在您的边缘路由器上实现 BGP FlowSpec DDoS 缓解

IP Infusion 在您的边缘路由器上提供 DDoS 缓解：OcNOS-SP 以 sFlow 对流量进行采样，从 FastNetMon 检测器接收 BGP FlowSpec 和 RTBH 规则，并在两秒内以硬件丢弃攻击流量或对其限速，无需将流量重定向到清洗中心。

预约架构评审 获取 DDoS 解决方案简介
<2 s从检测到缓解
26支持 BGP FlowSpec 的 OcNOS-SP 平台
900+家运营商运行 OcNOS
最适用于
在自有边缘路由器上通过硬件阻断 DDoS 攻击、无需清洗中心的运营商。
认证机型
UfiSpace S9510-28DCEdgecore AS7946-30XBUfiSpace S9610-36D

边缘路由器如何阻止攻击

边缘路由器将 sFlow 采样发送给 FastNetMon。当发往某台主机的流量超过所配置的阈值时，FastNetMon 通过 BGP 向路由器发送缓解规则，路由器在硬件中执行该规则。规则可以只匹配攻击流，也可以匹配发往该主机的全部流量。

同一次攻击，两种阻止方式

运行 OcNOS-SP 的边缘路由器将 sFlow 发送给 FastNetMon，通过 BGP 接收 FlowSpec 规则或 RTBH 路由，并丢弃攻击流量或对其限速 FastNetMon检测，合作伙伴产品 sFlow 采样 经 BGP 下发 FlowSpec 规则 经 BGP 下发 RTBH 路由 互联网转接与对等互联 边缘路由器OcNOS-SP在硬件中执行 目标主机您的客户 路由撤销前无法访问 清洗后流量 攻击流量 遥测

FlowSpec 只丢弃攻击流。 规则匹配攻击流量，路由器在硬件中将其丢弃或限速，发往该主机的其他流量照常传输。

示意图。

已与 FastNetMon 逐步测试

IP Infusion 部署指南已在 OcNOS 7.0.0 与 FastNetMon 2.0.367 及更高版本上完成测试，内容涵盖 sFlow 导出、BGP 会话、FlowSpec 与 RTBH、阈值以及故障切换。

FastNetMon 以虚拟机形式运行，由 FastNetMon 提供支持。如果它停止运行，BGP 会话将超时，路由器随即撤销其规则，流量恢复到正常路径。

获取部署指南 →

边缘路由器执行的防护

全部 26 个 OcNOS-SP 平台均支持 BGP FlowSpec 和 RTBH，路由器还提供自身的防护功能。

能力它的作用适用范围
BGP FlowSpec通过 BGP 从检测器接收过滤规则并安装到硬件中。动作为丢弃或限速。全部 OcNOS-SP
按 VRF 的 FlowSpec为每个租户 VRF 配置独立的 FlowSpec 策略全部 OcNOS-SP
RTBH来自检测器的路由将目标指向空下一跳，并携带 IANA BLACKHOLE 团体属性全部 OcNOS-SP
sFlow以配置的速率对入向流量采样，并通过带内方式发送给采集器全部 OcNOS-SP
IPFIX可替代 sFlow 的流导出方式OcNOS-SP
uRPF，严格与宽松模式丢弃源地址伪造的数据包全部 OcNOS-SP
硬件 ACL可匹配地址、协议、端口、TCP 标志、DSCP 和分片，并支持定时规则全部 OcNOS-SP
控制平面监管Configurable CoPP protects the router's own CPU部分平台
故障安全如果检测器停止运行，BGP 会话会在保持计时器到期后超时，路由器随即撤销其规则全部 OcNOS-SP

只需一条 hardware-profile 命令，即可将 FlowSpec 规则卸载到 ASIC。截至 OcNOS 7.0，FlowSpec 支持 IPv4；IPv6 攻击请使用 RTBH。支持情况因平台而异，请查看 OcNOS 功能矩阵.

