パケットの出入り
サーバーはそれへの経路と同程度にしか機能しない。このページは当社の全体像である：サイトが実行するトランジットの数となぜ決して1つではないのか、どこでピアリングするのか、攻撃中にルートがどうなるか、そして「無制限」という言葉の背後にある正確な数値。
トランジット、そしてなぜ決して1つではないのか
シングルホームのホスティングは安価で、訪問したことのない都市で唯一のプロバイダーが障害を起こす午後までは問題なく機能します。
4プロバイダーが最低限です。400ギガビットの4サイトは5プロバイダーを使用しています。
すべてのサイトは、少なくとも3つの異なるネットワークからトランジットを受けており、いずれも他社の再販ではありません。これは意図的なものであり、実際にコストがかかります。最後に追加するプロバイダーは、最も少ないトラフィックを最も高いビット単価で運びますが、それがすべてを担う日が来るまでです。
キャパシティは平均ではなく障害発生時のケースに合わせて購入されます。200 Gbit/sのアップリンクを宣伝するサイトは、ピーク時に最大のセッションを失ってもパケットを落としません。なぜなら、他のすべてがその変動を吸収するようにサイズ調整されているからです。誰も気づきません。それがポイントです。
サイトごとに最低3つのトランジット
それぞれ異なる上流経路を持ち、異なるルーターに着地する、明確に異なるネットワーク。単一プロバイダーがサイトの契約容量の40%を超えることは許可されておらず、これは多様性を飾り物にしないための数値です。
平均ではなくn-1で設計
利用率の目標は、最大のセッションがすでに停止していることを前提としています。サイトがその前提で60%を超えたら回線を増設し始め、70%になるまでには新しい容量を有効化します。平均利用率は虚飾の数値であり、それに基づいて運用することはありません。
サイトの数値はあなたのポートを表さない
サイトの400ギガビットは、あなたのインスタンスについて何も語りません。あなたのポートは10、25、または40 Gbit/sで、専用です。サイトの数値は、その背後にどれだけの余地があるかを示すだけです。
ルーティングポリシーは私たちのもの
上流プロバイダーではなく、私たちが保持します。午前3時に特定のネットワークへの経路が不安定になった場合、私たちはその経路の優先度を下げ、誰かがチケットを開く前にトラフィックを移動させます。
ピアリング：地味だが機能する
ポートを持つすべてのエクスチェンジでオープンポリシー。レシオ要件も料金もありません。双方向で。
各メトロのリージョナルエクスチェンジでピアリングし、大規模なコンシューマーネットワークとは、ボリュームがクロスコネクトを正当化する場所でプライベートピアリングします。セッションは決済不要です。私たちが到達可能であることで誰かが支払うことはなく、私たちが彼らに到達する特権に対して支払うこともありません。
ピアリングはパケットを物理的に速くするわけではありません。それはホップを削除するだけで、通常、日曜日の夜9時に輻輳していたホップを削除します。私たちにとっては安く、あなたにとっては短く、インセンティブが唯一同じ方向を向いています。
エクスチェンジでのオープンピアリング
あなたが私たちが参加しているファブリックにいるなら、セッションを得られます。トラフィックレシオを満たす必要も、技術的な詳細以外の書類もありません。
ボリュームがある場所でのプライベートピアリング
単一ネットワークへのトラフィックが数ギガビット持続する場合、独自の相互接続を取得します。これはキャパシティの決定であり、商業的なものではなく、四半期ごとに見直されます。
双方向のフィルタリング
顧客のアナウンスは、顧客がアナウンスする権利があるものにフィルタリングされます。ピアからは、ピアが発信する正当な権利のないものは受け入れず、RPKI無効なルートは静かに優先度を下げるのではなく破棄されます。
有料ピアリングなし（送受信とも）
ルートは存在するか存在しないかのどちらかです。ユーザーがいるネットワークへの到達可能性を販売することは、私たちが参入しないと決めたビジネスです。
