proto.lib

DDoS Scrubbing: chuyển hướng lưu lượng ra khỏi đường đi thật

Khi telemetry luồng vượt ngưỡng phát hiện tấn công, prefix bị tấn công được announce hướng về trung tâm scrubbing để chuyển hướng lưu lượng tới đó; trung tâm lọc bỏ traffic tấn công rồi trả traffic sạch về qua tunnel/đường riêng, và sau khi hết tấn công thì rút announce lại. Khác null-route-blackhole-ddos (drop toàn bộ) và bgp-flowspec-ddos-mitigation (lọc phân tán theo rule), scrubbing giữ traffic hợp lệ bằng cách xử lý tập trung ngoài đường đi gốc.

RoutingNâng cao2026-08-24
DDoS Scrubbing: chuyển hướng lưu lượng ra khỏi đường đi thật

Tags

#ddos#scrubbing-center#bgp-diversion#gre-tunnel#flow-telemetry#clean-pipe

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

RoutingNâng cao

Traffic matrix: quyết định nâng cấp link nào trước khi nó đầy

Flow telemetry được tổng hợp thành ma trận who-sends-how-much-to-whom, ngoại suy theo xu hướng tăng trưởng, rồi mô phỏng qua các kịch bản lỗi — vì số liệu quan trọng không phải utilisation hôm nay mà là utilisation của các link còn sống sau lỗi đơn (N-1) tệ nhất.

#traffic-matrix#capacity-planning#flow-telemetry#n-1-failure
RoutingTrung bình

RTBH — Remote-Triggered Black Hole bằng community

Khi bị DDoS, khách hàng gắn well-known community blackhole (65535:666) lên đúng /32 bị tấn công và quảng bá lên upstream; upstream chấp nhận route more-specific này và trỏ next-hop tới discard, chặn lũ lưu lượng ngay tại biên thay vì để nó làm nghẽn link của khách hàng — đánh đổi bằng việc chính địa chỉ đó cũng bị drop.

#rtbh#blackhole#bgp-community#ddos
RoutingNâng cao

BGP FlowSpec - Chặn DDoS tại biên mạng

Controller phân phối luật lọc lưu lượng (match 5-tuple) qua BGP tới router biên để drop/rate-limit dòng tấn công DDoS ngay tại edge.

#bgp#flowspec#ddos#rfc8955