在互联网上执行的网络犯罪威胁是多方面的，从基础设施角度来看，主要的威胁是拒绝服务（DoS）攻击，旨在通过消耗所有可用网络带宽来使服务或系统不可用。使用分布式流量源（DDoS），已经观察到野外攻击达到高达1.7 Tbps。这种大规模的DDoS攻击对网络基础设施构成了严重威胁。为了应对这些攻击，远程触发黑洞（RTBH）技术被广泛采用。然而，当RTBH应用于互联网交换点（IXP）时，存在重大局限性。本文将讨论RTBH在IXP中的不足，并提出一种新的方法：高级黑洞技术。我们深入探讨了一个主要IXP中高级黑洞的原型实现。
IXP中黑洞技术的局限性
RTBH，也称为BGP黑洞，是一种DDoS缓解操作技术。遭受攻击的自治系统（AS）可以向路由器发送信号，使其丢弃特定IP前缀的流量。在IXP中，这一过程通常在IXP的路由服务器上实施，如图1a/b所示。图1a展示了没有RTBH的简单IXP攻击示例。上半部分显示了控制平面在三个AS之间分发可达性信息。AS1宣布一个/24前缀，该前缀由路由服务器重新分发到AS2和AS3。因此，AS2和AS3可以通过IXP的交换平台（数据平面，下半部分）向AS1发送流量。如果攻击者从AS2和AS3向AS1托管的服务发送DDoS流量，流量可能会拥堵链路或使AS1的服务对合法用户不可用。
RTBH的不足
为了应对攻击，AS1在IXP的路由服务器上宣布一个RTBH前缀，如图1b的上半部分所示。通常，这是一个更具体的前缀（即单个IP，在IPv4的情况下是一个/32前缀），并附有一个特殊和标准化的BLACKHOLE BGP社区，该前缀由路由服务器重新分发到AS2和AS3。接收此公告的路由器应丢弃任何路由到该IP的流量。然而，在许多情况下，RTBH前缀不会被接收AS接受，原因多种多样。例如，它们选择不参与RTBH，不接受比/24更具体的更新，或者配置了错误的路由器。在图1b的简单示例中，AS2接受前缀，但AS3不接受。这直接影响了数据平面（图1b的下半部分），展示了RTBH的两个主要不足。
高级黑洞技术的优势
高级黑洞技术旨在解决RTBH在IXP中的局限性。它通过引入更精细的流量控制和更灵活的配置选项来提高IXP的防御能力。这种技术可以更好地识别和隔离恶意流量，同时减少对合法流量的干扰。通过在IXP中实施高级黑洞，网络工程师可以更有效地保护网络免受DDoS攻击的侵害，从而确保服务的可用性和用户体验。
结尾：
高级黑洞技术在互联网交换点中的应用对于运维和网络工程师来说具有重要意义。它提供了一种更有效的方法来应对DDoS攻击，同时减少了RTBH技术的局限性。通过采用这种技术，网络工程师可以更好地保护网络基础设施，确保服务的稳定性和可靠性。
原文: APNIC Blog（2019-07-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog