DDoS Azaltma Mimari Kütüphanesi

Bu alandaki mimari şemalar genellikle bir tedarikçi tarafından çizilir, yani tek bir ürünün etrafında çizilir ve birbirleriyle karşılaştırılamaz. Aşağıdaki altısı birebir aynı çizilmiş — aynı kutu biçimleri, aynı renkler, aynı soldan sağa zincir. Böylece aralarındaki fark çizim farkı değil mimari farkı oluyor.

Kısaca

Cihaz	Desen	Karar nerede veriliyor	Hattınızın üstündeki kapasite
Tek sahalı kurum	Yerelde, cihaz üstünde	Ayrıca sözleşmeli, talep üzerine devreye giriyor
Çok sahalı kurum	Yerelde, her sahada	Anycast'le dağıtılmış, artı bir üst katman
Operatör ya da ISS	Akış kayıtlarından, müşterinin yukarısında	Sahip olunan; iş zaten bu
Çok kiracılı barındırma	Kiracı başına, ortak altyapıda	Sahip olunan, ve kiracılar arasında paylaşılan
Düzenlemeye tabi ya da finans	Yerelde, kanıt da yerelde saklanarak	Sözleşmeli, bağımlılık belgelenmiş olarak
Kısıtlı alanlar arası	Yerelde, hiçbir dış yol olmadan	Konuyla ilgisiz; geçit sınırın kendisi

Dürüst olan üçüncü sütun. Altı desenin yalnız ikisi kendi hattının üstündeki kapasiteye sahip, diğer dördü ya sözleşme yapmak ya tavanı kabul etmek zorunda.

1. Tek sahalı kurum

İnternete bakan tek saha, tek hat, o hatta göre boyutlanmış tek bir hat üstü cihaz. Hacimsel olaylar için bir üst katman düzeni var ve talep üzerine devreye giriyor.

Belirleyici şey: sadelik. Tek yol, tek politika, ve olay sırasında bakılacak tek yer var.

Yapamadığı: üst katman devreye girmeden hattan büyük bir saldırıyı atlatmak, ki devreye girmesi zaman alıyor. Bir de cihaz bütün trafiğin günlük bağımlılığıdır, ki hat üstü olmanın bedeli budur.

Uyumu sınayan soru: üst katman devreye girerken servis ne kadar bozulmayı tolere edebilir? Cevap saniyeyse bu desen üst katmanın talep üzerine değil sürekli açık olmasını ister, ki bu ekonomisini belirgin biçimde değiştirir.

2. Çok sahalı kurum

Birkaç saha, önlerinde anycast ya da DNS temelli dağıtım, her sahada hat üstü bir katman.

Belirleyici şey: kullanıcıları coğrafi olarak yayılmış bir kurum, ya da bir sahanın servisi birlikte götürmeden arızalanabilmesi gereken bir kurum.

Yapamadığı: anycast yükü dağıtır, ve saldırıyı da dağıtır, ki bu genellikle yardımcıdır çünkü her saha bir kesir görür. Belirli bir sahanın adresine nişan alınmış bir saldırıda yardım etmez, ve istemcinin tek düğümde kaldığını varsayan her durum tutan işlevi karmaşıklaştırır.

Uyumu sınayan soru: kurumdaki herhangi bir servis, istemci oturum ortasında yeniden yönlendirilirse bozulan bir oturum durumu tutuyor mu? Tutuyorsa o servis kararlı bir yol ister ve ikinci desenin içinde birinci desen gibi ele alınmalıdır.

3. Operatör ya da ISS

Ağ genelinde dışa aktarılan akış kayıtlarından tespit, bir şey bulunduğunda temizleme kapasitesine yönlendirme, ve temiz trafiğin aboneye dönüşü.

Belirleyici şey: kapasiteye sahip olmak. Operatörün, müşterinin satın alamayacağı tek şeyi vardır — müşterinin hattının üstündeki yer — ve saldırıyı hâlâ yukarıdayken görecek konumu.

Yapamadığı: paket içeriğini görmek. Akış kayıtları hacimleri, dağılımları ve protokol karışımlarını mükemmel ayrıntıda gösterir, hacimce olağan olan uygulama katmanı saldırıları ise onlarda nadiren görünür. Desenin yapısal sınırı budur, ve koruma satan operatörlerin L7 kapsamına ihtiyaç duyan müşteriler için genellikle yanına hat üstü bir şey koymasının sebebi de budur.

Uyumu sınayan soru: rota yakınsaması dahil, ölçülmüş yönlendirme süresi kaç? Desenin vaat ettiği her şey o sayıyla sınırlıdır, ve darbeli dalgaların ona karşı etkili olmasının sebebi budur.

