В докладе отражены общая архитектура сети Cloudflare и обзор технических решений, которые помогают справиться с самыми крупными на сегодняшний день атаками. В частности: - общий обзор сети Cloudflare - Anycast и BGP и управление трафиком - внутри датацентра Cloudflare: програмный стек - эффективная фильтрация пакетов в Linux в обход ядра ОС - автоматическая система управления состоянием firewall на серверах Cloudflare

1. Игнат Корчагин
Cloudflare
Как Cloudflare помогает справиться
с крупнейшими атаками в Сети

2. Agenda
● краткий обзор сетей доставки контента и
их места в современном программном
стеке

3. Agenda
● краткий обзор сетей доставки контента и
их места в современном программном
стеке
● что такое DDoS и почему традиционные
средства борьбы с сетевыми атаками
больше не работают

4. Agenda
● краткий обзор сетей доставки контента и
их места в современном программном
стеке
● что такое DDoS и почему традиционные
средства борьбы с сетевыми атаками
больше не работают
● защита от DDoS на уровне
распределенной сети

5. Agenda
● краткий обзор сетей доставки контента и
их места в современном программном
стеке
● что такое DDoS и почему традиционные
средства борьбы с сетевыми атаками
больше не работают
● защита от DDoS на уровне
распределенной сети
● защита от DDoS на уровне сервера

6. Краткий обзор сетей доставки контента
и их места в современном
программном стеке

7. Развитие программного стека

8. Что такое DDoS и почему
традиционные средства борьбы с
сетевыми атаками больше не работают

9. Что такое DDoS?
DDoS = distributed denial of service attack

10. Что такое DDoS?
DDoS = distributed denial of service attack

11. Что такое DDoS?
DDoS = distributed denial of service attack

12. Что такое DDoS?
DDoS = distributed denial of service attack

13. Что такое DDoS?
DDoS = distributed denial of service attack

14. Почему коробочные решения не работают?
● атакующие могут наращивать силу атаки
путем горизонтального масштабирования

15. Почему коробочные решения не работают?
● атакующие могут наращивать силу атаки
путем горизонтального масштабирования
● атакующие постоянно изобретают более
сложные методы атаки, трафик которых
пропускается даже дорогими файрволами

16. Почему коробочные решения не работают?
● атакующие могут наращивать силу атаки
путем горизонтального масштабирования
● атакующие постоянно изобретают более
сложные методы атаки, трафик которых
пропускается даже дорогими файрволами
● как правило, атакующие не платят за
трафик

17. Защита от DDoS на уровне
распределенной сети

18. Сетевая адресация
unicast

19. Сетевая адресация
unicast broadcast

20. Сетевая адресация
unicast broadcast
multicast

21. Сетевая адресация
unicast broadcast
multicast anycast

22. Сетевая адресация
unicast broadcast
multicast anycast

23. Сеть Cloudflare

24. Сеть Cloudflare

25. DDoS в anycast сети

26. DDoS в anycast сети

27. DDoS в anycast сети

28. DDoS в anycast сети
● трафик распределен между всеми
участниками сети

29. DDoS в anycast сети
● трафик распределен между всеми
участниками сети
● сеть легко масштабируется горизонтально

30. DDoS в anycast сети
● трафик распределен между всеми
участниками сети
● сеть легко масштабируется горизонтально
● легко корректировать транспортные
потоки с помощью BGP

31. DDoS в anycast сети
● трафик распределен между всеми
участниками сети
● сеть легко масштабируется горизонтально
● легко корректировать транспортные
потоки с помощью BGP
● но отдельные сервера все равно могут
получать достаточно много пакетов

32. Защита от DDoS на уровне сервера

33. Сетевой путь до приложения

34. Сетевой путь до приложения
● используется стандартный фаервол
Linux (iptables) и BPF

35. Сетевой путь до приложения
● используется стандартный фаервол
Linux (iptables) и BPF
● правила генерируются автоматически
централизованной системой
распознавания атак (codename Gatebot)

36. Почему BPF?
● создание правила фильтрации пакетов
практически произвольной сложности

37. Почему BPF?
● создание правила фильтрации пакетов
практически произвольной сложности
● эффективная фильтрация пакетов на всех
сетевых уровнях

38. Почему BPF?
● создание правила фильтрации пакетов
практически произвольной сложности
● эффективная фильтрация пакетов на всех
сетевых уровнях
● сервис остается доступным для обычных
пользователей

39. Почему BPF?
● создание правила фильтрации пакетов
практически произвольной сложности
● эффективная фильтрация пакетов на всех
сетевых уровнях
● сервис остается доступным для обычных
пользователей
● возможность автоматической генерации
правил файрвола

40. Централизованная система распознавания
атак (aka Gatebot)

41. Централизованная система распознавания
атак (aka Gatebot)

42. Достоинства Gatebot
● быстрое автоматическое распознавание и
блокировка атак

43. Достоинства Gatebot
● быстрое автоматическое распознавание и
блокировка атак
● умение анализировать трафик на всех
сетевых уровнях

44. Достоинства Gatebot
● быстрое автоматическое распознавание и
блокировка атак
● умение анализировать трафик на всех
сетевых уровнях
● защита от новых типов атак автоматически
доступна для всех клиентов Сети

45. Достоинства Gatebot
● быстрое автоматическое распознавание и
блокировка атак
● умение анализировать трафик на всех
сетевых уровнях
● защита от новых типов атак автоматически
доступна для всех клиентов Сети
● возможность ручной корректировки в
экстренных случаях

46. Количество блокировок в день (за 6 мес)

47. Когда iptables не хватает...
Сетевая
карта

48. Когда iptables не хватает...
Сетевая
карта
CPU
прерывание

49. Сетевой стек Linux
Когда iptables не хватает...
Сетевая
карта
CPU
прерывание

50. Сетевой стек Linux
Когда iptables не хватает...
Сетевая
карта
CPU
прерывание
канальный
сетевой
транспортный
...

51. Сетевой стек Linux
Когда iptables не хватает...
Сетевая
карта
CPU
прерывание
канальный
сетевой
транспортный
...
iptables обычно
фильтруется здесь

52. Когда iptables не хватает...

53. Когда iptables не хватает...
Сетевая
карта

54. Когда iptables не хватает...
Сетевая
карта
CPU 1
CPU 2
CPU 3
CPU N

55. Когда iptables не хватает...
Сетевая
карта
RX очередь 1
RX очередь 2
RX очередь 3
RX очередь N
CPU 1
CPU 2
CPU 3
CPU N

56. Когда iptables не хватает...

57. Когда iptables не хватает...
Сетевая
карта
RX очередь 1
RX очередь 2
RX очередь 3
RX очередь N
CPU 1
CPU 2
CPU 3
CPU N

58. Когда iptables не хватает...
Сетевая
карта
RX очередь 1
RX очередь 2
RX очередь 3
RX очередь N
CPU 1
CPU 2
CPU 3
userspace
flow
steering

59. Частичный kernel bypass

60. Частичный kernel bypass
userspace

61. Частичный kernel bypass
userspace
Kernel

62. Выводы
● победить масштабные распределенные
атаки можно только масштабируемой
распределенной сетью
● коробочные решения не эффективны для
защиты от современных DDoS атак
● эффективная защита включает в себя
несколько уровней обработки трафика
● CDN находятся в выгодном положении для
предоставления услуг защиты от DDoS