Документация
Панель управления API

Схемы интеграции и способы передачи очищенного трафика

Какие варианты подключения защиты и передачи очищенного трафика доступны, как выбрать подходящие вам.

Схемы интеграции

Доступно две схемы: On-Demand и Cloud Signaling. Обе защищают вас от DDoS-атак с помощью IP-транзита. Главное различие между ними — постоянно трафик проходит через инфраструктуру Servicepipe или только в момент атаки.

On-Demand Cloud Signaling

Подойдёт вам, если

Вы хотите полностью доверить защиту от DDoS-атак Servicepipe.

У вас есть анализатор трафика, который умеет отправлять BGP-анонс. Servicepipe можно использовать как основную защиту от атак или как резерв для вашей локальной защиты.

Суть схемы

Ваш трафик постоянно проходит через инфраструктуру Servicepipe. Наша система анализирует его, и:

  • пока нет DDoS-атаки, передаёт весь входящий трафик дальше, в вашу сеть;

  • когда идёт атака, блокирует её и передаёт вам только легитимный трафик.

По умолчанию весь трафик идёт напрямую в вашу инфраструктуру. Анализатор постоянно отслеживает, есть ли DDoS-атака и каков её объём.

Маршрут входящего трафика временно меняется на пользователи → Servicepipe → ваша инфраструктура, если:

  • анализатор обнаружил атаку и трафик нужно передать на очистку в Servicepipe;

  • у вас есть локальная защита, но она не справляется с атакой или атака перегружает входящий канал.

Наша система действует как фильтр: принимает весь трафик, блокирует атаку и передаёт вам только легитимные пакеты.

Кто обнаруживает атаку

Servicepipe.

Ваш локальный анализатор трафика.

Кто отбивает атаку

Servicepipe.

Если у вас есть локальная защита, небольшие атаки она может отбивать самостоятельно. Если анализатор отправляет сигнал в Servicepipe, атаку отбивает наша система.

Как работает схема

1. Вы настраиваете маршрутизацию так, чтобы входящий трафик к защищаемым подсетям поступал в инфраструктуру Servicepipe.

2. Система анализа Servicepipe постоянно отслеживает объём трафика и сравнивает его с пороговыми значениями, установленными в объектах мониторинга.

3. Пока не зафиксировано аномалий трафика (то есть пока не превышены пороговые значения), все входящие пакеты передаются напрямую в вашу сеть по выбранному способу доставки: через L2-канал или GRE-туннель.

4. Как только зафиксирована аномалия трафика, наша система начинает фильтрацию: сбрасывает вредоносные пакеты и передаёт вам только легитимные.

5. Как только аномалия закончилась, наша система отключает фильтрацию и снова пропускает весь трафик к вашим подсетям.

1. Трафик поступает напрямую в вашу инфраструктуру.

2. Ваш локальный анализатор трафика отслеживает атаки и оценивает их объём.

3. Когда трафик нужно передать на очистку в Servicepipe, анализатор отправляет BGP-анонс.

4. Атакуемые префиксы временно анонсируются через инфраструктуру Servicepipe по BGP.

5. Входящий трафик поступает в Servicepipe. Наша система его очищает: сбрасывает вредоносные пакеты и пропускает дальше только легитимные.

6. Легитимный трафик передаётся вам по выбранному способу доставки: через L2-канал или GRE-туннель.

7. Когда атака закончилась, наша система ещё некоторое время продолжает следить за вашим трафиком. Если атака не возобновилась, анонс IP-адресов снимается с Servicepipe — трафик снова поступает в вашу инфраструктуру напрямую.

Что нужно для подключения

Схему можно подключить в двух случаях:

  • У вас есть собственная автономная система и IP-адреса.

  • Вы арендуете у партнёра Servicepipe пул IP-адресов, которые защищаются нашей инфраструктурой.

Подключение для адресов, арендованных у сторонних операторов, недоступно.

Если используете собственную автономную систему и IP-адреса, нужно:

  • Передать номер вашей автономной системы и список сетей, которые нужно защищать. Минимальный размер защищаемой сети — /24.

  • (Опционально) заполнить опросник, который пришлют наши инженеры, если нужно настроить защиту индивидуально под ваш ресурс. Без опросника мы подключим защиту со стандартными правилами фильтрации.

  • Поднять BGP-сессию с нашей автономной системой и анонсировать через неё защищаемые подсети.

Если используете арендованные адреса, нужно:

  • Передать список IP-адресов или подсетей, которые нужно защищать. Можно подключать сети размером меньше /24, например /28 или /30.

  • (Опционально) заполнить опросник, который пришлют наши инженеры, если нужно настроить защиту индивидуально под ваш ресурс. Без опросника мы подключим защиту со стандартными правилами фильтрации.

  • Настроить BGP-сессию с партнёром Servicepipe, у которого вы арендуете IP-адреса.

Для небольших сетей возможно подключение без BGP — с использованием статического или директного маршрута.

Схема доступна только при наличии у вас собственной автономной системы и подсетей.

Для подключения нужно:

  • Сообщить, что используется в вашей инфраструктуре для анализа трафика. Это может быть наше on-premise решение FlowCollector или продукт другого провайдера. Важное условие: решение должно поддерживать BGP-сигналинг.

  • Передать номер вашей автономной системы и список сетей, которые нужно защищать. Минимальный размер защищаемой сети — /24.

  • (Опционально) заполнить опросник, который пришлют наши инженеры, чтобы мы могли настроить защиту точнее.

