Come i pacchetti entrano ed escono
Un server vale solo quanto il percorso verso di esso. Questa pagina è l'intera nostra: quanti transiti ha ogni sito e perché non ce n'è mai solo uno, dove facciamo peering, cosa fanno le tue rotte mentre sei sotto attacco, e il numero esatto dietro la parola "unmetered".
Transito, e perché non ce n'è mai solo uno
L'hosting single-homed è economico e funziona fino al pomeriggio in cui il tuo unico provider ha una brutta giornata in una città che non hai mai visitato.
Tre provider è il minimo. I quattro siti da 400 gigabit ne usano cinque.
Ogni sito riceve transito da almeno tre reti separate, nessuna delle quali rivende il transito di un'altra. Questa è una scelta deliberata e costa denaro reale: l'ultimo provider che aggiungi trasporta il minor traffico al prezzo più alto per bit, fino al giorno in cui trasporta tutto.
La capacità viene acquistata per il caso di guasto, non per la media. Un sito che pubblicizza 200 Gbit/s di uplink può perdere la sua sessione più grande al picco senza perdere un pacchetto, perché tutto il resto è dimensionato per assorbire lo spostamento. Nessuno se ne accorge. Questo è il punto.
Almeno tre transiti per sito
Reti distinte con percorsi upstream distinti, che atterrano su router distinti. Nessun singolo provider può superare il quaranta percento della capacità impegnata di un sito, che è il numero che impedisce alla diversità di essere decorativa.
Dimensionato per n-1, non per la media
Gli obiettivi di utilizzo presuppongono che la sessione più grande sia già down. Quando un sito supera il sessanta percento in questa ipotesi, iniziamo a comprare; al settanta la nuova capacità è attiva. L'utilizzo medio è una cifra vanitosa e non lo gestiamo.
La cifra del sito non è la tua porta
Quattrocento gigabit in un sito non dicono nulla sulla tua istanza. La tua porta è da 10, 25 o 40 Gbit/s, è dedicata, e il numero del sito indica solo quanto spazio c'è dietro.
La policy di routing è nostra
La gestiamo noi, non un upstream. Se il percorso di un provider verso una data rete diventa brutto alle tre di notte, la deprioritizziamo e il traffico si sposta prima che qualcuno apra un ticket al riguardo.
Peering, che è poco affascinante e funziona
Policy aperta in ogni exchange dove abbiamo una porta. Nessun requisito di rapporto, nessuna tariffa, in entrambe le direzioni.
Facciamo peering con l'exchange regionale in ogni area metropolitana che ne ha uno, e privatamente con i grandi network consumer dove il volume giustifica un cross-connect. Le sessioni sono settlement-free. Nessuno paga per essere raggiungibile e non paghiamo nessuno per il privilegio di raggiungerli.
Il peering non fa viaggiare un pacchetto più velocemente in alcun senso fisico. Quello che fa è eliminare un hop, e l'hop che elimina è di solito quello congestionato la domenica sera alle nove. Più economico per noi, più corto per te, incentivi allineati per una volta.
Aperto, all'exchange
Se sei su una fabric su cui siamo anche noi, puoi avere la sessione. Non c'è un rapporto di traffico da rispettare e nessuna burocrazia oltre ai dettagli tecnici.
Privato dove c'è volume
Il traffico verso una singola rete oltre qualche gigabit sostenuto ottiene un interconnect dedicato. È una decisione di capacità, non commerciale, e viene rivista ogni trimestre.
Filtraggio in entrambe le direzioni
Gli annunci dei clienti sono filtrati in base a ciò che il cliente ha il diritto di annunciare. Dai peer accettiamo solo ciò che un peer non ha alcun motivo di originare, e le rotte RPKI-invalid vengono scartate piuttosto che deprioritizzate silenziosamente.
Nessun peering a pagamento, in entrata o in uscita
Una rotta esiste o non esiste. Vendere la raggiungibilità alle reti su cui si trovano i tuoi utenti è un business in cui abbiamo deciso di non entrare.