IPv6：リクエストではなくデフォルトで有効
この業界の半数は今でもIPv6を、キューが前に付いた機能リクエストとして扱っています。ここでは、何年も前からアドレス計画のより安価な半分であり、すべてのイメージは要求なしにデュアルスタックで起動します。
各インスタンスにルーティングされた/64。その背後でのサブネット分割は/48で4ユーロ。
ルーティングされ、プロキシされない
/64はあなたのインスタンスで終端します。何も変換せず、何もその中間に置かず、逆引きDNSはパネルから内部のすべてのアドレスに対して編集可能です。
/64 が足りなくなったときの /48
コンテナやネストした仮想マシンを実アドレスに置くなら、1 ヶ月 4 ユーロで、適切に委任され、同日中にルーティングされる。チケットを開けばその日のうちに処理される。
自動設定ではなく静的
イメージは静的アドレスで起動し、ルーター広告は無視される。共有ホスティング VLAN での自動設定はコイン投げであり、静的アドレスはライブマイグレーション後も再番号付けなしで維持される。
v6 専用も選択肢として対応
公開 IPv4 アドレスなしでも運用できる。プラットフォームはどちらでも気にしない。すべてのプランに IPv4 が含まれるのは、インターネットの多くがまだそれを必要としているからであり、当社がスイッチを入れることを強制するからではない。
追加の IPv4 アドレスは 1 つにつき月額 3 ユーロ。1 アカウントで 4 つを超えると、その用途を尋ねる。これはアイデンティティではなくルーティングに関する質問だ。アドレス空間は有限で、上位プロバイダーが監査するからだ。
攻撃を受けている間、あなたの経路はどうなるか
ほとんど見えない。フィルタリングはすでに経路上にあるため、攻撃はトラフィックの経路を変えるのではなく、ドロップされるものを変える。
- 01
テレメトリが発動
各エッジルーターからのフローデータは 2 秒間隔で集約される。ボリューム攻撃は、ほとんどの監視システムが最初のポーリングを終える前にしきい値を超える。
- 02
シグネチャが簡単な処理を担当
増幅攻撃や不正なトラフィックは、エッジのハードウェアでマッチするとドロップされる。迂回も人間の介入もない。数では、これが到着するトラフィックの大部分を占める。
- 03
ステートフル攻撃は迂回
SYN フラッドや接続枯渇など、理解するためにステートを必要とするものは、スクラビング複合施設を通過する。そこがステートを保持するため、インスタンスはそれを処理する必要がない。
- 04
あなたのアナウンスはそのまま
プレフィックスを撤回せず、アドレスを移動せず、逆引き DNS も機能し続ける。入ってくる経路は 1 時間前と同じで、ゴミだけが取り除かれている。
- 05
容量が尽きたら、知らせる
サイトがスクラビングできる容量を超える攻撃は、サイトがダウンするのではなく、対象アドレスが null ルートになる。謝罪テンプレートではなく数字が届き、攻撃が止まればブロックは解除される。
各サイトのスクラビング容量は、そのロケーションページに記載されている。小規模サイトで 4 Tbit/s、アンカーサイトで 12 Tbit/s。これは常時経路上に保持されている容量であり、インシデント中に誰かが購入しに行く容量ではない。
メータリングなし、数字は明記
「無制限」に数字が付いていない場合、それは礼儀正しい脅迫です。当社の無制限は、ポートに応じてスケールする95パーセンタイルレートで、毎月計算され、ここに記載されています。これにより、お客様は自分がその範囲に近いかどうかを判断できます。
当社から予期しない帯域幅の請求を受けた人は誰もいない。そのような請求を生成する仕組みは存在しない。
パーセンタイルは、請求月の5分間隔のサンプルから算出され、各方向は別々にカウントされます。回線速度いっぱいのバーストは問題なく、これまでもそうでした。シードボックスが2週間フル稼働することも問題ありません。これは人々が思う以上に驚かれることです。