  • Поднять BGP-сессию с нашей автономной системой и настроить BGP-сигнализацию.

Ответы на вопросы:

Почему схема называется On-Demand (с англ. «по требованию»), хотя трафик проходит через инфраструктуру Servicepipe постоянно?

Фраза «On-Demand» описывает режим фильтрации, а не режим перевода трафика.

Весь трафик правда 24/7 проходит через Servicepipe. А вот фильтруется он on-demand — только в момент аномалии:

  • Если пороговые значения трафика, установленные для ваших подсетей, не превышены, это значит, аномалии нет. Наша система пропускает весь входящий трафик в вашу инфраструктуру.

  • Как только превышено хотя бы одно пороговое значение по трафику, наша система включает фильтрацию: сбрасывает вредоносные пакеты и пропускает в вашу инфраструктуру только легитимные. Таким образом она отражает DDoS-атаку.

Что такое BGP-сигнализация, чем отличается от постоянного BGP-анонса?

BGP-сигнализация — способ временно переводить трафик в инфраструктуру Servicepipe, когда локальная защита не справляется с аномалией.

Главное отличие — в режиме анонса. При постоянном BGP-анонсе через нашу автономную систему всё время анонсируются все защищаемые префиксы. При BGP-сигнализации через нашу автономную систему анонсируются только атакуемые префиксы и только на время аномалии.

Пример. Предположим, у вас две подсети.

При постоянном BGP-анонсе трафик к обеим всегда проходит через инфраструктуру Servicepipe.

При BGP-сигнализации:

  • Пока атаки нет или локальная защита справляется сама, весь трафик идёт напрямую в вашу инфраструктуру.

  • Как только локальная защита перестаёт справляться с атакой на какую-то подсеть, она подаёт «сигнал о помощи» в Servicepipe. Servicepipe анонсирует эту подсеть из своей инфраструктуры, принимает трафик, фильтрует его и передаёт вам только легитимные пакеты. Трафик ко второй подсети продолжает идти к вам напрямую.

  • Когда аномалия заканчивается, временный анонс снимается. Трафик к обеим подсетям снова идёт напрямую в вашу инфраструктуру.

Способы передачи очищенного трафика

Очищенный трафик можно передать в вашу инфраструктуру двумя способами: через L2-канал или GRE-туннель. Ниже рассказываем, как они работают и что нужно для подключения.

Советуем L2-канал: это более стабильный вариант передачи данных. Но выбор оставляем за вами.

L2-канал

Что это: выделенное соединение между вашей инфраструктурой и нашей защитой.

Как работает: организуется L2-связность между нашей защитой и вашим сетевым оборудованием. После фильтрации очищенный трафик передаётся через согласованный порт или VLAN.

Что нужно для подключения: передать информацию о размещении оборудования и согласовать с нашими инженерами параметры подключения.

Если оборудование с обеих сторон находится в одном дата-центре, его можно соединить через кроссировку. Если в разных — потребуется оператор последней мили: он организует канал между вашей и нашей площадками.

Набор параметров зависит от того, используете ли вы собственную автономную систему и IP-адреса или арендуете адреса у партнёра Servicepipe. Подробный список данных, которые наши инженеры запросят на этапе подключения, вы найдёте в опросных листах ниже:

GRE-туннель

Что это: способ передать очищенный трафик в вашу сеть поверх публичного интернет-соединения.

Как работает: между нашей защитой и вашим сетевым оборудованием создаётся GRE-туннель. При передаче очищенного трафика GRE инкапсулирует исходные пакеты: добавляет к ним служебный GRE-заголовок и отправляет на ваш внешний адрес. Ваше оборудование принимает трафик, снимает служебный заголовок и передаёт пакеты дальше в сеть.

Что нужно для подключения: передать публичный /32 IP-адрес для построения туннеля и согласовать с нашими инженерами параметры подключения.

Публичный /32 IP-адрес используется как конечная точка туннеля. Он должен быть доступен из интернета и не должен входить в защищаемый диапазон.

Набор параметров зависит от того, используете ли вы собственную автономную систему и IP-адреса или арендуете адреса у партнёра Servicepipe. Подробный список данных вы найдёте в опросных листах ниже:

Что выбрать

Ниже — таблица с параметрами, которые помогут выбрать подходящий вариант.

L2-канал GRE-туннель

Как передаётся трафик

По выделенному соединению между вашей инфраструктурой и нашей защитой

Через GRE-туннель поверх публичного интернет-соединения

Физический стык

Нужен: напрямую в дата-центре или через оператора последней мили

Не нужен

Стабильность канала

Более предсказуемая: параметры канала согласуются заранее

Менее предсказуемая, может зависеть от маршрутов в интернете: возможны задержки, потери пакетов и флапы сессий

Пропускная способность

Зависит от физического подключения и согласованной конфигурации канала

До 10 Гбит/с

Срок подключения

Обычно от 3 до 7 дней*

При аварийном подключении занимает до 30 минут*

*Указанные в таблице сроки относятся только к нашей части работ после получения всех необходимых данных. Если понадобится согласовать настройки или привлечь внешних подрядчиков, подключение может занять больше времени.

Для постоянной работы советуем выбирать L2-канал. Это более стабильный способ передачи трафика: он работает через выделенное соединение и не зависит от маршрутов в публичном интернете.

GRE-туннель подойдёт, если:

  • нужно подключить защиту, когда атака уже идёт;

  • физический стык пока не организован;

  • нужен резервный вариант, например, на случай аварии.