Dedicado no brasil, por onde começar

[LucasOliveira]

Para filtrar precisar tem ocupação disponível, não tem milagre, e não, não é simples de resolver.

Acho que não entendeu, que quando receber um ataque ele vai ocupar tua rede, pode filtrar o quanto quiser mas vai continuar recebendo aqueles pacotes.

Então se você não tiver banda para segurar não vai adiantar nada.

[Fernando Ferenz]

Agora, LucasOliveira disse:

Para filtrar precisar tem ocupação disponível, não tem milagre, e não, não é simples de resolver.

Depende da aplicação, claro que vc usando um cisco meia boca n vai resolver nada, muitos vão pela marca e esquecem a solução, no meu ponto de vista é simples resolver, trabalho em DC desde 2008 2009... Já vi gambiarras, ja vi até barratas em servidores, vi um poco de tudo nesse tempo... heheheh, ja vi empresas jogarem todos cisco em uma bolsa de rafia e ir pro lixo depois do juniper. Hoje uma ccr da mirkotik pode dar um baile em um cisco 2911. Como eu disse os tempos estão mudando, camadas de aplicação também estão mudando.

[LucasOliveira]

Então é novo no ramo.

Digo e repito novamente, pode ter a solução que quiser.

Mas o tráfego do seu cliente chegar até você ele vai por uma rota o qual você vai comprar banda, se sofrer ataque até o servidor, vai consumir a SUA BANDA.

Não importa se tem todos os equipamentos de filtragem do mundo, vai ajudar apenas a separar o tráfego para passar pacotes bons aos seus clientes, mas para separar você vai terque receber esses pacotes.

É o exemplo que dei, se você tem um total de 500Mbps alugado com fornecedores, e receber um ataque de 1Gbit, o que vai acontecer? Vai esgotar o seu link inteiro e vai tudo para baixo. Se não tiver link disponivel não vai adiantar ter equipamentos.

É isso que acho que não está entendendo ainda.

Para segurar um ataque de 20Gb, você tem de ter isso disponível (DISPONÍVEL, e não total)

Pensa que tenha total de 1Gbit de link nacional, e nesse exato momento todos os seus clientes somam um consumo de link de 700Mbps. Te sobraram 300Mbps certo? Se receber um ataque de 500Mbps vai cair o seu serviço? Se filtrar direitinho não, mas os links dos seus clientes vão ficar lentos.

Agora pensa se tomar um ataque de 2Gbit, vai consumir teu link inteiro e mais, "sobrecarregar" o teu fornecedor que vai dar null em tudo.

[Fernando Ferenz]

2 minutos atrás, LucasOliveira disse:

Então é novo no ramo.

Digo e repito novamente, pode ter a solução que quiser.

Mas o tráfego do seu cliente chegar até você ele vai por uma rota o qual você vai comprar banda, se sofrer ataque até o servidor, vai consumir a SUA BANDA.

Não importa se tem todos os equipamentos de filtragem do mundo, vai ajudar apenas a separar o tráfego para passar pacotes bons aos seus clientes, mas para separar você vai terque receber esses pacotes.

É o exemplo que dei, se você tem um total de 500Mbps alugado com fornecedores, e receber um ataque de 1Gbit, o que vai acontecer? Vai esgotar o seu link inteiro e vai tudo para baixo. Se não tiver link disponivel não vai adiantar ter equipamentos.

É isso que acho que não está entendendo ainda.

Para segurar um ataque de 20Gb, você tem de ter isso disponível (DISPONÍVEL, e não total)

Pensa que tenha total de 1Gbit de link nacional, e nesse exato momento todos os seus clientes somam um consumo de link de 700Mbps. Te sobraram 300Mbps certo? Se receber um ataque de 500Mbps vai cair o seu serviço? Se filtrar direitinho não, mas os links dos seus clientes vão ficar lentos.

Agora pensa se tomar um ataque de 2Gbit, vai consumir teu link inteiro e mais, "sobrecarregar" o teu fornecedor que vai dar null em tudo.

Fornecedores de terceiros uso apenas apra redundância, sobre ponta de troca de trafego, eu nunca repasso o trafego limpo para o cliente, se o cliente tem 20 megas ele vai ter 20 megas se ele receber um ddos vai cair os 20 mega dele e n vai fazer nem cosquinha no trafego limpo do DC, sobre a filtragem, nos trabalhamos diferente, o cliente que escolher ter uma filtragem dedicada (rapida) ou uma filtragem compartilhada (lenta)...

[LucasOliveira]

Ainda sim vai tenque receber o ataque pelo seu cliente.

Esse ponto que ainda não está entendendo e recomendo estuar mais ou contratar engenheiros de rede.

