DDoS Cihazı Boyutlandırma: Gbps Yetmez

Boyutlandırma konuşmalarının çoğu yanlış yerden başlar. Üretici ne kadar bant genişliğiniz olduğunu sorar, o rakama yakın bir model önerir, ve konuşma fiyata geçer.

Bu sıra, tasarımın çalışıp çalışmayacağını belirleyen tek soruyu atlar: bu cihaza saniyede kaç paket ulaşabilir, ve ulaştığında ne oluyor?

Kısaca

Cihaz	Sayı	Nereden geliyor	Neyi belirliyor
Hat kapasitesi	Transit sözleşmeniz	Cihaza ulaşabilecek her şeyin sert tavanı
O hattın paket hızı	Aritmetik, 64 baytlık çerçevede	Cihazın atlatması gereken hız
Meşru tepe	Tam bir iş döngüsü boyunca kendi telemetriniz	Eşiklerin altına inemeyeceği taban
Saniyedeki yeni oturum	Tepede kendi telemetriniz	Oturum tüketen saldırının hareket alanı
Büyüme ufku	Üreticinin değil sizin eğiliminiz	Pay, ve sonraki kapasite adımının yılı
Arıza toleransı	İşin kendisi, yazılı olarak	Tasarımın üst katmana ihtiyacı olup olmadığı

Altının beşi kendi ağınızdan geliyor. Yalnız sonuncusu bir konuşmadan geliyor, ve hiçbiri bir ürün serisinden gelmiyor.

Zaten sahip olduğunuz tavandan başlayın

Hattınız, cihaza ulaşabilecek saldırının sert sınırıdır. Ötesindeki trafik, gelmeden önce sağlayıcınızın ekipmanında düşer, yani hattın üstünde boyutlandırılmış yerinde bir cihaz var olamayacak trafiği inceliyordur.

Bu tek gözlem alıştırmadaki kaygının çoğunu kaldırır. Cihazın kaydedilmiş en büyük saldırıyı atlatması gerekmez. Kendi hattınızın doymuş hâlini atlatması gerekir, ve bu belirli, hesaplanabilir bir sayıdır.

Hattı paket hızına çevirin

Ethernet’te her çerçeve kendi uzunluğu artı 20 baytlık boşluk ve başlangıç işareti kadar yer kaplar:

saniyedeki paket = bit hızı ÷ ((çerçeve baytı + 20) × 8)

64 baytlık çerçevede 1 Gbps’lik hat saniyede 1,488 milyon paket taşır, 10 Gbps 14,88 milyon, 100 Gbps 148,8 milyon. Boyutlandırılacak sayılar bunlardır, çünkü cihazı tüketen şey bayt değil paket başına iştir.

Azami çerçeve boyunda aynı hatlar yaklaşık on sekiz kat az paket taşır. O on sekiz kat, bit hızına göre boyutlandırmanın bozulmasının tek sebebidir, ve saldırganların küçük paket göndermesinin de. Kapasite planlayıcısı dönüşümü her çerçeve boyunda aritmetiğiyle basar.

Hattınızın küçük paket hızına göre boyutlandırılmış bir cihaz o hattan gelen paket hızıyla boğulamaz. Bu güçlü ve alışılmadık bir güvencedir, ve bedeli aritmetiği satın almadan sonra değil önce yapmaktır.

Meşru tepenizi doğru ölçün

İkinci sayı kendi telemetrinizden gelir, ve sakin bir hafta yerine tam bir iş döngüsü boyunca ölçülmelidir.

Tepede kaydedin: saniyedeki bit, saniyedeki paket, eşzamanlı oturum ve saniyedeki yeni oturum. Kampanya açılışlarını, ay sonlarını, sonuç duyurularını dahil edin. Gerçek maksimumlarınızı ne üretiyorsa o.

Tepe iki kez önemlidir. Hiçbir eşiğin altına inemeyeceği tabanı belirler. Ve onunla hat tavanı arasındaki oran, bir şey fark etmeden önce saldırganın ne kadar hareket alanı olduğunu söyler.

Kimsenin kaydetmediği sayı

Eşzamanlı oturum, izleme sistemlerinin bildirdiği ve datasheet’lerin bastığı sayıdır. Saniyedeki yeni oturum, bağlantı tüketen bir saldırının asıl zorladığı sayıdır, ve kurumların çoğu bunu hiç ölçmemiştir.

Boyutlandırma konuşmasından önce elde edin. Devasa oturum tablosu ve mütevazı oturum kurma hızı olan bir cihaz, tam olarak demoda iyi görünüp SYN seline yenilen ürün biçimidir, ve kendi rakamınızı bilmeden bu uyumsuzluğu fark edemezsiniz.

Büyüme, kendi eğiliminizden

Yayımlanmış saldırı boyu rekorları kötü bir boyutlandırma girdisidir. Hattı sizinkinden çok daha büyük bir kuruma ne olduğunu anlatırlar, ve zaten hattınızın üstündeki trafik cihazınızın sorunu değildir.

İşe yarayan girdi kendinizinkidir: tepenizin son üç yılda nasıl hareket ettiği, artı işin bunu değiştirecek planları. Oradan, sonraki kapasite adımını bir olay değil planlı bir alım yapacak payı belirleyin.

Üst katmanın devraldığı yer

Dolmuş bir hattın arkasındaki cihaz seyircidir. Hiçbir boyutlandırma kararı bunu değiştirmez, ve bunu çözdüğü öne sürülen her ürün dürüstçe sunulmuyordur.

Bölüşme nettir. Hattı dolduracak olan her şey üst katmana aittir. Gelen her şey cihaza aittir.

Bölüşme yazıya döküldükten sonra yerinde boyutlandırma gereksinimi tek cümleye iner: azaltma açıkken, meşru trafiği atmadan, hattın tam küçük çerçeve paket hızını sürdürmek.

Boyutlandırma kaydı

Altı satır, herhangi bir ürün konuşulmadan önce yazılır:

1. Hat kapasitesi, devre başına, planlanan değişiklik dahil.
2. O hattın 64 baytlık çerçevedeki paket hızı.
3. Meşru tepe: bps, pps, eşzamanlı oturum, saniyedeki yeni oturum, tam bir döngü boyunca.
4. Büyüme ufku, kendi eğiliminizden, sonraki adımın beklendiği yılla.
5. Üst katmanla cihaz arasındaki sorumluluk bölüşümü.
6. İşin neyi tolere edeceği: ne kadar süre, ne kadar bozulmuş, ve neyin asla arızalanmaması gerektiği.

Altıncısı maliyeti en sık düşüren maddedir. Kritik olmayan bir serviste on dakika bozulmuş performansı tolere edebilen bir kurum, edemeyenden farklı bir tasarım satın alıyordur, ve boyutlandırma belgesinde bunun için bir satır olmadıkça kimse sormaz.

Bu kaydı ihaleye götürün ve cevabın satır satır karşılamasını isteyin. Bu altı sayıyı görmeden model öneren bir tedarikçi bir model önermiştir, bir tasarım değil.