Mitigação DDoS na borda ou no upstream: como decidir no provedor

Resumo

• A borda filtra dentro da sua rede, com controle total e reação imediata, mas só enquanto o link aguenta.
• O upstream contém o ataque na operadora ou num centro de limpeza, antes de ele ocupar o seu trânsito.
• [object Object]
• Na maioria dos provedores, as duas camadas trabalham juntas, cada uma com o tipo de ataque que faz melhor.

Mitigação DDoS na borda ou no upstream: qual a diferença?

A diferença está no lugar onde o pacote de ataque é descartado: dentro da sua rede ou antes dela. Esse lugar decide se o seu link chega a ser ocupado pelo ataque.

Mitigar na borda é usar o seu próprio roteador, um equipamento de filtragem instalado no POP ou o firewall para descartar o ataque. O tráfego já atravessou o link da operadora quando chega a esses filtros, então o link paga a conta inteira do volume.

Mitigar no upstream é pedir que alguém antes de você descarte ou limpe o tráfego. Pode ser a operadora de trânsito, com blackhole ou FlowSpec, ou um serviço de limpeza que recebe o bloco atacado e devolve só o legítimo. O seu link recebe o que sobrou.

As duas formas não competem: elas cobrem faixas diferentes de ataque. A Táquion Tech faz a implantação de mitigação de DDoS que lê os fluxos da borda e dispara a ação certa em cada camada, de um filtro local a um anúncio para a operadora.

O que conta como mitigação na borda

Tudo o que age depois que o tráfego entra no seu roteador de borda. Em provedor regional, quase sempre isso significa o próprio roteador, porque equipamento dedicado de filtragem no POP é raro em bases pequenas.

• Listas de acesso: descartam portas e protocolos que nunca deveriam chegar aos assinantes ou à infraestrutura.
• Limite de taxa: segura a quantidade de pacotes de um tipo, como ICMP ou fragmentos, por interface.
• Proteção do plano de controle: impede que pacotes destinados ao roteador consumam a CPU e derrubem as sessões BGP.
• Equipamento de filtragem local: analisa pacotes em linha e descarta padrões de ataque, quando o provedor tem um.

O que conta como mitigação no upstream

Tudo o que age antes do tráfego atravessar o seu link de trânsito. O provedor dispara a ação, mas quem executa é outra rede.

• Blackhole na operadora: o /32 atacado é anunciado com uma community e a operadora descarta todo o tráfego dele.
• FlowSpec na operadora: uma regra por porta, protocolo ou tamanho de pacote é enviada por BGP e aplicada nos roteadores dela.
• Limpeza em centro externo: o bloco é desviado para um serviço de scrubbing e volta filtrado por túnel ou circuito.

Como decidir entre mitigação DDoS na borda ou no upstream

Compare as duas opções por critério, e não por preferência. A tabela abaixo mostra quem vence em cada critério e por quê.

Tabela de decisão entre mitigação de DDoS na borda e no upstream

Critério	Borda	Upstream	Quem vence
Ataque maior que o link	Não resolve: o link já está cheio quando o filtro age	Resolve, porque descarta antes do trânsito	Upstream
Ataque pequeno e frequente	Resolve sem depender de ninguém	Funciona, mas gasta anúncio e retirada a cada vez	Borda
Ataque contra o próprio roteador	Proteção do plano de controle segura a CPU	Só ajuda se o volume também lota o link	Borda
Alvo precisa ficar no ar	Filtra sem desligar o IP, se o link aguenta	FlowSpec ou limpeza mantêm o alvo; blackhole não	Empate, depende do volume
Tempo de reação	Imediato, a regra age no mesmo segundo	Soma a propagação do anúncio e a aceitação pela operadora	Borda
Controle e visibilidade	Você vê cada contador e muda a regra quando quiser	Depende do que a operadora mostra e aceita	Borda
Vários trânsitos	Uma configuração vale para todos os links	Cada operadora precisa ser combinada e testada	Borda
Custo recorrente	Já está no roteador que você tem	Blackhole costuma vir no contrato; limpeza tem mensalidade	Depende do contrato

Repare que a borda vence em quase todas as linhas, menos na primeira. E a primeira é a que derruba provedores: um único ataque maior que o link anula todas as vantagens da borda de uma vez.

Por isso a pergunta prática não é qual escolher, mas a partir de que volume cada ataque sobe para o upstream. Esse limite sai da folga do link no horário de pico, medida por operadora.

Em que caso cada opção vence?

A borda vence nos ataques que cabem no link ou que miram o próprio roteador. O upstream vence quando o volume passa da folga ou quando o ataque chega por todos os trânsitos ao mesmo tempo.

