คู่มือเกมแลค › L4 เส้นทางอินเทอร์เน็ต
ลิงก์ที่ใช้ร่วมกันเต็มเพราะ DDoS DDoS saturating shared links
ID สาเหตุ isp-ddos-path · ผู้รับผิดชอบหลัก อินฟราเครือข่าย (ทีมอินฟรา) · ร่วมกับ ภายนอก (ภายนอก)
เปิดการ์ดในฉบับหลักที่มีภาพและการทดลอง →
การโจมตีปริมาณมหาศาลที่พุ่งเป้ามาที่บริษัทเกม หรือที่อื่นในเครือข่ายเดียวกัน ทำให้ลิงก์ที่ใช้ร่วมกันเต็ม
ทำไม มีทราฟฟิกโจมตีปริมาณมหาศาล → ผลคือ ทราฟฟิกปกติที่ใช้ลิงก์เดียวกันก็ถูกเบียดและถูกทิ้งไปด้วย → บนหน้าจอ หลายคนวาร์ป หลุด หรือเข้าเกมไม่ได้พร้อมกัน
- อาการ
- วาร์ป, หลุด, เข้าเกมไม่ได้/โหลดไม่จบ
- ปัจจัย
- แพ็กเก็ตหาย, ความหน่วง
- ใครเจอ
- ทั้งเซิร์ฟเวอร์, บางพื้นที่/บาง ISP
- เกิดเมื่อไร
- สุ่มเป็นครั้งคราว, ตอนคนแห่มารวมกัน
- ผู้รับผิดชอบ
- ผู้รับผิดชอบหลัก อินฟราเครือข่าย (ทีมอินฟรา) · ร่วมกับ ภายนอก (ภายนอก)
- งานฝั่งทีมอินฟรา
- ใช้บริการป้องกัน DDoS, เบี่ยงทราฟฟิกเมื่อถูกโจมตี, ซ่อน IP ของเซิร์ฟเวอร์ (วางไว้หลังอุปกรณ์ป้องกันและไม่เปิดเผย IP จริง)
- งานฝั่งภายนอก
- ถ้าเป็นการโจมตีที่พุ่งเป้าไปที่อื่นในเครือข่ายเดียวกัน ให้ขอ ISP บล็อกที่ช่วงเครือข่ายต้นทาง (upstream)
- บนกราฟ
- ชนเพดานแล้วแบนราบ · ปริมาณรับเข้าของลิงก์ (bps/pps), แพ็กเก็ตที่อินเทอร์เฟซทิ้ง (drop)
- จุดที่ต้องดู
- ดูปริมาณรับเข้าและจำนวนแพ็กเก็ตที่ทิ้งบนอินเทอร์เฟซของวงจรและอุปกรณ์ของเรา และประวัติการตรวจพบการโจมตีของบริการป้องกัน DDoS เทียบกับช่วงที่มีคนหลุดจำนวนมาก
- สัญญาณว่าใช่
- ปริมาณรับเข้าของลิงก์ชนความจุของลิงก์จนแบนราบและการ drop เพิ่มขึ้น ในเวลาเดียวกันผู้เล่นหลายภูมิภาคและหลาย ISP วาร์ปหรือหลุดพร้อมกัน
- สัญญาณว่าไม่ใช่
- ถ้าลิงก์ยังมีที่ว่างแต่แย่เฉพาะบาง ISP น่าจะเป็นความแออัดหรือปัญหาเส้นทางในช่วงเครือข่ายของ ISP
- วิธีตรวจ
- ใช้เครื่องมือฝั่งอินฟรา (ไม่ต้องใช้โค้ดเกม)
แหล่งอ้างอิง
- Infrastructure layer attacks AWS
การโจมตีปริมาณมาก เช่น UDP reflection และ SYN flood ทำให้ความจุเครือข่ายล้น หรือจับทรัพยากรของไฟร์วอลล์และโหลดบาลานเซอร์ไว้ - Obfuscating AWS resources (BP1, BP4, BP5) AWS
วางบริการ edge อย่าง CloudFront หรือโหลดบาลานเซอร์ไว้หน้าเซิร์ฟเวอร์ต้นทาง เพื่อลดการเปิดเผยโดยตรง - RFC 7999: BLACKHOLE Community IETF
BLACKHOLE community ที่ใช้ BGP แจ้ง ISP ข้างเคียงให้ทิ้งทราฟฟิกที่ไปยัง IP หนึ่ง ๆ
สาเหตุที่ควรดูประกอบ
ชั้นเดียวกัน: L4 เส้นทางอินเทอร์เน็ต
สาเหตุจากชั้นอื่นที่ทำให้เกิดอาการเดียวกัน (วาร์ป)
ดูการ์ดในฉบับหลักที่มีภาพและการทดลอง