对国内ddos厂商技术点评

芳芳郁金香

up

iskilo

这篇文章很精彩,如果有8000字的全文就更棒了.

chinamx

看了这篇文章,忍不住鼓掌!再次鼓掌一下,受益非浅啊,虽然我还不能完全读懂.

zeroflag

原帖由 skipjack 于 2006-8-1 17:38 发表


DDoS产品大部分都是网桥模式，这一点我在文章中指出了。你想表达什么意思？

别理它，那臭厮把那个GP东西以不可思议的价格卖给了不可思议的客户，他在那沾沾自喜呢！

所谓透明接入，就是什么作用都没有的接入，全透明，根本不存在。在syn flood发起的时候，它依然透明。

[ 本帖最后由 zeroflag 于 2006-10-12 00:25 编辑 ]

zeroflag

原帖由 skipjack 于 2006-5-24 20:47 发表


串联在连接前进行检查,并联在连接后进行检查.
串联化syn flood为ping flood,并联化syn flood为conntect flood.
希望你能抽出时间写出来.
此链接是以前讨论的结果
[url]http://bbs.chinaunix.net/viewthre ...

简单的说，黑洞和guard用的旁路监听＋流量牵引的方式，平时工作在旁路状态，当发现攻击流量的时候，使用BGP协议，将它认为是攻击的那部分流量牵引到自己设备上来，进行防护。其余流量还是从正常路径转发。由此兼顾性能。
这个方案确实比较有特点，但是显然对周边设备也有比较高的要求，只适用于高端用户。并且也不是尽善尽美，在某电信测试中，guard方案在参测三家中得分最低。
回头找点更详细的资料贴上来。

platinum

我一个朋友告诉我，每次被攻击的时候，黑洞的反映时间要 30 分钟左右才可防御，且还会误杀很多 IP

skipjack

这可能是因为一类”看门狗“或是”定时统计“的功能，不能即时反映出网络流量变化所导致的延时(但30分钟肯定是你的手误,30秒还差不多)。必竟内核HZ为1000或是更小.

误杀很多ＩＰ，这可能是采用了所谓的二、八原则。也可能是因为防御前后对连接的检查方式不同造成的。但黑洞最大的弱点不在这里,而是他1秒变10次的随机数种子,也就是说你的TCP连接在100ms内如果不能完成握手,就过期无效.表现出来的现象就是误杀很多IP,如果你细心观查它们都有一个共同点,就是因为握手慢而被拒.

[ 本帖最后由 skipjack 于 2006-10-12 12:01 编辑 ]

skipjack

原帖由 zeroflag 于 2006-10-12 00:35 发表


简单的说，黑洞和guard用的旁路监听＋流量牵引的方式，平时工作在旁路状态，当发现攻击流量的时候，使用BGP协议，将它认为是攻击的那部分流量牵引到自己设备上来，进行防护。其余流量还是从正常路径转发。由此 ...

谢了,上次看了zjzf_1的旁路模式说明,也知道是用这个原理了.
存在的问题应该是在切换时,已有的连接会断掉,是吧?

从你的发言上来看,你的客户都是大客户啊.

www_ftp

原帖由 skipjack 于 2006-10-12 11:48 发表
这可能是因为一类”看门狗“或是”定时统计“的功能，不能即时反映出网络流量变化所导致的延时(但30分钟肯定是你的手误,30秒还差不多)。必竟内核HZ为1000或是更小.

误杀很多ＩＰ，这可能是采用了所谓的二、八原 ...

我没有见过黑洞实际的机群，从安装结构图上看猜测如下问题：

1.处理攻击的墙都需要IP（走路由），除了占用IP外，更多的是增加网络的复杂性，改变原有的结构．
2.调度器与前置交换机之间有大量的数据交换，占用此交换机的资源（路由板上cpu）．
3.使主交换机上临时墙上大量的路由规则，通到此规则分配流量．
4.增加新建连接的延迟．第一个syn到调度器，调度器向前置交换机发出规则指令，第二个syn正常建立连接．

以上只是猜测，不知有了解这方面的情况的吧．skipjack兄看样子有机会接触了．

清水飘萍

好文收藏