Quanto custa scrubbing: mensalidade e integração para provedores
Quanto custa scrubbing depende de duas contas separadas: a mensalidade do serviço de limpeza, paga ao fornecedor conforme a capacidade e o modo contratados, e a integração, que prepara o desvio e a volta do tráfego na sua borda. O valor final muda com o número de blocos protegidos, a forma de retorno e a decisão de limpar o tráfego o tempo todo ou só durante o ataque.
Resumo
- O scrubbing tem mensalidade recorrente com o fornecedor e uma integração paga uma vez na sua borda.
- Os serviços cobram por capacidade, por tráfego limpo ou por incidente, e cada régua favorece um perfil de ataque.
- Cada bloco /24 protegido pede ROA, registro de rota e teste próprios, o que aumenta o trabalho da integração.
- A limpeza de menor preço sai cara quando não tem ponto de presença no Brasil ou nunca teve o desvio testado.
Quanto custa scrubbing para um provedor?
O custo tem uma parte recorrente, a mensalidade do serviço de limpeza, e uma parte única, a integração com a sua borda. Nenhuma das duas tem preço público oficial, então a comparação depende de entender como cada uma é calculada.
No scrubbing, o tráfego destinado ao bloco atacado passa por um centro de limpeza que separa o ataque e devolve só o legítimo. É a forma de conter um DDoS maior que o link sem tirar o alvo do ar, coisa que o blackhole não faz.
A Táquion Tech faz a integração com serviços de scrubbing e não recebe comissão de fornecedor: o contrato de limpeza é seu, direto com quem você escolher. Faixa de preço da integração praticada pela Táquion Tech: [PREENCHER faixa de preço da Táquion Tech].
O scrubbing é uma das camadas da proteção contínua, cuja conta completa está no guia sobre quanto custa proteção DDoS. Aqui o assunto é só a limpeza: como se cobra, o que encarece e quando ela compensa.
Mensalidade do fornecedor e integração na borda
Muita gente compara cotações de limpeza esquecendo que o serviço não funciona sozinho. O fornecedor anuncia o bloco e limpa; a sua borda precisa receber o tráfego de volta, e isso exige trabalho de configuração.
- Mensalidade: paga ao fornecedor enquanto o contrato durar, calculada pela régua que ele usa.
- Integração: sessão BGP com o serviço, túnel ou circuito de retorno, ajuste de MTU, ROA, registro de rota e teste.
- Excedente: cobrança extra quando um ataque passa da capacidade ou do volume contratado, se o contrato prever.
Como os serviços de scrubbing cobram
Os fornecedores usam réguas diferentes, e a mesma rede pode sair mais cara numa e mais em conta noutra. A tabela resume as réguas mais comuns e o risco de cada uma na fatura.
| Régua | Como a conta é feita | Favorece quem | Risco na fatura |
|---|---|---|---|
| Capacidade contratada | Valor fixo por um tamanho máximo de ataque limpo | Quem quer custo previsível | Ataque maior que o contratado fica sem limpeza ou gera cobrança extra |
| Tráfego limpo | Valor pelo volume de tráfego legítimo devolvido | Quem desvia poucos blocos | A fatura sobe junto com o crescimento do cliente protegido |
| Por incidente | Valor a cada ativação, somado a uma taxa base | Quem é atacado raramente | Mês com muitos ataques vira mês de fatura alta |
| Sempre ligado | Todo o tráfego do bloco passa pela limpeza, com valor mensal maior | Bloco atacado com frequência | Paga-se pela limpeza mesmo sem ataque |
Antes de comparar números, converta cada cotação para a sua realidade: quantos blocos, quanto tráfego legítimo eles têm no pico e quantos ataques o provedor recebeu nos últimos meses. Sem isso, a comparação mede a régua, e não o preço.
Quanto custa scrubbing sempre ligado e sob demanda
O modo sempre ligado custa mais por mês, mas o ataque é limpo desde o primeiro pacote. O sob demanda custa menos, e o ataque só é limpo depois que alguém, ou a detecção da borda, aciona o desvio.
