Опыт работы с ddos-guard

🍿 hackforums dot ru новости ☝

ps mail.ru подкупные

а почему не пользуются qrator.net ?

или как всегда хотят антиддос за 20 баксов ?

антиддос - это очень дорогая услуга, зачастую в десятки раз превосходящая стоимость текущих хостинговых услуг.

Сорри, Олег, мы не знали что наш трафик окажется чрезмерной для них нагрузкой ). За неделю работы через них, мы словили 4 серьезных даунтайма с разрывом BGP-сессий.

Мы ловили на себя до 56 Гбит, вроде бы по статистике они не обманывают.

На самом деле, ситуация с анти-ддосом в России весьма печальная. Мы за этот месяц перепробовали кучу вариантов, провели массу переговоров с различными компаниями. В итоге, ни одна из компаний в России оказалась не способна взять целый ДЦ под полную защиту. Большинство отечественных решений рассчитаны на защиту сайтов или других конкретных ресурсов (как правило TCP, UDP гораздо реже). Но это не совсем то, что мы хотели бы получить для нашего ДЦ, по этому приходится работать над собственным решением.

Может быть, мы кого и упустили из российских компаний, если есть у кого информация, буду признателен, если поделитесь.

qrator по факту лучше, чем ddos-guard, но совсем не на много. За то существенно дороже (в несколько раз) Случаются те же самые обрывы соединений, большой пинг и рандомная недоступность. Но, надо признать, они хорошо умеют надувать щеки.

Бурж варианты:

Voxility - самому использовать не приходилось, но друзья рекомендовали (бюджет от 2к евро\мес)

Level3 - тут все по-взрослому, но разговаривать начнут при стоимости контракта хотя бы в 10к $ в месяц. Для не говорящих - у них есть русский сейлз.

---------- Добавлено 21.04.2016 в 00:23 ----------

На сколько я знаю, у Ростелекома есть свой арбор, но что-то у меня сомнения, по поводу их вменяемости в отношении ДДоС защиты. Все таки лечения от этой заразы универсального нет и простой коробкой, пусть и с облачной связью тут не отделаться.

Ценник в 10к$ не особо пугает, проблема в том, что центры очистки находятся не в Москве, а гонять трафик через заграницу, как-то не комильфо.

Вроде как IHOR как раз к защите от Рослетекома и подключились.

Я не провайдер, но могу предположить следующее, что можно на базе netflow данных написать сенсор, который будет, по определенным критериям дергать ваш маршрутизатор и через community управлять анонсом нужной /24, т.е в случае атаки переключать анонс на ASN центра очистки.

В любом случае, "гонять трафик через заграницу", это касается только получения входящего трафика.

А пропускать весь свой входящий трафик всегда через ддос защиту , как мне кажется, не самая лучшая идея.

Так и есть, но для нас это тоже не панацея, ротелековцы, тоже слегка очкуют от нашего трафика %). По SLA могут прогарантировать доступность только 80%. По этому, рассматриваем РТ только как промежуточный этап.

80% по SLA это как-то уж очень мало. Из 365 дней в году они могут не работать 73 дня... Не очень впечатляет.

К сожалению, при асимметричной передаче трафика, возникает куча проблем с анти-ддосами, у нас такое было, когда входящий шел через анти-ддос, а исходящий на прямую.

В этом случае, антиддос не видит сессии, на основе которой как правило принимается решение о легитимности пакета.

Согласен, из-за этого и была целая куча проблема у нас с ддос-гвардами, когда весь наш трафик ходил через их центр очистки.

Представляете, как обрадуются соседи по сети атакуемого сервера, особенно если это будут геймеры, у которых вдруг пинг побежит через заграницу. По нормальному, переключение айпишника под защиту должно происходить по маске /32. Мало кто из операторов готов принимать префиксами /32 (точнее, вообще никто).

---------- Добавлено 21.04.2016 в 03:04 ----------

Ну это и есть показатель того, насколько РТ уверен в своих силах. На текущем этапе, они неплохо справляются с атаками, что будет дальше, посмотрим. Надеюсь, что месяц-два и мы запустим свой центр очистки.