Cách các gói tin đi vào và ra
Một máy chủ chỉ tốt bằng đường dẫn đến nó. Trang này là toàn bộ của chúng tôi: bao nhiêu transit một trang web chạy và tại sao không bao giờ chỉ có một, nơi chúng tôi peer, các tuyến của bạn làm gì trong khi bạn bị tấn công, và con số chính xác đằng sau từ “không giới hạn”.
Transit, và tại sao không bao giờ chỉ có một
Lưu trữ đơn homing thì rẻ, và nó hoạt động tốt cho đến khi nhà cung cấp duy nhất của bạn gặp sự cố vào một buổi chiều nào đó ở một thành phố bạn chưa từng đặt chân đến.
Ba nhà cung cấp là mức sàn. Bốn điểm trung tâm 400 gigabit chạy năm.
Mỗi điểm trung tâm nhận kết nối transit từ ít nhất ba mạng riêng biệt, không mạng nào bán lại của mạng khác. Điều đó là có chủ đích và nó tốn kém thực sự: nhà cung cấp bạn thêm vào cuối cùng mang lượng traffic ít nhất với giá mỗi bit cao nhất, cho đến đúng ngày nó mang toàn bộ traffic.
Băng thông được mua cho trường hợp sự cố thay vì trường hợp trung bình. Một điểm trung tâm quảng cáo 200 Gbit/s uplink có thể mất phiên kết nối lớn nhất vào giờ cao điểm mà không rớt một gói tin nào, vì mọi thứ khác được định cỡ để hấp thụ sự dịch chuyển. Không ai để ý. Đó là mục đích.
Ít nhất ba transit mỗi điểm trung tâm
Các mạng riêng biệt với các đường truyền ngược riêng biệt, hạ cánh trên các bộ định tuyến riêng biệt. Không một nhà cung cấp nào được phép vượt quá bốn mươi phần trăm dung lượng cam kết của một điểm, đó là con số ngăn chặn sự đa dạng chỉ mang tính trang trí.
Định cỡ theo n-1, không phải theo trung bình
Các mục tiêu sử dụng giả định rằng phiên lớn nhất đã ngừng hoạt động. Khi một điểm vượt quá sáu mươi phần trăm theo giả định đó, chúng tôi bắt đầu mua; đến bảy mươi, dung lượng mới được kích hoạt. Sử dụng trung bình là một con số phù phiếm và chúng tôi không quản lý theo nó.
Con số của điểm trung tâm không phải là cổng của bạn
Bốn trăm gigabit tại một điểm trung tâm không nói lên điều gì về instance của bạn. Cổng của bạn là 10, 25 hoặc 40 Gbit/s, nó là dedicated, và con số của điểm trung tâm chỉ cho bạn biết có bao nhiêu dư địa phía sau nó.
Chính sách định tuyến là của chúng tôi
Chúng tôi nắm giữ nó, không phải upstream. Nếu đường đi của một nhà cung cấp tới một mạng nào đó trở nên tồi tệ lúc ba giờ sáng, chúng tôi giảm mức ưu tiên của nó và traffic được chuyển đi trước khi bất kỳ ai mở ticket về việc đó.
Peering, điều không hào nhoáng và hiệu quả
Chính sách mở tại mọi điểm exchange nơi chúng tôi có cổng. Không yêu cầu tỷ lệ, không phí, theo cả hai hướng.
Chúng tôi peer tại exchange khu vực ở mỗi khu đô thị có một, và peer riêng với các mạng tiêu dùng lớn ở nơi mà khối lượng biện minh cho cross-connect. Các phiên là settlement-free. Không ai trả tiền để chúng tôi có thể truy cập và chúng tôi không trả ai cho đặc quyền truy cập họ.
Peering không làm cho gói tin đi nhanh hơn theo nghĩa vật lý nào. Điều nó làm là xóa một hop, và hop mà nó xóa thường là hop bị nghẽn lúc chín giờ tối Chủ nhật. Rẻ hơn cho chúng tôi, ngắn hơn cho bạn, và một lần hiếm hoi động cơ của cả hai bên cùng hướng.
Mở, tại exchange
Nếu bạn ở trên hạ tầng fabric mà chúng tôi có mặt, bạn có thể có phiên. Không có tỷ lệ traffic phải đạt và không có thủ tục giấy tờ ngoài chi tiết kỹ thuật.
Riêng tư nơi có khối lượng
Traffic đến một mạng duy nhất vượt vài gigabit duy trì sẽ có kết nối riêng. Đó là quyết định về dung lượng, không phải thương mại, và được xem xét mỗi quý.
