Comment les paquets entrent et sortent
Un serveur ne vaut que ce que vaut le chemin qui y mène. Cette page est l'intégralité du nôtre : combien de transits un site fait fonctionner et pourquoi il n'y en a jamais qu'un seul, où nous peerons, ce que font vos routes pendant que vous êtes attaqué, et le chiffre exact derrière le mot « illimité ».
Transit, et pourquoi il n'y en a jamais qu'un seul
L'hébergement mono-hébergé est bon marché, et il fonctionne jusqu'au jour où votre unique fournisseur a une mauvaise journée dans une ville que vous n'avez jamais visitée.
Trois fournisseurs est le minimum. Les quatre sites à 400 gigabits en ont cinq.
Chaque site prend du transit auprès d'au moins trois réseaux distincts, aucun ne revendant un autre. C'est délibéré et cela coûte de l'argent réel : le dernier fournisseur ajouté transporte le moins de trafic au prix le plus élevé par bit, jusqu'au jour où il transporte tout.
La capacité est achetée pour le cas de panne plutôt que pour la moyenne. Un site annonçant 200 Gbit/s d'uplink peut perdre sa plus grande session au pic sans perdre un seul paquet, car tout le reste est dimensionné pour absorber le déplacement. Personne ne le remarque. C'est le but.
Au moins trois transits par site
Des réseaux distincts avec des chemins de transit distincts, aboutissant à des routeurs distincts. Aucun fournisseur ne peut dépasser quarante pour cent de la capacité engagée d'un site, ce qui est le chiffre qui empêche la diversité d'être décorative.
Dimensionné pour n-1, pas pour la moyenne
Les objectifs d'utilisation supposent que la plus grande session est déjà en panne. Lorsqu'un site dépasse soixante pour cent sous cette hypothèse, nous commençons à acheter ; à soixante-dix, la nouvelle capacité est allumée. L'utilisation moyenne est une donnée futile et nous ne gérons pas en fonction de celle-ci.
Le chiffre du site n'est pas votre port
Quatre cents gigabits sur un site ne dit rien sur votre instance. Votre port est de 10, 25 ou 40 Gbit/s, il est dédié, et le chiffre du site indique seulement l'espace disponible derrière.
La politique de routage est la nôtre
Nous la détenons, pas un fournisseur amont. Si le chemin d'un fournisseur vers un réseau donné devient mauvais à trois heures du matin, nous le dépréférons et le trafic se déplace avant que quelqu'un ait ouvert un ticket à ce sujet.
Peering, qui est sans gloire et qui fonctionne
Politique ouverte à chaque exchange où nous avons un port. Pas d'exigence de ratio, pas de frais, dans les deux sens.
Nous peerons à l'exchange régional dans chaque métropole qui en a un, et en privé avec les grands réseaux de consommation là où le volume justifie un cross-connect. Les sessions sont sans règlement. Personne ne nous paie pour être joignable et nous ne payons personne pour le privilège de les atteindre.
Le peering ne rend pas un paquet plus rapide au sens physique. Ce qu'il fait, c'est supprimer un saut, et le saut supprimé est généralement celui qui était congestionné un dimanche soir à neuf heures. Moins cher pour nous, plus court pour vous, des incitations pointant dans la même direction pour une fois.
Ouvert, à l'exchange
Si vous êtes sur une infrastructure où nous sommes, vous pouvez avoir la session. Il n'y a pas de ratio de trafic à respecter et pas de paperasse au-delà des détails techniques.
Privé là où le volume est
Le trafic vers un seul réseau dépassant quelques gigabits soutenus obtient sa propre interconnexion. C'est une décision de capacité, pas une décision commerciale, et elle est revue chaque trimestre.
Filtrage dans les deux sens
Les annonces des clients sont filtrées à ce que le client est autorisé à annoncer. Des pairs, nous n'acceptons rien qu'un pair n'a pas lieu d'originer, et les routes RPKI-invalides sont abandonnées plutôt que discrètement dépréférées.
Pas de peering payant, ni en entrée ni en sortie
Une route existe ou n'existe pas. Vendre la joignabilité aux réseaux derrière lesquels vos utilisateurs se trouvent est un commerce dans lequel nous avons décidé de ne pas entrer.
