Бизнес, письменно | Нужен ли этой схеме вышестоящий уровень вообще |
Пять чисел из шести берутся из вашей собственной сети. Только последнее приходит из разговора, и ни одно — из продуктовой линейки.
Начните с потолка, который у вас уже есть
Ёмкость вашего канала — единственное число в этом списке, которое вы не можете превысить покупкой. Трафик, превышающий канал, отбрасывается там, где канал заканчивается, то есть у оператора, а не в вашей стойке. Устройство, стоящее за таким каналом, никогда этот трафик не увидит, каким бы мощным оно ни было.
Отсюда следует правило, экономящее не одну закупку: потолок расчёта — это канал, а не предполагаемый размер атаки. Публикуемые рекорды описывают инфраструктуру совсем другого масштаба, и подставлять их в собственный расчёт — значит покупать защиту от события, которое ваш канал физически не пропустит.
Переведите канал в пакеты
Устройство исчерпывается не гигабитами, а решениями: каждый пакет надо классифицировать, и именно число решений в секунду упирается в потолок первым.
При заданной скорости канала пакетная скорость зависит только от размера кадра. В Ethernet каждый кадр несёт 20 байт накладных расходов — преамбулу, разделитель начала кадра и межпакетный интервал, — поэтому:
пакетов в секунду = скорость канала ÷ ((N + 20) × 8)Размер кадра выбирает атакующий. Канал 10 Гбит/с при кадрах в 1518 байт несёт около 812 тысяч пакетов в секунду, а тот же канал при кадрах в 64 байта — 14,88 миллиона, то есть примерно в восемнадцать раз больше, и выбран будет второй. Калькулятор ёмкости печатает это преобразование для каждого размера кадра вместе с самой арифметикой.
Измерьте свой легитимный пик, как следует
Среднее здесь бесполезно. Пик — это не среднее и не то, что помнит дежурная смена, а максимум за полный деловой цикл: конец месяца, распродажа, налоговый срок, день выплаты зарплат.
Измерять его нужно там же, где будет стоять устройство, и в том же виде, в каком оно будет считать: биты в секунду, пакеты в секунду и новые сессии в секунду. Пик, снятый на другом интерфейсе или усреднённый по пятиминутному интервалу, занижает настоящий максимум — а порог, поставленный ниже вашего собственного пика, отбрасывает ваших же клиентов в самый прибыльный день года.
Новые сессии в секунду, которые никто не записывает
Это число реже всего есть под рукой и чаще всего решает исход. Атака на исчерпание состояния заполняет не канал, а таблицу сессий, и её потолок никак не связан с полосой. Полоса при этом может оставаться свободной.
Снимите его с того устройства, которое сегодня держит состояние: с межсетевого экрана, с балансировщика, с самого сервера. Если такой телеметрии нет, её отсутствие — это уже результат расчёта, и он говорит, что вы не знаете, в каком состоянии находится ваш самый хрупкий предел.
Рост, выведенный из вашего собственного тренда
Устройство служит дольше расчёта. Возьмите тот же пик за последние двадцать четыре месяца и продлите линию до конца контракта, а не до конца календарного года: железо обычно стоит пять лет, а считают его под первый.
Запас, полученный так, — это плановая покупка. Запас, взятый из чужих рекордов, — это цифра, которую невозможно защитить перед финансовым директором, потому что она ниоткуда не следует.
Где начинается вышестоящий уровень
Всё, что больше вашего канала, — не вопрос выбора модели. Это вопрос о том, есть ли у вас второй уровень, и разделение стоит записать до закупки, а не во время инцидента.
Как только граница проведена, локальный вопрос сужается до одной проверяемой формулировки: пережить полную пакетную скорость канала, не разрушив легитимный трафик. Юрисдикционный риск поставщика разбирает, что именно вы отдаёте вместе с этим вторым уровнем.
Запись расчёта
Шесть чисел, дата снятия каждого и интерфейс, с которого оно снято. Этот лист переживает и закупку, и человека, который её вёл, и он же превращает следующий разговор о ёмкости в уточнение, а не в новое начало.
Расчёт, записанный так, отличается от расчёта, названного поставщиком, ровно одним свойством: его можно проверить.
Частые вопросы
- Почему нельзя просто купить устройство, рассчитанное под канал?
- Потому что «рассчитанное под» двусмысленно ровно там, где это важно. Устройство, заявленное на 10 Гбит/с, могло измеряться на больших кадрах, где такой канал несёт менее миллиона пакетов в секунду. Тот же канал при минимальном размере кадра несёт 14,88 миллиона. Покупка по битовой скорости — это покупка того из двух измерений, которое выбрал производитель, а атакующий выберет другое.
- Стоит ли брать устройство мощнее канала?
- Превышать то, что канал способен доставить, смысла нет, а стоимость обычно есть. Устройство не может проверить трафик, который до него не доехал: насыщенный канал отбрасывает его выше по цепочке. Считайте под канал, а всё, что больше канала, оставьте вышестоящему уровню — это и есть его задача.
- Какой запас на рост разумен?
- Такой, чтобы следующий шаг по ёмкости стал плановой закупкой, а не аварийной, и выведен он должен быть из вашего собственного тренда трафика, а не из опубликованных рекордов размеров атак. Рекорд описывает то, что случилось с кем-то, у кого канал куда шире; ваш рост описывает то, что случится с вами.
- Где в расчёте место вышестоящего уровня?
- Он берёт на себя всё, что выше вашего канала, — категорию, с которой устройство не справится ни при каком размере. Как только это разделение проведено, вопрос локального расчёта становится узким и отвечаемым: пережить полную пакетную скорость канала, сохранив легитимный трафик целым.
Источники
- RFC 2544 — Benchmarking Methodology for Network Interconnect Devices
IETF · 1999-03 · стандарт · обращение 2026-08-22
- IEEE 802.3 Ethernet Standard
IEEE · стандарт · обращение 2026-08-22
Формат кадра и межкадровый интервал, из которых прямо следует пакетный потолок любого канала.
- RFC 4732 — Internet Denial-of-Service Considerations
IETF · 2006-11 · стандарт · обращение 2026-08-22
Опубликовано: август 2026 г. · Последняя проверка: август 2026 г.
Проверка означает, что в указанную дату источники были перечитаны; текст переиздаётся только при существенных изменениях.
Руководство обновляется по мере выхода новых моделей и условий лицензирования. Как мы сравниваем производителей