Lọc theo cả hai hướng
Tuyên bố từ khách hàng được lọc theo những gì khách hàng được quyền tuyên bố. Từ peer chúng tôi chấp nhận không gì mà peer không có quyền khởi nguồn, và các tuyến RPKI-invalid bị loại bỏ chứ không âm thầm giảm mức ưu tiên.
Không paid peering, dù vào hay ra
Một tuyến đường hoặc là tồn tại hoặc là không. Bán khả năng truy cập tới các mạng nơi người dùng của bạn ngồi là một việc kinh doanh chúng tôi quyết định không tham gia.
IPv6, bật mặc định thay vì theo yêu cầu
Một nửa ngành công nghiệp này vẫn coi IPv6 như một yêu cầu tính năng với hàng đợi phía trước. Ở đây nó đã là nửa rẻ hơn của kế hoạch địa chỉ trong nhiều năm, và mọi image khởi động dual-stack mà không cần được yêu cầu.
Một /64 được định tuyến với mỗi instance. Subnet phía sau nó tốn bốn euro cho một /48.
Được định tuyến, không bao giờ proxy
/64 kết thúc trên instance của bạn. Không gì dịch nó, không gì ngồi giữa nó, và reverse DNS có thể chỉnh từ bảng điều khiển cho mọi địa chỉ bên trong nó.
A /48 when a /64 runs out
Four euro a month, delegated properly, for anyone putting containers or nested virtual machines on real addresses. Open a ticket and it is routed the same day.
Static, not autoconfigured
Images come up with a static address and router advertisements ignored. Autoconfiguration on a shared hosting VLAN is a coin flip, and a static address survives a live migration without renumbering anything.
v6-only is a supported choice
Run without a public IPv4 address if you like; the platform does not care either way. Every plan includes IPv4 because much of the internet still requires it, not because we insist you switch it on.
Additional IPv4 addresses cost three euro each per month. Above four on one account we will ask what they are for, which is a routing question rather than an identity one: address space is finite and the upstreams audit it.
What your routes do while you are being hit
Almost nothing visible. Filtering already sits in the path, so an attack changes what gets dropped rather than where your traffic goes.
- 01
Telemetry fires
Flow data from every edge router is aggregated on a two-second window. A volumetric event trips the threshold before most monitoring systems have finished their first poll.
- 02
Signatures do the easy work
Amplification and malformed traffic get dropped in hardware at the edge on a match, with no diversion and no human involved. By count, this is the great majority of what arrives.
- 03
Stateful attacks divert
SYN floods, connection exhaustion and anything else that needs state to understand pass through the scrubbing complex, which holds that state so your instance never has to.
- 04
Your announcement stays put
We do not withdraw your prefix, we do not move your address, and your reverse DNS keeps working. The path in is the path it was an hour ago with the rubbish taken out.
- 05
If capacity runs out, you are told
An attack larger than a site can scrub ends with the target address null-routed rather than the site falling over. You get the figures, not an apology template, and the block lifts when the attack stops.
Each site’s scrubbing capacity is printed on its location page: 4 Tbit/s at the smaller sites, 12 Tbit/s at the anchors. That is capacity held permanently in path, not capacity someone would go and buy during an incident.
Unmetered, with the number printed
“Không giới hạn” mà không kèm con số là một mối đe dọa với cách cư xử tốt. Của chúng tôi là một mức theo phân vị thứ 95, thay đổi theo cổng của bạn, tính theo tháng, được in ở đây để bạn có thể tính toán xem mình có gần đạt được nó hay không.
Nobody has ever had a surprise bandwidth invoice from us. No mechanism exists that could produce one.
Phân vị được lấy từ các mẫu năm phút trong tháng thanh toán, mỗi hướng được tính riêng. Bùng nổ lên tốc độ đường truyền là ổn và luôn luôn như vậy. Một seedbox chạy hết công suất trong hai tuần cũng ổn, điều này làm người ta ngạc nhiên hơn mức cần thiết.
Vượt qua con số này một cách nhất quán và bạn sẽ nhận được email đề xuất một cổng 40 Gbit/s chuyên dụng với giá bốn mươi lăm euro một tháng. Thứ đến thay vì hóa đơn vượt mức là một câu, bởi vì không có đồng hồ nào ở đây có thể tạo ra hóa đơn.
| Cổng | Mức sử dụng hợp lý, phân vị thứ 95 | Equivalent over a month | Instances that exceed it |
|---|---|---|---|
| 10 Gbit/s | 2 Gbit/s sustained | about 648 TB | roughly 1 in 400 |
| 25 Gbit/s | 5 Gbit/s sustained | about 1.6 PB | roughly 1 in 90 |
| 40 Gbit/s | 8 Gbit/s sustained | about 2.6 PB | roughly 1 in 20 |
Spam, quét và cuộc trò chuyện về cổng 25
Chúng tôi định tuyến các gói tin và không đọc chúng, vì vậy mọi thứ trong phần này chạy trên các bộ đếm và trên các khiếu nại từ các mạng mà bạn nói chuyện. Nó phải như vậy. Trong thực tế, nó là đủ.