IPv6, attivo di default piuttosto che su richiesta
Metà di questo settore tratta ancora IPv6 come una richiesta di funzionalità con una coda davanti. Qui è stato per anni la metà più economica del piano di indirizzi, e ogni immagine avvia dual-stack senza che glielo si chieda.
Un /64 instradato con ogni istanza. Il subnetting dietro costa quattro euro per un /48.
Instradato, mai in proxy
Il /64 termina sulla tua istanza. Nulla lo traduce, nulla si trova in mezzo, e il DNS inverso è modificabile dal pannello per ogni indirizzo al suo interno.
Un /48 quando il /64 finisce
Quattro euro al mese, delegato correttamente, per chiunque metta container o macchine virtuali nidificate su indirizzi reali. Apri un ticket e viene instradato lo stesso giorno.
Statico, non autoconfigurato
Le immagini vengono avviate con un indirizzo statico e gli annunci router vengono ignorati. L'autoconfigurazione su una VLAN di hosting condiviso è un lancio di moneta, e un indirizzo statico sopravvive a una migrazione live senza rinumerare nulla.
Solo IPv6 è una scelta supportata
Esegui senza un indirizzo IPv4 pubblico se preferisci; la piattaforma non se ne cura. Ogni piano include IPv4 perché gran parte di internet lo richiede ancora, non perché insistiamo che tu lo attivi.
Gli indirizzi IPv4 aggiuntivi costano tre euro ciascuno al mese. Oltre quattro su un account chiederemo a cosa servono, che è una questione di instradamento piuttosto che di identità: lo spazio degli indirizzi è finito e gli upstream lo controllano.
Cosa fanno le tue route mentre sei sotto attacco
Quasi nulla di visibile. Il filtraggio è già nel percorso, quindi un attacco cambia ciò che viene scartato piuttosto che dove va il tuo traffico.
- 01
La telemetria scatta
I dati di flusso di ogni router perimetrale vengono aggregati su una finestra di due secondi. Un evento volumetrico supera la soglia prima che la maggior parte dei sistemi di monitoraggio abbia completato il primo sondaggio.
- 02
Le firme fanno il lavoro facile
Il traffico di amplificazione e malformato viene scartato nell'hardware al perimetro su una corrispondenza, senza deviazione e senza intervento umano. Per conteggio, questa è la grande maggioranza di ciò che arriva.
- 03
Gli attacchi stateful deviano
SYN flood, esaurimento delle connessioni e qualsiasi altra cosa che richieda stato per essere compresa passano attraverso il complesso di pulizia, che mantiene tale stato così che la tua istanza non debba mai farlo.
- 04
Il tuo annuncio rimane al suo posto
Non ritiriamo il tuo prefisso, non spostiamo il tuo indirizzo, e il tuo reverse DNS continua a funzionare. Il percorso in ingresso è quello di un'ora fa con la spazzatura rimossa.
- 05
Se la capacità si esaurisce, ti viene detto
Un attacco più grande di quanto un sito possa ripulire termina con l'indirizzo di destinazione null-routed piuttosto che il sito cada. Ricevi i numeri, non un modello di scuse, e il blocco viene rimosso quando l'attacco si ferma.
La capacità di pulizia di ogni sito è stampata sulla sua pagina di localizzazione: 4 Tbit/s nei siti più piccoli, 12 Tbit/s negli ancoraggi. Questa è capacità tenuta permanentemente nel percorso, non capacità che qualcuno andrebbe a comprare durante un incidente.
Senza limiti, con il numero stampato
"Illimitato" senza una cifra allegata è una minaccia con buone maniere. Il nostro è un tasso al 95° percentile che scala con la tua porta, calcolato mensilmente, stampato qui così puoi verificare se ci sei vicino.
Nessuno ha mai avuto una fattura di larghezza di banda a sorpresa da noi. Non esiste alcun meccanismo che possa produrne una.
Il percentile è calcolato su campioni di cinque minuti nel mese di fatturazione, ogni direzione contata separatamente. Il burst alla velocità di linea è consentito e lo è sempre stato. Un seedbox che gira a piena velocità per due settimane è anche consentito, il che sorprende più del dovuto.