一貫してこの数値を超えると、専用の40 Gbit/sポートを月額45ユーロで提案するメールが届きます。超過分の請求書の代わりに届くのは一文です。なぜなら、ここには請求書を生成できるメーターがないからです。
| ポート | フェアユースレート（95パーセンタイル） | 1 か月あたりの相当量 | それを超えるインスタンス |
|---|---|---|---|
| 10 Gbit/s | 2 Gbit/s 持続 | 約 648 TB | 約 400 分の 1 |
| 25 Gbit/s | 5 Gbit/s 持続 | 約 1.6 PB | 約 90 分の 1 |
| 40 Gbit/s | 8 Gbit/s 持続 | 約 2.6 PB | 約 20 分の 1 |
スパム、スキャン、ポート25の話
私たちはパケットを転送し、内容は読みません。したがって、このセクションのすべてはカウンターと、あなたが通信しているネットワークからの苦情に基づいています。そうせざるを得ないのです。実際にはそれで十分です。
ポート25は閉じて開始
新しいインスタンスでは、送信SMTPがブロックされています。リクエストし、送信内容を一文で説明すれば、開通します。書類も会社登録も不要で、逆引きDNSが存在するかどうかの確認だけです。
新しいインスタンスは一時的にレート制限
インスタンスの最初の24時間は、1秒あたりの接続数と送信メールが制限されます。私たちが見てきた使い捨てスパムノードのほぼすべてが、この期間内に動作して消えていきます。
スキャンは会話を早期に終了させる
第三者に対するポートスイープやクレデンシャルスタッフィングは、誰かがあなたに連絡する前に行動が起こされる唯一のカテゴリです。インスタンスは停止し、私たちが受け取ったレポートがあなたに届き、説明する機会が一度だけ与えられます。
すべてのレポートは人が読む
不正利用メールは、分類器ではなくネットワークチームの誰かの前に届きます。証拠が添付されていない自動転送にも返答はありますが、それだけで何かが動くことはありません。
私たちが見えるもの、すべて
集約フローカウンター、ポートとプロトコルの分布、および苦情者が送ってくるもの。ペイロードではなく、どこに接続したかの履歴でもなく、役に立たなくなった時点で保持されないものです。
報告は[email protected]に送信してください。ネットワークの挙動ではなくコンテンツに関するものであれば、不正利用およびDMCAのページに、あなたが苦情を申し立てているサイトの法律が実際に私たちに義務付けていることが記載されています。これはしばしば苦情者が期待するより少ないものです。
ネットワークに関する質問
ベアメタルおよびE-32以上のEPYCで、上流が許可するサイトであれば可能です。オブジェクトの詳細をチケットで送信してください。1日以内に回答と、セッション構築に必要な詳細が届きます。
サイト内であれば、無料で利用できます：どこにもルーティングされないプライベートVLANです。サイト間では、各自で暗号化オーバーレイを構築します。ナレッジベースには、動作しない図ではなく、動作する設定が掲載されています。
自分の空間を宣伝している場合、それはあなたと上流のポリシーの間の問題です。私たちが割り当てたアドレスについては、ブラックホール化はチケットで行い、1日中いつでも約1分で対応します。
そのホップがコントロールプレーンで応答を生成しており、ビジーでICMPを低優先にしているからです。これは私たちが受け取る最も一般的な誤報です。ルッキンググラスのページで、出力を正しく読む方法を説明しています。
自分で宣伝する空間については、上流が許可するサイトで可能です。私たち自身のエニーキャスト製品は販売していません。流行りの名前のロードバランサーを売るよりも、そのことを明確に伝えます。
見えるような影響はありません。アップリンクは1つずつドレインされ、セッションは残りのトランジットに移動し、作業は障害時に備えてすでに存在する容量の背後で行われます。
お金を払う前に経路を測定してください
ルッキンググラスはすべてのサイトから実行でき、アカウントは不要で、4分でこのページの4千語よりも多くの情報を得られます。