proto.lib

Null Route (Blackhole) chống DDoS

Nhà mạng dùng tuyến tĩnh trỏ vào Null0 và cộng đồng BGP để loại bỏ toàn bộ lưu lượng tới IP nạn nhân đang bị tấn công DDoS, còn gọi là Remote Triggered Black Hole.

RoutingTrung bình2026-07-08
Null Route (Blackhole) chống DDoS

Tags

#blackhole#null-route#rtbh#ddos-mitigation#bgp-community

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

RoutingTrung bình

RTBH — Remote-Triggered Black Hole bằng community

Khi bị DDoS, khách hàng gắn well-known community blackhole (65535:666) lên đúng /32 bị tấn công và quảng bá lên upstream; upstream chấp nhận route more-specific này và trỏ next-hop tới discard, chặn lũ lưu lượng ngay tại biên thay vì để nó làm nghẽn link của khách hàng — đánh đổi bằng việc chính địa chỉ đó cũng bị drop.

#rtbh#blackhole#bgp-community#ddos
RoutingNâng cao

Control Plane Policing (CoPP) bảo vệ CPU router

Gói transit được switch trong ASIC/hardware và không chạm CPU, nhưng gói cần xử lý bởi phần mềm — BGP/OSPF hello, ARP, ICMP gửi tới chính router, TTL hết hạn, gói cần ARP resolution — đều bị punt lên control plane có CPU giới hạn; CoPP rate-limit từng lớp lưu lượng punt để bảo vệ giao thức định tuyến khỏi bị đói CPU.

#copp#control-plane-policing#cpu-protection#punt-path
RoutingTrung bình

Failover ở tầng DNS: Health Check + Rút Bản Ghi

Failover tầng DNS dùng health check định kỳ tới từng endpoint; endpoint chết bị rút khỏi tập bản ghi trả về, nhưng TTL quyết định bao lâu client mới ngừng dùng bản ghi cũ, còn resolver và cache DNS phía ứng dụng làm chuyển đổi chậm hơn TTL danh nghĩa; khác với anycast/LB hoạt động ở tầng mạng gần tức thời, và TTL thấp không miễn phí vì tăng tải truy vấn DNS.

#dns#failover#health-check#ttl