IPv6, activé par défaut plutôt que sur demande
La moitié de cette industrie traite encore IPv6 comme une demande de fonctionnalité avec une file d'attente devant. Ici, c'est la moitié la moins chère du plan d'adressage depuis des années, et chaque image démarre en double pile sans qu'on le demande.
Un /64 routé avec chaque instance. Le sous-réseau derrière coûte quatre euros pour un /48.
Routé, jamais proxyé
Le /64 se termine sur votre instance. Rien ne le traduit, rien ne s'interpose, et le DNS reverse est modifiable depuis le panneau pour chaque adresse à l'intérieur.
Un /48 quand le /64 est épuisé
Quatre euros par mois, délégué proprement, pour ceux qui mettent des conteneurs ou des machines virtuelles imbriquées sur de vraies adresses. Ouvrez un ticket, c'est routé le jour même.
Statique, pas d'autoconfiguration
Les images démarrent avec une adresse statique et les annonces de routeur sont ignorées. L'autoconfiguration sur un VLAN d'hébergement partagé est un pari à pile ou face, et une adresse statique survit à une migration à chaud sans rien renuméroter.
IPv6-only est un choix supporté
Fonctionnez sans adresse IPv4 publique si vous voulez ; la plateforme s'en fiche. Chaque plan inclut IPv4 parce qu'une grande partie d'Internet l'exige encore, pas parce que nous insistons pour que vous l'activiez.
Les adresses IPv4 supplémentaires coûtent trois euros chacune par mois. Au-delà de quatre sur un même compte, nous demanderons à quoi elles servent, ce qui est une question de routage plutôt que d'identité : l'espace d'adressage est fini et les upstreams l'auditent.
Ce que font vos routes pendant que vous êtes attaqué
Presque rien de visible. Le filtrage est déjà dans le chemin, donc une attaque change ce qui est rejeté plutôt que la destination de votre trafic.
- 01
La télémétrie se déclenche
Les données de flux de chaque routeur de périphérie sont agrégées sur une fenêtre de deux secondes. Un événement volumétrique dépasse le seuil avant que la plupart des systèmes de surveillance aient terminé leur premier sondage.
- 02
Les signatures font le travail facile
Les amplifications et le trafic malformé sont rejetés dans le matériel à la périphérie sur correspondance, sans déroutement et sans intervention humaine. En nombre, c'est la grande majorité de ce qui arrive.
- 03
Les attaques avec état sont déroutées
Les SYN floods, l'épuisement des connexions et tout le reste qui nécessite de l'état pour être compris passent par le centre de nettoyage, qui conserve cet état afin que votre instance n'ait jamais à le faire.
- 04
Votre annonce reste en place
Nous ne retirons pas votre préfixe, nous ne déplaçons pas votre adresse, et votre DNS inversé continue de fonctionner. Le chemin d'entrée est le même qu'il y a une heure, avec les déchets retirés.
- 05
Si la capacité est épuisée, on vous le dit
Une attaque plus grande que ce qu'un site peut nettoyer se termine par la null-route de l'adresse cible plutôt que par l'effondrement du site. Vous recevez les chiffres, pas un modèle d'excuses, et le blocage est levé quand l'attaque s'arrête.
La capacité de nettoyage de chaque site est indiquée sur sa page de localisation : 4 Tbit/s sur les petits sites, 12 Tbit/s sur les sites principaux. C'est une capacité maintenue en permanence dans le chemin, pas une capacité que quelqu'un irait acheter pendant un incident.
Sans limitation, avec le chiffre affiché
« Illimité » sans chiffre associé est une menace avec de bonnes manières. Le nôtre est un débit au 95e percentile qui évolue avec votre port, calculé mensuellement, affiché ici pour que vous puissiez vérifier si vous en êtes proche.
Personne n'a jamais reçu de facture de bande passante surprise de notre part. Aucun mécanisme ne pourrait en produire une.
Le percentile est calculé à partir d'échantillons de cinq minutes sur le mois de facturation, chaque direction comptée séparément. Les dépassements à la vitesse du lien sont acceptables et l'ont toujours été. Une seedbox tournant à plein régime pendant quinze jours est également acceptable, ce qui surprend plus que nécessaire.