[Fernando Ferenz]

Eu to me formando em engenharia de telecomunicações ;) sei bem oq estou falando e como funciona, sei o seu ponto de vista, mas o ataque não será repassado para o cliente, se o cliente tiver a filtragem que ele escolher, é óbvio que vai ser cobrado mais por uma filtragem dedicada ai é o cliente que escolhe, mas nada estrondoso a ponto de gastar 1 2 mil por mês com 1000 2000 por mês você consegue um trafego limpo direto com a level3 ali em joinvile...

Eu te entendo, mas vc ta confundindo oq estou falando, o jeito que vc falou parece de uma taque no core, coisa rara de acontecer além de que com equipamento bom não será rastreável o core (bgp).

[LucasOliveira]

Está faltando mais conhecimento amigo.

Sou formado e trabalho diretamente na equipe de engenharia de rede da vivo (antiga gvt)

Você não está levando em consideração que o ataque que o seu cliente receber vai passar primeiro por você, e se você não tiver rede suficiente para filtrar para entregar o tráfego para o seu cliente, não vai adiantar ter equipamentos.

Antes de manipular um ataque você tem de ter rede para alocar ele, e ai sim separar, e com o nivel de ataque que vem tendo hoje em dia anda complicado, pois qualquer um consegue levantar ataque para mais de 1Gb hoje.

[Fernando Ferenz]

1 minuto atrás, LucasOliveira disse:

Está faltando mais conhecimento amigo.

Sou formado e trabalho diretamente na equipe de engenharia de rede da vivo (antiga gvt)

Você não está levando em consideração que o ataque que o seu cliente receber vai passar primeiro por você, e se você não tiver rede suficiente para filtrar para entregar o tráfego para o seu cliente, não vai adiantar ter equipamentos.

Antes de manipular um ataque você tem de ter rede para alocar ele, e ai sim separar, e com o nivel de ataque que vem tendo hoje em dia anda complicado, pois qualquer um consegue levantar ataque para mais de 1Gb hoje.

Todo trafego considerado DDoS é só dropar td, um bom firewall com processamento bom será capaz de separar o trafego anormal e mandar dropar... Claro que fica lento em redes grandes, mas se vc separar o trafego em camadas e colocar um hardware cada camada e dividir o processamento dos firewall vc vai ganhar mais capacidade de mitigação...

Outra coisa agora que vc falou da vivo (gvt), tenho alguns colegas de sala que trabalham lá, inclusive já andei negociando link com eles, eles me falaram de um link ja com tratamento para estes tipos de ataque e cobrado apenas uma taxa, coisa não muito assustadora, mas n sei como funciona na sua região.

Enfim eu não sofro com estes problemas, mas pra mudar um pouco o assunto uma coisa que me da medo é ataque DOS, layer 7 consome um processamento ferros! isso sim me da medo.

[Jorge Marcelino]

@Fernando Ferenz Acho que você está se equivocando com o que está dizendo, veja a OVH recebeu ataques de mais de 1 TB por segundo e mesmo com a rede monstruosa da OVH ainda assim a rede ficou instável, mesmo com todos os equipamentos e pontos de mitigação que eles tem. Choopa também teve algum tempo de instabilidade na mesma época e te garanto que não é só dropar não, Layer 7 como você diz que "dá medo" seria o que menos dá gasto para resolver, pode ter certeza disso. Mitigação DDoS que funcione custa $$ e muito, se não qualquer data center fundo de quintal faria oque você diz.

[Fernando Ferenz]

3 minutos atrás, Jorge Marcelino disse:

@Fernando Ferenz Acho que você está se equivocando com o que está dizendo, veja a OVH recebeu ataques de mais de 1 TB por segundo e mesmo com a rede monstruosa da OVH ainda assim a rede ficou instável, mesmo com todos os equipamentos e pontos de mitigação que eles tem. Choopa também teve algum tempo de instabilidade na mesma época e te garanto que não é só dropar não, Layer 7 como você diz que "dá medo" seria o que menos dá gasto para resolver, pode ter certeza disso. Mitigação DDoS que funcione custa $$ e muito, se não qualquer data center fundo de quintal faria oque você diz.

Quando a rede tem links grandes pode até dar uma instabilidade mas quando vc pega um link para cada cliente um link diferente, e de rede limpa um link n vai interferir com outro, não é apenas a layer 7 que me referi e sim toda a camada de aplicação. Redes como a da OVH e Choopa usam cores visualmente publicos e não privados.

Pois os mesmos necessitam de muita banda e muita banda privada é carra... A própria gvt chegou a nos oferecer um link já protegido, n sei como funciona a mitigação deles, mas seria uma rede privada e n em ptt...