Supera la cifra in modo costante e riceverai un'email che suggerisce una porta dedicata a 40 Gbit/s a quarantacinque euro al mese. Al posto di una fattura per eccedenza arriva una frase, perché qui non c'è nessun contatore in grado di generare la fattura.
| Porta | Tasso di fair use, 95° percentile | Equivalente in un mese | Istanze che la superano |
|---|---|---|---|
| 10 Gbit/s | 2 Gbit/s sostenuti | circa 648 TB | circa 1 su 400 |
| 25 Gbit/s | 5 Gbit/s sostenuti | circa 1.6 PB | circa 1 su 90 |
| 40 Gbit/s | 8 Gbit/s sostenuti | circa 2.6 PB | circa 1 su 20 |
Spam, scansioni e la conversazione sulla porta 25
Instradiamo pacchetti e non li leggiamo, quindi tutto in questa sezione si basa su contatori e sulle segnalazioni delle reti con cui parli. Deve essere così. In pratica basta.
La porta 25 parte chiusa
L'SMTP in uscita è bloccato su una nuova istanza. Chiedilo, descrivi in una frase cosa stai inviando, e si apre. Niente documenti, niente registrazione aziendale, nessun interrogatorio oltre al controllo che il tuo reverse DNS esista.
Le nuove istanze sono soggette a un limite di velocità temporaneo
Le connessioni al secondo e la posta in uscita sono limitate per le prime 24 ore di vita di un'istanza. Quasi ogni nodo di spam usa e getta che abbiamo visto fa il suo lavoro in quella finestra e poi sparisce.
La scansione interrompe la conversazione in anticipo
Le scan di porte e il credential stuffing contro terze parti sono l'unica categoria su cui si agisce prima che qualcuno parli con te. L'istanza si ferma, ricevi il report che abbiamo ricevuto noi, e hai una sola possibilità di spiegarlo.
Una persona legge ogni segnalazione
La posta di abuso arriva davanti a qualcuno del team di rete piuttosto che a un classificatore. Gli inoltri automatici senza prove allegate ricevono comunque una risposta, ma non muovono nulla da soli.
Cosa possiamo vedere, per intero
Contatori di flusso aggregati, distribuzioni di porte e protocolli, e qualsiasi cosa un denunciante ci invii. Non payload, non una cronologia di dove ti sei connesso, e nulla conservato oltre il punto in cui smette di essere utile.
Le segnalazioni vanno a [email protected]. Se la tua riguarda contenuti piuttosto che comportamento di rete, la pagina abuso e DMCA chiarisce cosa la legge del sito di cui ti lamenti ci obbliga effettivamente a fare, che spesso è meno di quanto il denunciante si aspetti.
Domande sulla rete
Su bare metal e su EPYC dalla E-32 in su, nei siti dove l'upstream lo consente. Invia i dettagli del tuo oggetto in un ticket e avrai una risposta entro un giorno, insieme ai dettagli necessari per costruire la sessione.
All'interno di un sito, sì, senza costi: una VLAN privata senza rotta verso alcuna destinazione. Tra siti ti costruisci il tuo overlay crittografato, e la knowledge base contiene una configurazione che funziona, non un diagramma che non funziona.
Se annunci il tuo spazio, è una questione tra te e la politica del tuo upstream. Per gli indirizzi che assegniamo noi, il blackhole è un ticket e richiede circa un minuto a qualsiasi ora del giorno.
Perché quell'hop ha generato la risposta sul suo control plane, che è occupato e de-prioritizza ICMP. È il falso allarme più comune che riceviamo. La pagina del looking glass spiega come leggere correttamente l'output.
Per il tuo spazio annunciato, nei siti dove l'upstream lo consente. Non vendiamo un prodotto anycast nostro, e preferiamo dirlo piuttosto che venderti un load balancer con un nome di moda.
Niente che dovresti vedere. Gli uplink vengono drenati uno alla volta, le sessioni si spostano sui transiti rimanenti, e il lavoro avviene dietro una capacità che era già lì per il caso di guasto.
Misura il percorso prima di pagare qualcosa
Il looking glass gira da ogni sito, non richiede account, e ti dirà più in quattro minuti di quanto questa pagina possa in quattromila parole.