Wie Pakete rein- und rauskommen
Ein Server ist nur so gut wie der Weg zu ihm. Diese Seite zeigt unseren gesamten: wie viele Transits ein Standort hat und warum es nie nur einen gibt, wo wir peeren, was Ihre Routen während eines Angriffs tun und die genaue Zahl hinter dem Wort „unbegrenzt“.
Transit, und warum es nie nur einen gibt
Single-Homed-Hosting ist billig, und es funktioniert – bis zu dem Nachmittag, an dem Ihr einziger Provider einen schlechten Tag in einer Stadt hat, die Sie nie besucht haben.
Drei Provider sind das Minimum. Die vier 400-Gigabit-Standorte haben fünf.
Jeder Standort bezieht Transit von mindestens drei getrennten Netzen, von denen keins ein anderes weiterverkauft. Das ist Absicht und kostet echtes Geld: Der letzte Provider, den Sie hinzufügen, trägt am wenigsten Verkehr zum höchsten Preis pro Bit – genau bis zu dem Tag, an dem er den gesamten Verkehr trägt.
Kapazität wird für den Ausfallfall gekauft, nicht für den Durchschnitt. Ein Standort mit beworbenen 200 Gbit/s Uplink kann seine größte Session am Peak verlieren, ohne ein Paket fallen zu lassen, weil alles andere so dimensioniert ist, dass es die Verschiebung absorbiert. Niemand merkt es. Das ist der Punkt.
Mindestens drei Transits pro Standort
Getrennte Netze mit getrennten Upstream-Pfaden, die auf getrennten Routern landen. Kein einzelner Anbieter darf über vierzig Prozent der gebuchten Kapazität eines Standorts liegen – das ist die Zahl, die verhindert, dass Diversität nur Dekoration ist.
Dimensioniert für n-1, nicht für den Mittelwert
Die Auslastungsziele gehen davon aus, dass die größte Session bereits ausgefallen ist. Wenn ein Standort unter dieser Annahme sechzig Prozent überschreitet, beginnen wir mit dem Zukauf; bei siebzig ist die neue Kapazität geschaltet. Die durchschnittliche Auslastung ist eine Eitelkeitskennzahl, danach richten wir uns nicht.
Die Standortzahl ist nicht Ihr Port
Vierhundert Gigabit an einem Standort sagen nichts über Ihre Instanz aus. Ihr Port hat 10, 25 oder 40 Gbit/s, er ist dediziert, und die Standortzahl sagt Ihnen nur, wie viel Raum dahinter existiert.
Die Routing-Policy gehört uns
Wir halten sie, nicht ein Upstream. Wenn der Pfad eines Providers zu einem bestimmten Netz um drei Uhr nachts schlecht wird, depreferenzieren wir ihn, und der Traffic zieht um, bevor jemand ein Ticket dazu eröffnet hat.
Peering, das unglamourös ist und funktioniert
Offene Policy an jeder Exchange, an der wir einen Port haben. Kein Ratio-Zwang, keine Gebühr, in beide Richtungen.
Wir peeren an der regionalen Exchange in jeder Metropole, die eine hat, und privat mit den großen Endkunden-Netzen, wo das Volumen einen Querverbindung rechtfertigt. Die Sessions sind settlement-frei. Niemand zahlt uns, um erreichbar zu sein, und wir zahlen niemandem für das Privileg, sie zu erreichen.
Peering macht ein Paket physikalisch nicht schneller. Was es tut, ist, einen Hop zu löschen – und der Hop, den es löscht, ist normalerweise der, der sonntagabends um neun überlastet war. Billiger für uns, kürzer für Sie, und die Anreize zeigen zum ersten Mal in dieselbe Richtung.
Offen an der Exchange
Wenn Sie in einem Fabric sind, an dem wir teilnehmen, können Sie die Session bekommen. Es gibt kein Traffic-Verhältnis, das Sie erfüllen müssen, und keinen Papierkram außer den technischen Details.
Privat, wo das Volumen ist
Dauerhafter Traffic zu einem einzelnen Netz von ein paar Gigabit aufwärts bekommt eine eigene Zusammenschaltung. Das ist eine Kapazitätsentscheidung, keine kommerzielle, und wird jedes Quartal überprüft.
Filterung in beide Richtungen
Kundenankündigungen werden auf das gefiltert, was der Kunde anzukündigen berechtigt ist. Von Peers akzeptieren wir nichts, was ein Peer nicht zu verantworten hat, und RPKI-ungültige Routen werden verworfen, nicht stillschweigend depreferenziert.
Kein kostenpflichtiges Peering, rein oder raus
Eine Route existiert oder nicht. Erreichbarkeit an die Netze zu verkaufen, hinter denen Ihre Nutzer sitzen, ist ein Geschäft, in dem wir uns bewusst nicht engagieren.
