互联网交换点（IXP）是一个单一的广播域，但在实际操作中，需要提供多种服务以确保对其成员的可靠性。DD-IX 是位于德国德累斯顿的一个 IXP，它由一个草根社区驱动，致力于为互联网的可靠性和效率做出贡献。在本系列文章中，DD-IX 将展示如何建设和运行一个 IXP。本文将介绍如何操作 IXP 服务、设计 IPv6 地址方案以及实施防火墙和路由。
IXP 服务操作
IXP 提供外部和内部服务给其成员。DD-IX 的所有服务都运行在自己的硬件上，除了电子邮件、网络会议和 Matrix 聊天。后者确保在发生故障或攻击时，通信不会受到影响。DD-IX 更倾向于使用开源解决方案。目前，DD-IX 的最重要服务包括 IXP Manager、Alice-LG、Netbox、Grafana 和 Prometheus 等。
身份验证和授权
从开始，DD-IX 就需要一个集中式身份提供者（IdP）来进行用户身份验证和授权。这将用户身份验证与服务分离，登录凭据仅在 IdP 处理。因此，即使一个服务被破坏，也不会泄露其他服务的凭据或会话，除非 IdP 本身被利用。DD-IX 决定不使用基于云的 IdP，因为他们不外包安全。DD-IX 鼓励用户使用无密码的 WebAuthn 基于身份验证和用户验证，并要求基于密码的登录使用两因素身份验证（2FA）作为备用方案。
平台选择
DD-IX 需要选择一个平台来运行所有这些服务。他们可以使用单一服务器、虚拟机、K8s 或其他分布式解决方案。同时，他们还需要决定如何对待服务器，是否将其视为宠物或牛。这些问题的答案并不容易，它们取决于具体情况。对于运维和网络工程师来说，了解 IXP 的网络和安全设计对于确保互联网的可靠性和效率至关重要。通过选择合适的平台和实施安全的身份验证和授权机制，IXP 可以提供可靠的服务给其成员。
原文: APNIC Blog（2024-12-16）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog