Yükleniyor
Küresel çoklu veri merkezi trafiğinizi yönetirken BGP Anycast, yetkili GeoDNS ve bulut proxy çözümlerini kıyaslayın. Failover sürelerini, ISP DNS önbellek ihlallerini, DDoS absorbsiyon kapasitesini ve 3 yıllık toplam sahip olma maliyetini (TCO) simüle edin.
Kendi IP bloğunuz (/24) ve ASN ile küresel Anycast yönlendirme kurun. Failover süresi, DNS TTL önbellek ihlali, DDoS absorbsiyonu ve TCO analizi.
Kullanıcılar en yakın veri merkezine BGP yönlendirmesiyle doğrudan ulaşır. Node çökerse BIRD route çekilir ve küresel yönlendirme saniyeler içinde diğer PoP'a kayar.
İnternet servis sağlayıcılarının (ISP) DNS sunucuları 60 saniyelik TTL değerlerini yok sayıp 15-60 dakika önbellekte tutabilir. Çöken sunucuya trafik gitmeye devam eder.
Kusursuz küresel ağ performansı sağlar fakat yıllık $30,000 - $60,000 civarında yüksek maliyet ve platform bağımlılığı yaratır.
GeoDNS altyapılarında (Route 53, NS1), DNS sunucusu istemcinin resolver IP adresini veya EDNS Client Subnet (ECS) bilgisini okuyarak coğrafi olarak en uygun A/AAAA kaydını döndürür. Ancak ISP çözümleyicilerinin büyük bölümü gizlilik veya performans gerekçesiyle ECS göndermez ve TTL süresini (ör. 60 sn) göz ardı edip saatlerce önbelleğe alabilir. Bir veri merkezi çöktüğünde kullanıcılar dakikalarca erişim sorunu yaşar.
BGP Anycast'te ise dünya genelinde tek bir IP kullanılır. Tüm PoP noktaları aynı IP bloğunu anons eder. İnternet omurga yönlendiricileri paketi en kısa AS-Path veya IGP metriğine göre iletir. Bir düğüm çevrimdışı kaldığında BGP oturumu kapanır ve İnternet trafiği saniyeler içinde alternatif PoP'a yönelir.
Unicast altyapıda bir IP tek bir sunucuya baktığı için gelen 50 Gbps saldırı o sunucunun hattını tamamen kilitler. Anycast topolojisinde ise dünya geneline yayılan botnet trafiği, her botun en yakın olduğu veri merkezine yönelir (Catchment).
Örneğin 4 PoP noktası bulunan bir altyapıda (Frankfurt, Amsterdam, Singapur, Virginia), saldırı trafiği 4 noktaya dağılır. Linux çekirdeğinde eBPF/XDP filtreleri veya tc flower kuralları ile saldırı paketleri kullanıcı alanına çıkmadan doğrudan ağ kartı (NIC) seviyesinde temizlenir.
Kendi IP bloğunuzu ve ASN'inizi kullanırken en kritik risk, kötü niyetli veya hatalı yapılandırılmış bir ISP'nin sizin IP bloğunuzu daha spesifik (örneğin /25) anons ederek trafiğinizi çalmasıdır (BGP Hijacking).
RIPE NCC / ARIN üzerinden prefixiniz için ROA oluşturun. Global Tier-1 operatörler geçersiz anonsları otomatik olarak drop eder.
Varsayılan BGP 90 saniyelik hold time yerine BFD protokolü kullanarak donanım veya hat kesintilerini 300 milisaniye içinde algılayın.
Kapasiteyi aşan L3/L4 saldırılarda transit operatöre BGP Community göndererek saldırı hedefini upstream seviyesinde sıfırlayın.