No sob demanda, o custo escondido é o tempo até limpar. Se o acionamento é manual, ele depende de alguém perceber o ataque de madrugada; se é automático, entra na conta a implantação de mitigação de DDoS, que dispara o anúncio sozinha.
O que encarece a integração com o scrubbing
A integração fica mais cara quando os blocos estão dispersos, os registros estão desatualizados ou o retorno exige circuito físico. Quase todos esses pontos podem ser adiantados pelo provedor antes da proposta.
- Blocos espalhados: clientes empresariais distribuídos em vários /24 obrigam a proteger mais blocos, ou a reorganizar os IPs antes.
- Registros vencidos: ROA que não autoriza o ASN do fornecedor e objeto de rota ausente travam o anúncio até serem corrigidos.
- Retorno por circuito: o circuito dedicado até o fornecedor depende de ativação física e do prazo da operadora.
- IPv6: proteger blocos /48 exige que o fornecedor limpe IPv6 e que os registros desses blocos também estejam certos.
- Desvio automático: ligar o anúncio à detecção da borda soma testes de disparo e de retirada.
O ponto que mais atrasa costuma ser o RPKI. Se o ROA lista só o seu ASN, o anúncio feito pelo fornecedor chega como inválido e é descartado por quem valida rotas; o guia sobre validação de origem de rotas explica o ajuste.
Exemplo: dois provedores pedindo cotação de limpeza
Dois provedores com o mesmo tamanho de link pediram cotações no mesmo mês. O resultado foi diferente por causa de dois fatores, e nenhum deles tinha a ver com o tamanho da base.
| Ponto | Provedor E | Provedor F |
|---|---|---|
| Blocos a proteger | Um /24 com todos os clientes empresariais | Cinco /24 com empresas espalhadas |
| Registros | ROA e objeto de rota em dia | ROA só com o próprio ASN, sem objeto de rota |
| Ataques no semestre | Dois, contra o mesmo bloco | Ataques semanais em blocos diferentes |
| Modo escolhido | Sob demanda | Sempre ligado em dois blocos e sob demanda nos outros |
No provedor E, a régua por incidente fazia sentido e a integração foi curta. No provedor F, o fator que mais pesou foi a dispersão dos clientes: proteger cinco blocos multiplicou os ajustes de registro e empurrou a mensalidade para cima, e reorganizar os IPs antes saiu mais em conta do que proteger tudo.
Precisa comparar fornecedores de limpeza sem comissão no meio?
Na integração com serviços de scrubbing, um Especialista compara até três opções pelo seu caso, configura o desvio e testa a volta do tráfego.
Quando o scrubbing de menor preço sai caro?
Sai caro quando a limpeza não aguenta o ataque real, devolve o tráfego com atraso ou falha no primeiro desvio. O cliente que deveria ficar no ar cai do mesmo jeito, e a mensalidade continua chegando.
Sinais de que a cotação de limpeza mais em conta vai custar mais
- O fornecedor não tem ponto de presença no Brasil, e o tráfego vai e volta do exterior.
- A capacidade contratada é menor que o maior ataque que o provedor já recebeu.
- O contrato não diz quanto tempo vai do anúncio até o tráfego limpo voltar.
- A cobrança por incidente não tem teto mensal.
- O contrato não prevê teste de desvio fora de um ataque real.
- A cotação ignora o ajuste de MTU e MSS do túnel de retorno.
Duas marcas ou mais indicam um serviço que pode falhar justamente no dia em que for preciso. Negocie esses pontos ou compare com outro fornecedor antes de assinar.
O MTU merece atenção à parte. O túnel GRE acrescenta bytes a cada pacote e, sem ajuste de MSS, páginas e VPNs param de abrir durante o desvio; o cliente percebe a limpeza como falha, e a culpa cai no lugar errado.
Quando vale pagar scrubbing em vez de usar só blackhole?
Vale quando o custo de ter o alvo fora do ar passa da mensalidade da limpeza. Para base só residencial, o blackhole costuma bastar; para cliente com contrato de disponibilidade, raramente basta.
- Clientes no bloco: liste quem está em cada /24 que seria desligado por blackhole e quanto cada um paga por mês.