Cổng 25 bắt đầu đóng
SMTP gửi đi bị chặn trên một phiên bản mới. Yêu cầu nó, mô tả trong một câu bạn đang gửi gì, và nó sẽ mở. Không có tài liệu, không đăng ký công ty, không thẩm vấn ngoài việc kiểm tra rằng DNS ngược của bạn tồn tại.
Các phiên bản mới bị giới hạn tốc độ trong thời gian ngắn
Số kết nối mỗi giây và thư gửi đi bị giới hạn trong 24 giờ đầu tiên của vòng đời một phiên bản. Gần như mọi nút spam dùng một lần mà chúng tôi thấy đều hoạt động trong khoảng thời gian đó và sau đó biến mất.
Quét kết thúc cuộc trò chuyện sớm
Quét cổng và nhồi thông tin xác thực chống lại bên thứ ba là một hạng mục duy nhất được hành động trước khi bất kỳ ai nói chuyện với bạn. Phiên bản dừng lại, bạn nhận được báo cáo mà chúng tôi đã nhận, và bạn có một cơ hội để giải thích.
Một người đọc mọi báo cáo
Thư lạm dụng đến trước mặt một ai đó trong nhóm mạng thay vì một bộ phân loại. Các chuyển tiếp tự động không kèm bằng chứng vẫn nhận được câu trả lời, nhưng chúng không tự di chuyển bất cứ thứ gì.
Những gì chúng tôi có thể thấy, đầy đủ
Bộ đếm luồng tổng hợp, phân bố cổng và giao thức, và bất cứ điều gì người khiếu nại gửi cho chúng tôi. Không phải tải trọng, không phải lịch sử nơi bạn kết nối, và không có gì được giữ lại sau khi nó không còn hữu ích.
Báo cáo gửi đến [email protected]. Nếu của bạn là về nội dung thay vì hành vi mạng, trang lạm dụng và DMCA đưa ra những gì luật pháp của trang web bạn đang phàn nàn thực sự yêu cầu chúng tôi làm, điều này thường ít hơn những gì người khiếu nại mong đợi.
Câu hỏi về mạng
Trên máy chủ vật lý và trên EPYC từ E-32 trở lên, tại các trang web nơi upstream cho phép. Gửi chi tiết đối tượng của bạn trong một vé và bạn sẽ có câu trả lời trong vòng một ngày, cùng với các chi tiết bạn cần để xây dựng phiên.
Trong một trang web, có, miễn phí: một VLAN riêng không có tuyến đến bất cứ đâu. Giữa các trang web, bạn tự xây dựng lớp phủ mã hóa của riêng bạn, và cơ sở kiến thức mang một cấu hình hoạt động thay vì một sơ đồ không hoạt động.
Nếu bạn công bố không gian của riêng bạn, điều đó là giữa bạn và chính sách upstream của bạn. Đối với các địa chỉ chúng tôi gán, blackhole là một vé và mất khoảng một phút bất cứ giờ nào trong ngày.
Bởi vì hop đó tạo ra phản hồi trên mặt phẳng điều khiển của nó, bận rộn và giảm ưu tiên ICMP. Đó là báo động giả phổ biến nhất mà chúng tôi nhận được. Trang looking glass giải thích cách đọc đầu ra đúng cách.
Cho không gian được công bố của riêng bạn, tại các trang web nơi upstream cho phép. Chúng tôi không bán sản phẩm anycast của riêng chúng tôi, và chúng tôi thà nói điều đó còn hơn bán cho bạn một bộ cân bằng tải với tên thời trang.
Không có gì bạn nên thấy. Các uplink được rút từng cái một, các phiên di chuyển đến các transit còn lại, và công việc xảy ra sau dung lượng đã có sẵn cho trường hợp lỗi.
Đo đường truyền trước khi bạn trả tiền cho bất cứ điều gì
Looking glass chạy từ mọi trang web, không cần tài khoản, và sẽ cho bạn biết nhiều hơn trong bốn phút so với trang này trong bốn nghìn từ.