Bu desenin üstündeki ticari kurgu DDoS korumasını gelir kalemine çevirmek sayfasında işleniyor.

4. Çok kiracılı barındırma

Ortak kenar altyapısı, kiracı başına koruma politikası, arkasında kiracı servisleri.

Belirleyici şey: başkasının trafiğini korumak. Farklı olağan trafikleri olan kiracılar arasında tek politika ya birinin sıradan işini reddeder ya kimseyi koruyamayacak kadar geçirgendir, yani kiracı başına politika bir üst kademe değil platform gereksinimidir.

Yapamadığı: ortak yolu yalıtmak. Bir kiracıya yapılan saldırı, diğer her kiracının kullandığı hat kapasitesini, ortak oturum tablolarını ve ortak işleme bütçesini tüketir. Hasar saldırı boyuyla değil kaç müşterinin yolu paylaştığıyla ölçeklenir.

Uyumu sınayan soru: bir kiracının trafiği başka bir kiracının sınırlarını tetikleyebiliyor mu? Bu, uygulama bağımsızlığıdır, ve okunacak değil test edilecek özelliktir.

5. Düzenlemeye tabi ya da finans

Yerel sınıflandırma yapan hat üstü cihaz, kurumun denetlediği altyapıda saklanan olay kanıtı, ve müşteriye bakan yoldan ayrı ele alınan bir işlem yolu.

Belirleyici şey: bir değil iki yükümlülük. Erişilebilirlik, ve bir olayı bir kuruma süresi içinde yeniden kurabilme. İkincisi tasarımı, kapasite planlamasının hiç yapmadığı biçimlerde değiştirir.

Yapamadığı: üst katman sorusundan kaçınmak. Bu desen hâlâ hatla sınırlıdır, yani üstünde sözleşmeli bir katman ister, ve o sözleşme artık bir satın alma ayrıntısı değil belgelenmiş bir üçüncü taraf bağımlılığıdır.

Uyumu sınayan soru: kendi personeliniz bir olay kaydını, kendi biçiminizde, tedarikçi yardımı olmadan dışa aktarabiliyor mu? Aktaramıyorsa desen, ne kadar iyi azaltırsa azaltsın eksiktir.

6. Kısıtlı alanlar arası

Daha az güvenilen bir alanla bir bölge arasındaki geçit, yerel sınıflandırma, hiçbir tedarikçiye giden dış yol yok, güncellemeler çevrimdışı yükleniyor.

Belirleyici şey: trafik değil politika kısıtı. Hiçbir dış bağlantıya izin verilmediği yerde yukarıdaki her mimari kullanılamaz ve tasarım geçidin üstüne çöker.

Yapamadığı: tedarikçiye ulaşmayı gerektiren hiçbir şeyi kullanmak — barındırılan konsollar, dış sınıflandırma, canlı hak doğrulama. Sonuncusu tuzaktır, çünkü bağlı bir ağda yürütülen değerlendirmede kusursuz davranır.

Uyumu sınayan soru: lisans tolerans süresi kaç gün? Bu desende bu bir olasılık değil kalıcı çalışma koşuludur, ve günlerle ölçülen bir ürün tespit kalitesinden bağımsız olarak kullanılamaz.

Aralarında seçim

Hangi satırda olduğunuzu üç soru belirliyor, ve herhangi bir tedarikçiyle iletişime geçmeden önce cevaplanmaya değer.

Karar nerede verilmeli? Bir veri yerelliği kuralı, ince bir uluslararası yol ya da operasyonel bağımsızlık gereksinimi varsa sınıflandırma yerel olmak zorundadır ve aday satırlar bir, iki, beş ve altıdır. Yoksa operatör deseninin ekonomisini yenmek zordur.

Sıradan bir günde arıza alanında ne olabilir? Hat üstü cihaz yalnız saldırılarda değil her sakin salı günü bir bağımlılıktır. Bunu kabul edemeyen kurumlar yönlendirmeli desenlere itilir ve karşılığında onların yönlendirme penceresini miras alır.

Hattınızın üstündeki kapasite kimin? Yalnız üçüncü ve dördüncü satır ona sahip. Diğer herkes sözleşme yapıyor, ve sözleşmenin şartları sonradan düşünülen bir şey değil mimarinin parçası.

Satır seçildikten sonra boyutlandırma aritmetiği altısında da aynı ve kapasite boyutlandırmada. Desenler arasında değişen şey ne kadar ihtiyacınız olduğu değil, hangi parçasından kimin sorumlu olduğu, ve o bölüşümü yazıya dökmek bu alıştırmanın ürettiği en yararlı belgedir.