Dépassez régulièrement le chiffre et vous recevez un e-mail suggérant un port 40 Gbit/s dédié à quarante-cinq euros par mois. Ce qui arrive au lieu d'une facture de dépassement, c'est une phrase, car il n'y a ici aucun compteur capable de générer la facture.
| Port | Débit raisonnable, 95e percentile | Équivalent sur un mois | Instances qui le dépassent |
|---|---|---|---|
| 10 Gbit/s | 2 Gbit/s soutenus | environ 648 To | environ 1 sur 400 |
| 25 Gbit/s | 5 Gbit/s soutenus | environ 1,6 Po | environ 1 sur 90 |
| 40 Gbit/s | 8 Gbit/s soutenus | environ 2,6 Po | environ 1 sur 20 |
Spam, scan et la conversation sur le port 25
Nous routons les paquets et ne les lisons pas, donc tout ce qui se trouve dans cette section repose sur des compteurs et sur les plaintes des réseaux avec lesquels vous parlez. Il le faut. En pratique, cela suffit.
Le port 25 démarre fermé
Le SMTP sortant est bloqué sur une nouvelle instance. Demandez-le, décrivez en une phrase ce que vous envoyez, et il s'ouvre. Pas de documents, pas d'immatriculation d'entreprise, pas d'interrogatoire au-delà de la vérification que votre DNS inversé existe.
Les nouvelles instances sont brièvement limitées en débit
Les connexions par seconde et le courrier sortant sont plafonnés pendant les 24 premières heures de vie d'une instance. Presque chaque nœud de spam jetable que nous avons vu fait son travail dans cette fenêtre puis disparaît.
Le scan met fin à la conversation tôt
Les balayages de ports et le bourrage d'identifiants contre des tiers sont la seule catégorie sur laquelle on agit avant que quiconque ne vous parle. L'instance s'arrête, vous recevez le rapport que nous avons reçu, et vous avez une chance de l'expliquer.
Une personne lit chaque rapport
Les e-mails d'abus arrivent devant quelqu'un de l'équipe réseau plutôt que devant un classifieur. Les transferts automatisés sans preuve jointe reçoivent toujours une réponse, mais ils ne font rien bouger par eux-mêmes.
Ce que nous pouvons voir, en entier
Compteurs de flux agrégés, distributions de ports et de protocoles, et tout ce qu'un plaignant nous envoie. Pas de contenu, pas d'historique de vos connexions, et rien conservé au-delà du point où cela cesse d'être utile.
Les rapports vont à [email protected]. Si le vôtre concerne du contenu plutôt que le comportement du réseau, la page abus et DMCA définit ce que la loi du site que vous signalez nous oblige réellement à faire, ce qui est souvent moins que ce que le plaignant attend.
Questions sur le réseau
Sur bare metal et sur EPYC à partir de E-32, dans les sites où l'amont le permet. Envoyez les détails de votre objet dans un ticket et vous aurez une réponse sous un jour, avec les détails nécessaires pour établir la session.
Au sein d'un site, oui, sans frais : un VLAN privé sans route vers nulle part. Entre les sites, vous construisez votre propre overlay chiffré, et la base de connaissances contient une configuration qui fonctionne plutôt qu'un schéma qui ne fonctionne pas.
Si vous annoncez votre propre espace, c'est entre vous et la politique de votre amont. Pour les adresses que nous assignons, le blackholing est un ticket et prend environ une minute à toute heure.
Parce que ce saut a généré la réponse sur son plan de contrôle, qui est occupé et dépriorise l'ICMP. C'est la fausse alerte la plus courante que nous recevons. La page du looking glass explique comment lire correctement la sortie.
Pour votre propre espace annoncé, dans les sites où l'amont le permet. Nous ne vendons pas de produit anycast de notre cru, et nous préférons le dire que de vous vendre un répartiteur de charge au nom à la mode.
Rien que vous devriez voir. Les uplinks sont drainés un à un, les sessions passent aux transits restants, et le travail se fait derrière une capacité déjà présente pour le cas de panne.
Mesurez le chemin avant de payer quoi que ce soit
Le looking glass s'exécute depuis chaque site, ne nécessite pas de compte, et vous en dira plus en quatre minutes que cette page en quatre mille mots.