proto.lib

BGP FlowSpec - Chặn DDoS tại biên mạng

Controller phân phối luật lọc lưu lượng (match 5-tuple) qua BGP tới router biên để drop/rate-limit dòng tấn công DDoS ngay tại edge.

RoutingNâng cao2026-07-04
BGP FlowSpec - Chặn DDoS tại biên mạng

Tags

#bgp#flowspec#ddos#rfc8955#traffic-filtering

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

RoutingTrung bình

RTBH — Remote-Triggered Black Hole bằng community

Khi bị DDoS, khách hàng gắn well-known community blackhole (65535:666) lên đúng /32 bị tấn công và quảng bá lên upstream; upstream chấp nhận route more-specific này và trỏ next-hop tới discard, chặn lũ lưu lượng ngay tại biên thay vì để nó làm nghẽn link của khách hàng — đánh đổi bằng việc chính địa chỉ đó cũng bị drop.

#rtbh#blackhole#bgp-community#ddos
RoutingNâng cao

Multicast VPN (MVPN) trong MPLS L3VPN

MVPN mang multicast của khách hàng qua mạng lõi bằng cách báo hiệu group/source qua BGP (MCAST-VPN NLRI) và đóng gói lưu lượng vào một provider tunnel dùng chung cho nhiều khách hàng (inclusive tunnel), hoặc một selective tunnel riêng khi lưu lượng của một nhóm đủ lớn — nhờ vậy lõi không cần giữ state multicast cho từng group của từng khách hàng.

#mvpn#multicast#bgp#provider-tunnel
RoutingTrung bình

Route Server tại IXP (tránh N² session)

Tại điểm trao đổi Internet (IXP), thay vì mỗi thành viên phải thiết lập session BGP song phương với từng thành viên khác (N²), mỗi bên chỉ peer một lần với route server; route server phản xạ (reflect) lại các route đã học, giữ nguyên next-hop và AS-path gốc của bên gửi.

#bgp#ixp#route-server#peering