Home Sign Up Sign In
8520ccc

解决 ddos/cc 攻击的完美解决方案（可惜国内未推进）

  •   
  •   8520ccc · Oct 10, 2022 via iPhone · 7165 views
    This topic created in 1489 days ago, the information mentioned may be changed or developed.
    和 cf 一样做 anycast 就可以了

    例如 CDN 在全国 34 个省市都设立机房，然后用同一个 IP

    例如：6.6.6.6
    然后上海移动的用户直连上海移动的 CDN 边缘节点
    也只有上海移动的用户能直连到上海移动的 CDN 边缘节点

    这样的话，上海移动如果被攻击 ddos ，也只有上海移动的 IP 才能实施，其他区域的 IP 都不可能攻击到

    而即使上海移动有一定攻击量，也很难打动……

    因为这时候消耗的都是省内 /市内的宽带，成本很低……

    这时候只需要在边缘节点上过滤一遍攻击流量 /CC 请求

    再将正常的请求推到源站就好了（这样也能节省一部分跨省甚至跨国的攻击流量，节省成本）

    而现在国内的 CDN 都是一个机房一个 IP 段

    如果被攻击，全球的攻击流量都能到……

    这样应该完全是有利无弊的，不知为何不推进这项技术……
  • CDN
  • 攻击
  • 移动
  • 上海
    38 replies  •  2022-10-11 14:39:36 +08:00
    julyclyde
    julyclyde
    Oct 10, 2022❤️8
    1
    你知道 ddos 第一个 d 字啥意思嘛？
    你知道各服务商都有 anycast 吗？
    cxh116
    cxh116
    Oct 10, 2022
    2
    GEODNS 一样可以实现你这样的效果,虽然 IP 不同,但效果跟你说的这操作差不多.

    流量足够大, CDN 被打穿,全回到源,一样挂,只是攻击成本的问题.
    xiao109
    xiao109
    Oct 10, 2022❤️2
    3
    错觉之一，这么好的方案怎么只有我想到了
    aoling
    aoling
    Oct 10, 2022
    4
    就近处理,分布式清洗攻击流量,各运营商都有这个技术的呀,

    最终还是要有人抗下这些流量的
    Depth
    Depth
    Oct 10, 2022
    5
    成本问题，另 anycast 该技术国内各家好几年前就开始提供该技术的防御 IP 了，国内碍于成本没法平衡而已。
    Xusually
    Xusually
    Oct 10, 2022 via iPhone
    6
    这……不然 op 认为现在的高防 cdn ，高防 ip ，分布式流量清洗是怎么实现的，都是类似的技术，不过就是要付出多少成本而已。
    dingwen07
    dingwen07
    Oct 10, 2022
    7
    Anycast 是让每个区域的肉机只能攻击当前区域的服务器，理论上确实是要比 GEODNS 更好的
    不过话说国内 DDoS 的肉机都是哪来的。。。
    songpengf117
    songpengf117
    Oct 10, 2022 via iPhone❤️2
    8
    试看区块链技术能不能完美解决 ddos/cc 攻击
    Jamy
    Jamy
    Oct 10, 2022
    9
    @songpengf117 这也能用区块链技术解决?
    AA5DE3F034ACCB9E
    AA5DE3F034ACCB9E
    Oct 10, 2022
    10
    @Jamy 区块链包治百病
    mhycy
    mhycy
    Oct 10, 2022
    11
    先看看国内的 BGP 接入价格再来讨论扛 DDOS 的问题，运营商不中立结果就是 BGP 带宽价格高得飞起
    另外，还有基于 BGP 的 DDOS 流量重定向清洗方案
    参考 https://www.akamai.com/zh/products/prolexic-solutions
    因为 BGP 接入的困难性，这东西在国内难以普及
    julyclyde
    julyclyde
    Oct 10, 2022❤️11
    12
    @Jamy 5G 区块链 人工智能 物联网 能上的全给他上
    最后再做个大屏幕，声光电
    bobryjosin
    bobryjosin
    Oct 10, 2022 via iPhone
    13
    @julyclyde buff 叠满哈哈
    nightwitch
    nightwitch
    Oct 10, 2022❤️2
    14
    cdn 不用收费的吗。。
    也许你源站确实抗住了，DDOS 没把你源站打死，结果月底一看 cdn 账单 20 万，这也算解决 ddos 了吗
    tf2
    tf2
    Oct 10, 2022❤️1
    15
    @julyclyde 这大屏幕还必须是 VR 的。
    mm163
    mm163
    Oct 10, 2022
    16
    @julyclyde 有那味了。
    ZeroClover
    ZeroClover
    Oct 10, 2022
    17
    @nightwitch 实际上利用防御成本远高于攻击成本来迫使因为账单问题导致网站下线也是 DDoS 的目的之一
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    18
    @nightwitch 真的有大的 CDN 服务商提供这种方案了 直接防御免费了，因为基本不可能打死