IPv6, standardmäßig aktiviert statt auf Anfrage
Die Hälfte dieser Branche behandelt IPv6 immer noch als Feature-Request mit vorgeschalteter Warteschlange. Hier ist es seit Jahren die günstigere Hälfte des Adressplans, und jedes Image bootet dual-stack, ohne gefragt zu werden.
Ein geroutetes /64 bei jeder Instanz. Subnetze dahinter kosten vier Euro für ein /48.
Geroutet, nie per Proxy
Das /64 endet auf Ihrer Instanz. Nichts übersetzt es, nichts sitzt in der Mitte, und das Reverse-DNS ist für jede Adresse im Panel editierbar.
Ein /48, wenn das /64 nicht reicht
Vier Euro im Monat, sauber delegiert, für alle, die Container oder verschachtelte virtuelle Maschinen auf echten Adressen betreiben. Ticket aufmachen, und es wird am selben Tag geroutet.
Statisch statt autokonfiguriert
Images kommen mit einer statischen Adresse hoch, Router Advertisements werden ignoriert. Autokonfiguration in einem Shared-Hosting-VLAN ist ein Glücksspiel, und eine statische Adresse übersteht eine Live-Migration, ohne dass irgendetwas umnummeriert wird.
Nur v6 ist eine unterstützte Option
Betreiben Sie ruhig ohne öffentliche IPv4-Adresse, die Plattform ist das egal. Jeder Tarif enthält IPv4, weil große Teile des Internets es noch brauchen, nicht weil wir darauf bestehen, dass Sie es aktivieren.
Zusätzliche IPv4-Adressen kosten drei Euro pro Monat. Bei mehr als vier auf einem Konto fragen wir nach, wofür sie gebraucht werden – eine Routing-Frage, keine Identitätsfrage: Der Adressraum ist begrenzt, und die Upstreams prüfen das.
Was Ihre Routen tun, während Sie angegriffen werden
Fast nichts Sichtbares. Die Filterung liegt bereits im Pfad, ein Angriff ändert also, was verworfen wird, und nicht, wohin Ihr Verkehr geht.
- 01
Telemetrie feuert
Flow-Daten von jedem Edge-Router werden in einem Zwei-Sekunden-Fenster aggregiert. Ein volumetrisches Ereignis löst den Schwellenwert aus, bevor die meisten Überwachungssysteme ihren ersten Poll beendet haben.
- 02
Signaturen erledigen die einfache Arbeit
Amplifikations- und fehlgeformter Verkehr wird bei Übereinstimmung in Hardware an der Edge verworfen, ohne Umleitung und ohne menschliches Eingreifen. Der Anzahl nach ist das die große Mehrheit dessen, was ankommt.
- 03
Stateful-Angriffe werden umgeleitet
SYN-Floods, Verbindungserschöpfung und alles andere, das State zum Verständnis braucht, geht durch den Scrubbing-Komplex, der diesen State hält, sodass Ihre Instanz es nie tun muss.
- 04
Ihre Ankündigung bleibt bestehen
Wir ziehen Ihr Präfix nicht zurück, wir verschieben Ihre Adresse nicht, und Ihr Reverse-DNS funktioniert weiter. Der Weg hinein ist der Weg von vor einer Stunde, nur ohne den Müll.
- 05
Wenn die Kapazität erschöpft ist, wird es Ihnen gesagt
Ein Angriff, der größer ist als ein Standort scruben kann, endet damit, dass die Zieladresse null-routed wird, statt dass der Standort kippt. Sie bekommen die Zahlen, keine Entschuldigungsvorlage, und die Sperre wird aufgehoben, wenn der Angriff aufhört.
Die Scrubbing-Kapazität jedes Standorts ist auf seiner Standortseite ausgewiesen: 4 Tbit/s an den kleineren Standorten, 12 Tbit/s an den Ankern. Das ist Kapazität, die dauerhaft im Pfad gehalten wird, nicht Kapazität, die man während eines Vorfalls erst kaufen würde.
Unbegrenzt, mit der Zahl im Klartext
„Unbegrenzt“ ohne konkrete Zahl ist eine Drohung mit guten Manieren. Unser Wert ist ein 95. Perzentil-Satz, der sich nach Ihrem Port richtet, monatlich berechnet und hier aufgeführt, damit Sie selbst prüfen können, ob Sie in der Nähe davon liegen.
Noch nie hat jemand von uns eine überraschende Bandbreitenrechnung bekommen. Es gibt keinen Mechanismus, der eine erzeugen könnte.
Das Perzentil wird aus Fünf-Minuten-Stichproben über den Abrechnungsmonat ermittelt, jede Richtung getrennt gezählt. Bursts bis zur Leitungskapazität sind in Ordnung und waren schon immer in Ordnung. Auch eine Seedbox, die zwei Wochen lang durchläuft, ist in Ordnung – das überrascht mehr Leute als es sollte.