- Contrato: confira a disponibilidade prometida e o desconto ou a multa previstos quando ela não é cumprida.
- Frequência: conte quantas vezes esses blocos foram atacados no último semestre.
- Conta do descarte: multiplique os ataques pelas horas fora e aplique descontos, multas e o risco de perder o contrato.
- Conta da limpeza: some doze meses de mensalidade e a integração, e compare as duas linhas.
Quando os clientes que não podem parar cabem num único bloco, a limpeza fica restrita a ele e a conta muda bastante. Os demais blocos seguem protegidos por descarte, como mostra o roteiro de ataque DDoS no provedor.
O caso do pool do CGNAT
Com CGNAT, um IP descartado tira do ar todos os assinantes que dividem aquele endereço. Se os ataques caem com frequência no pool público, limpar o bloco pode sair mais em conta do que absorver as reclamações de cada descarte.
Como comparar cotações de scrubbing
Peça a todos os fornecedores as mesmas respostas e converta cada cotação para os seus blocos e o seu histórico de ataques. A integração entra na conta do primeiro ano.
- Capacidade: quanto de limpeza existe no total e quanto fica em ponto de presença no Brasil.
- Ativação: tempo medido em teste do anúncio até o tráfego limpo voltar, e não o número do folheto.
- Régua: se a cobrança é por capacidade, tráfego limpo ou incidente, e qual é o teto do excedente.
- Retorno: se aceita túnel GRE, circuito dedicado ou os dois, e quem paga cada um.
- Teste: se há direito a ensaio de desvio por ano e em que condições [CONFIRMAR com o fornecedor].
Se o provedor ainda não sabe quais blocos proteger, o desenho vem antes da cotação. O guia sobre quanto custa projeto de arquitetura anti-DDoS mostra o que esse projeto resolve.
Erros comuns ao contratar limpeza de tráfego
Os erros mais caros só aparecem no dia do ataque, quando já não dá para trocar de fornecedor. Estes quatro são os mais frequentes.
Evite ao contratar scrubbing
- Comparar só a mensalidade: a integração e o excedente também entram na conta do primeiro ano.
- Proteger bloco menor que /24: anúncios IPv4 mais específicos são filtrados e o desvio não acontece.
- Assinar sem testar: desvio que nunca foi ensaiado costuma falhar por ROA, túnel ou MTU.
- Desviar tudo sempre: pôr blocos residenciais no modo sempre ligado paga limpeza para quem o blackhole já atende.
Perguntas frequentes
O serviço de scrubbing tem contrato mínimo?
Depende do fornecedor, e muitos trabalham com contrato anual [CONFIRMAR com o fornecedor]. Leia a cláusula de saída antes de assinar, porque trocar de serviço exige refazer parte da integração.
A integração precisa ser refeita se eu trocar de fornecedor?
Parte dela, sim: a sessão BGP, o túnel, o ROA e o registro de rota apontam para o fornecedor atual. O procedimento da equipe e a separação de blocos continuam valendo.
Provedor pequeno precisa de serviço de limpeza de tráfego?
Só se tiver clientes que não podem sair do ar ou ataques frequentes contra o pool do CGNAT. Para base só residencial, um blackhole bem configurado costuma resolver.
Quanto tempo leva para a limpeza começar a agir?
No modo sempre ligado, a limpeza é imediata. No sob demanda, soma o tempo de detecção e o de propagação do anúncio BGP, que deve ser medido em teste antes do primeiro ataque.
A operadora de trânsito pode fazer o scrubbing?
Algumas operadoras vendem limpeza junto com o link. Compare do mesmo jeito, por capacidade, ponto de presença e tempo de ativação, e confira se a proteção cobre os seus blocos quando você usa mais de uma operadora.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 4459: MTU and Fragmentation Issues with In-the-Network Tunneling: problemas de MTU em túneis, base do ajuste de MSS no retorno do tráfego limpo
- RFC 6811: BGP Prefix Origin Validation: validação de origem por RPKI, motivo de o ROA precisar autorizar o ASN do fornecedor de limpeza
- DDoS mitigation (Wikipédia em inglês): descreve os centros de limpeza de tráfego e o desvio por BGP usados no scrubbing