Os cenários abaixo cobrem a maioria dos ataques que um provedor regional recebe. Em cada um, a camada indicada resolve com menos efeito colateral.

Quando a borda vence

A borda é a escolha natural quando o ataque é menor que a folga do link e tem uma assinatura reconhecível. Ela também é a única defesa contra pacotes dirigidos ao próprio roteador.

• Reflexão pequena: um pico de UDP vindo da porta 123 contra um assinante, bem abaixo da folga, é descartado por lista de acesso.
• Varredura e força bruta: tentativas contra a gerência do roteador param no filtro do plano de controle.
• Inundação de pacotes pequenos contra a borda: o limite de taxa protege a CPU, mesmo com banda sobrando.

Esse trabalho começa com o roteador bem fechado, como mostra o guia sobre como fazer hardening. Sem isso, o ataque pequeno vira problema grande.

Quando o upstream vence

O upstream é obrigatório quando o volume ultrapassa a folga do link, porque nada que a borda faça desocupa o cabo da operadora. Ele também simplifica a vida quando o ataque chega por todas as operadoras ao mesmo tempo.

• Ataque volumétrico contra um IP residencial: o blackhole na operadora descarta tudo e o resto da base volta ao normal.
• Ataque com assinatura clara contra cliente empresarial: o FlowSpec na operadora corta só a porta do ataque e o cliente segue no ar.
• Ataque misturado contra quem não pode cair: só a limpeza externa separa o ataque sem desligar o alvo.

O guia sobre o que é scrubbing explica o desvio para limpeza, e a configuração de FlowSpec mostra como montar a regra que a operadora aplica.

Borda e upstream juntos, em escada

O desenho que funciona na maioria dos provedores é uma escada: a borda segura o que cabe no link e o upstream assume o que passa. A detecção pelos fluxos decide em que degrau cada ataque entra.

1. Degrau da borda: listas de acesso, limite de taxa e proteção do plano de controle ficam sempre ligados, sem esperar ataque.
2. Medição: a detecção por NetFlow ou sFlow compara o tráfego de cada destino com o normal e com a folga do link.
3. Degrau do filtro na operadora: ataque acima da folga e com assinatura clara recebe uma regra de FlowSpec.
4. Degrau do descarte: ataque acima da folga contra IP residencial sem assinatura útil recebe blackhole.
5. Degrau da limpeza: ataque acima da folga contra bloco com cliente que não pode cair é desviado para scrubbing.

A escada evita os dois extremos: chamar a operadora para um ataque que o roteador resolvia sozinho, e insistir na borda enquanto o link está cheio. O guia sobre como mitigar DDoS detalha a contenção degrau a degrau durante o ataque.

Exemplo: o mesmo provedor em três ataques da mesma semana

Na segunda, um assinante recebe reflexão DNS pequena, abaixo da folga, e a lista de acesso da borda resolve sem ninguém perceber. Na quarta, a gerência do roteador sofre uma inundação de pacotes, e o filtro do plano de controle mantém as sessões BGP de pé.

No sábado, um servidor de jogo hospedado num cliente empresarial recebe um ataque três vezes maior que o link. A borda não tem o que fazer; o bloco do cliente é desviado para limpeza e o restante da base nem sente. Três ataques, três camadas diferentes, nenhuma delas suficiente sozinha.

Erros comuns ao escolher onde mitigar

O erro mais caro é confiar na borda para ataques que ela não alcança. O segundo é depender do upstream sem nunca ter testado a ação em cada operadora.

Antes de confiar na escada, cada degrau precisa ser provado com tráfego de teste. O guia sobre como testar proteção DDoS mostra o passo a passo com IP de laboratório.

Como escolher o que montar primeiro no seu provedor

Comece pela borda fechada e pelo blackhole testado em todas as operadoras, que custam pouco e cobrem a maior parte dos ataques. FlowSpec e limpeza entram quando a base tiver clientes que não podem ser desligados.

Quando a escada está montada, falta tirar o humano do caminho do primeiro minuto. É a etapa em que a detecção passa a disparar a ação sozinha, com limites diferentes por bloco e por tipo de cliente.

Perguntas frequentes

Fontes

1. RFC 5635: Remote Triggered Black Hole Filtering with Unicast Reverse Path Forwarding: descreve o descarte disparado por BGP na rede de quem está antes do alvo, base do blackhole no upstream
2. RFC 8955: Dissemination of Flow Specification Rules: padrão das regras de filtro enviadas por BGP e aplicadas nos roteadores da operadora
3. RFC 3882: Configuring BGP to Block Denial-of-Service Attacks: mostra como o provedor pede à rede vizinha que descarte o tráfego de um destino sob ataque