    攻击无效

    参考 cloudflare （无限防且服务免费。。。）

    现在被攻击 CDN 贵的原因正是因为没有实施这项技术 导致被攻击清洗时成本极高（且有可能被打死）
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    19
    @mhycy 运营商的问题吧 说难度什么的我认为都不存在，这些都已经有成熟的应用了，照猫画虎，技术上肯定不是很难的

    但是中间就是依赖于运营商 人家不配合你只能看着。。
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    20
    @julyclyde 国内的 CDN 基本都用过

    阿里 /腾讯 /百度 /百度云加速 /华为（而我主要指的是这些主流的大的 CDN 服务商）

    基本都不是这个实现，都是通过 DNS 进行分区的。。。。。

    阿里 /腾讯 倒是都有这项业务 但是都是提供海外的
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    21
    @xiao109 绝非此意 我只是好奇这么好的方案为何这么久都未被国内主流 CDN 服务商启用
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    22
    @Depth 或许正是因为这项技术完全依赖于运营商 被垄断 所以价格设定很高吧 溢价很高。。。。

    或许这样更赚钱。。。。。。。。。。。。。。。。。。。。。。。。。
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    23
    @aoling 分开来扛还是很轻松的。。。。国内大的 CDN 服务商基本每个省 直辖市都有节点。。。
    8520ccc
    8520ccc
    OP
    Oct 10, 2022
    24
    @cxh116 完全不同啊 我全部流量集中打你一个区域的节点就好了（一个个摁过去）

    例如就打你上海电信的节点 全球 500G 流量过来 你上海电信就得有这么多宽带吃得下才行吧

    但是如果是 anycast 得你上海得攻击流量有这么多才行了。。。。
    mytsing520
    mytsing520
    PRO
    Oct 10, 2022
    25
    @8520ccc
    #20
    原因 11 楼讲的很清楚了，费用，费用，费用。
    你自建一套 BGP+AnyCast 的成本，和运营商直签，用运营商的线路，至少 10 套节点都有了。
    julyclyde
    julyclyde
    Oct 10, 2022
    26
    @8520ccc anycast 要加钱啊
    DNS 分区可以提供更精细的调整能力
    qwvy2g
    qwvy2g
    Oct 10, 2022 via Android
    27
    为什么不在用户侧部署联动设备自动阻断？
    loukky
    loukky
    Oct 10, 2022 via Android
    28
    anycast 并不是国内没有，只是说 CDN 一般拿不下来，国内的任播好像 DNS 比较多，阿里的，114 的都是 anycast
    xuanbg
    xuanbg
    Oct 10, 2022
    29
    OP 的错觉：DDOS 的流量都从一个地方来。。。
    runo
    runo
    Oct 10, 2022
    30
    有啥难的，实在不行就上元宇宙
    dorothyREN
    dorothyREN
    Oct 10, 2022
    31
    anycast 他只要能打挂你一个地区，那你所有地区都会被打卦
    lysS
    lysS
    Oct 10, 2022
    32
    如果 client 不是 web, 可以给 client 分组，不同的组只能请求独有的 ip ，被攻击的也只是个别组、影响有限，可以直接不管它
    leonshaw
    leonshaw
    Oct 10, 2022
    33
    这样只能缩小影响范围，打挂一个区域反而更容易了
    jy02201949
    jy02201949
    Oct 10, 2022
    34
    业内了解都知道运营商这块有整套解决方案的，直接用国内运营商在骨干网络上部署抗 D 服务，电信的云堤、联通的云盾等，ddos 流量还没到机房就被干了，当然，对应的价格也很美丽
    icy37785
    icy37785
    Oct 10, 2022
    35
    总有人认为成本问题是技术问题，然后开始发问，这么好的技术为什么不用。
    ayconanw
    ayconanw
    Oct 11, 2022
    36
    最简单的方法，套 cf ，然后服务器只给 cf 的 ip 开白名单
    L0L
    L0L
    Oct 11, 2022
    37
    应用中类似的缓存穿透
    29EtwXn6t5wgM3fD
    29EtwXn6t5wgM3fD
    Oct 11, 2022
    38
    各大厂商 CDN 为了成本都租用大量的运营商廉价的三线城市机房，甚至还有 PCDN ，把 Anycast 覆盖到这些 IP 几乎不可能
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1625 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 150ms · UTC 04:56 · PVG 12:56 · LAX 20:56 · JFK 23:56
    ♥ Do have faith in what you're doing.