Wer die Zahl konsistent überschreitet, erhält eine E-Mail mit dem Vorschlag eines dedizierten 40-Gbit/s-Ports für fünfundvierzig Euro im Monat. Statt einer Rechnung für die Übernutzung kommt ein Satz, denn hier gibt es keinen Zähler, der eine solche Rechnung erzeugen könnte.
| Port | Fair-Use-Satz, 95. Perzentil | Entspricht in einem Monat | Instanzen, die darüber liegen |
|---|---|---|---|
| 10 Gbit/s | 2 Gbit/s dauerhaft | ca. 648 TB | etwa 1 von 400 |
| 25 Gbit/s | 5 Gbit/s dauerhaft | ca. 1,6 PB | etwa 1 von 90 |
| 40 Gbit/s | 8 Gbit/s dauerhaft | ca. 2,6 PB | etwa 1 von 20 |
Spam, Scans und das Gespräch über Port 25
Wir leiten Pakete weiter und lesen sie nicht, daher basiert alles in diesem Abschnitt auf Zählern und auf Beschwerden der Netzwerke, mit denen Sie sprechen. Es muss so sein. In der Praxis reicht es.
Port 25 startet geschlossen
Ausgehendes SMTP ist bei einer neuen Instanz blockiert. Fordern Sie es an, beschreiben Sie in einem Satz, was Sie senden, und es wird geöffnet. Keine Dokumente, keine Firmenregistrierung, kein Verhör, außer der Prüfung, ob Ihr Reverse-DNS existiert.
Neue Instanzen sind vorübergehend limitiert
Verbindungen pro Sekunde und ausgehende E-Mails sind in den ersten 24 Stunden der Lebensdauer einer Instanz begrenzt. Fast jeder Wegwerf-Spam-Knoten, den wir gesehen haben, erledigt seine Arbeit in diesem Zeitfenster und verschwindet dann.
Scannen beendet das Gespräch frühzeitig
Port-Scans und Credential-Stuffing gegen Dritte sind die einzige Kategorie, auf die reagiert wird, bevor jemand mit Ihnen spricht. Die Instanz wird gestoppt, Sie erhalten den Bericht, den wir erhalten haben, und Sie haben eine Chance, ihn zu erklären.
Eine Person liest jeden Bericht
Missbrauchs-E-Mails landen bei jemandem im Netzwerk-Team und nicht bei einem Klassifikator. Automatisierte Weiterleitungen ohne Beweise erhalten weiterhin eine Antwort, aber sie bewirken von sich aus nichts.
Was wir sehen können, vollständig
Aggregierte Flow-Zähler, Port- und Protokollverteilungen und das, was ein Beschwerdeführer uns sendet. Keine Nutzdaten, keine Historie darüber, wohin Sie sich verbunden haben, und nichts wird über den Punkt hinaus aufbewahrt, an dem es nicht mehr nützlich ist.
Berichte gehen an [email protected]. Wenn es bei Ihrer Beschwerde um Inhalte geht und nicht um Netzwerkverhalten, erklärt die Seite Missbrauch und DMCA, was das Gesetz der Website, über die Sie sich beschweren, tatsächlich von uns verlangt – und das ist häufig weniger, als der Beschwerdeführer erwartet.
Fragen zum Netzwerk
Bei Bare-Metal und bei EPYC ab der E-32 aufwärts, an Standorten, an denen der Upstream dies zulässt. Senden Sie Ihre Objektdetails in einem Ticket, und Sie erhalten innerhalb eines Tages eine Antwort, zusammen mit den Details, die Sie für den Aufbau der Session benötigen.
Innerhalb eines Standorts, ja, kostenlos: ein privates VLAN ohne Route nach außen. Zwischen Standorten bauen Sie Ihr eigenes verschlüsseltes Overlay, und die Wissensdatenbank enthält eine Konfiguration, die funktioniert, statt eines Diagramms, das dies nicht tut.
Wenn Sie eigenen Adressraum ankündigen, ist das eine Sache zwischen Ihnen und der Richtlinie Ihres Upstreams. Für Adressen, die wir zuweisen, ist das Blackholen ein Ticket und dauert zu jeder Tageszeit etwa eine Minute.
Weil dieser Hop die Antwort auf seiner Control Plane erzeugt hat, die ausgelastet ist und ICMP herabstuft. Das ist der häufigste Fehlalarm, den wir erhalten. Die Looking-Glass-Seite erklärt, wie man die Ausgabe richtig liest.
Für Ihren eigenen angekündigten Adressraum, an Standorten, an denen der Upstream es erlaubt. Wir verkaufen kein eigenes Anycast-Produkt, und wir sagen das lieber, als Ihnen einen Load Balancer mit modischem Namen zu verkaufen.
Nichts, das Sie bemerken sollten. Uplinks werden einzeln geleert, Sessions wechseln zu den verbleibenden Transits, und die Arbeit geschieht hinter Kapazität, die bereits für den Fehlerfall vorhanden war.
Messen Sie den Pfad, bevor Sie etwas bezahlen
Das Looking Glass läuft von jedem Standort, benötigt kein Konto und verrät Ihnen in vier Minuten mehr als diese Seite in viertausend Wörtern.