从检测到缓解仅需数秒。

架构简介与部署应用说明：既包含高层全景，也包含在 OcNOS 上配合 FastNetMon 配置 BGP Flowspec 和 RTBH 的分步配置。

BGP FlowSpec DDoS 缓解：OcNOS + FastNetMon

OcNOS-SP 边缘路由器与 FastNetMon 如何借助 BGP FlowSpec 和 RTBH 检测 DDoS 攻击，并在两秒内加以阻止。

获取简报

自动化 DDoS 缓解：部署指南

分步配置：BGP Flowspec 策略、RTBH 触发、FastNetMon 与 OcNOS 集成，以及可即刻部署的参考方案。

获取应用说明

执行防护的边缘路由器

全部 26 个 OcNOS-SP 平台均支持 BGP FlowSpec 和 RTBH。请根据所保护的边缘选择路由器。

UfiSpace S9510-28DC router

汇聚边缘

UfiSpace S9510-28DC

Qumran 2A · 800 Gbps

24 × 25G, 2 × 100G, 2 × 400G

Edgecore AS7946-30XB router

城域与核心

Edgecore AS7946-30XB (AGR400)

Qumran 2C · 2.4 Tbps

4 × 25G, 22 × 100G, 4 × 400G

UfiSpace S9600-56DX router

城域边缘

UfiSpace S9600-56DX

Qumran 2C · 4.8 Tbps

4 × 25G, 48 × 100G, 8 × 400G

UfiSpace S9610-36D router

对等互联与转接边缘

UfiSpace S9610-36D

Jericho2C+ · 14.4 Tbps

36 × 400G

凡列于 OcNOS 硬件兼容性列表 且运行 OcNOS-SP 的型号，均可执行 FlowSpec 和 RTBH。

使用 OcNOS 进行 DDoS 缓解：常见问题

什么是 BGP FlowSpec DDoS 缓解？
BGP FlowSpec（RFC 8955）在 BGP 中承载流量过滤规则。FastNetMon 等检测器通告与攻击匹配的规则，OcNOS-SP 路由器将其安装到硬件中，并丢弃匹配的数据包或对其限速。发往同一主机的其他流量照常传输。
路由器能多快阻止攻击？
两秒以内。路由器导出 sFlow 采样，FastNetMon 依据所配置的阈值检测异常，并通过 BGP 发送 FlowSpec 规则或 RTBH 路由，由路由器在硬件中执行。攻击期间无需人工操作。
何时应使用 RTBH 而不是 FlowSpec？
当您能够描述攻击特征时使用 FlowSpec，这样只丢弃攻击流。当洪泛攻击威胁到您的链路时使用 RTBH：发往目标的每个数据包都会进入空路由，包括合法流量，直到该路由被撤销。截至 OcNOS 7.0，FlowSpec 覆盖 IPv4，IPv6 攻击通过 RTBH 处理。
如果 FastNetMon 停止运行会怎样？
与路由器之间的 BGP 会话会在保持计时器（默认 90 秒）到期后超时，路由器随即撤销当前生效的缓解规则，流量恢复到正常路径。如需高可用性，可在同一遥测数据上运行多个 FastNetMon 实例。
哪些路由器可执行 BGP FlowSpec 和 RTBH？
全部 26 个 OcNOS-SP 平台均支持 BGP FlowSpec 和 RTBH。在物理路由器上，只需一条 hardware-profile 命令即可将 FlowSpec 规则卸载到 ASIC。请在 OcNOS 功能矩阵中查看各型号的支持情况。
FastNetMon 是 OcNOS 的一部分吗？
不是。FastNetMon 是合作伙伴产品，以虚拟机形式运行，由 FastNetMon 提供支持。IP Infusion 提供并支持导出遥测数据和执行规则的路由器，并发布部署指南。

为您的边缘规划 DDoS 缓解。

我们将梳理您的对等互联与转接边缘、FlowSpec 和 RTBH 策略，以及执行该策略的 OcNOS-SP 路由器。

预约架构评审 硬件兼容性列表