Clientes com contrato de disponibilidade
Blackhole tira do ar justamente quem paga mais. Para eles, o ataque precisa ser limpo, não descartado.
Segurança e DDoS · Provedores
Integração com serviços de scrubbing para provedores
O bloco atacado vai para a limpeza e volta só com tráfego legítimo, com o cliente no ar e o desvio testado antes do primeiro ataque de verdade.
- Fornecedor escolhido sem comissão
- MTU do túnel medido antes de liberar
- Desvio e retirada por escrito
Integração com serviços de scrubbing é ligar a sua borda a um centro de limpeza de tráfego, para que o bloco atacado seja desviado, filtrado e devolvido sem tirar o cliente do ar. É para o provedor que atende empresas com SLA ou recebe ataques maiores que o próprio link. O resultado é um desvio testado, com acionamento e retirada escritos para a equipe.
O que é integração com scrubbing
É preparar o caminho de ida e volta do tráfego entre a sua rede e o serviço de limpeza. O contrato é seu com o fornecedor; a integração faz o desvio funcionar quando o ataque chega.
O scrubbing é a forma de conter um ataque DDoS maior que o seu link mantendo o alvo no ar. O blackhole também segura ataques grandes, mas desliga o IP atacado, e isso quebra o contrato de um cliente empresarial.
O desvio acontece por BGP: o serviço anuncia o seu bloco, a internet passa a entregar o tráfego a ele, e o que sobra limpo volta por túnel ou circuito dedicado. Quem decide a hora de desviar costuma ser a detecção por NetFlow ou sFlow da borda.
Depois da limpeza, o firewall e os filtros da borda seguem valendo para o tráfego devolvido. A integração muda conforme o modo contratado e a forma de retorno:
Sempre ligado
Todo o tráfego do bloco passa pela limpeza o tempo todo. Não há tempo de ativação, mas a latência extra é permanente.
Sob demanda manual
A equipe aciona o desvio quando o ataque começa. Custa menos, mas depende de alguém perceber e saber o que fazer.
Sob demanda automático
A detecção da borda dispara o anúncio pelo serviço. Junta o custo do modo sob demanda com reação em segundos.
Retorno por túnel ou circuito
O tráfego limpo volta por túnel GRE pela internet, que pede ajuste de MTU, ou por circuito dedicado até o fornecedor.
Quando você precisa da integração com scrubbing
Seis situações mostram que blackhole sozinho já não basta. Se uma delas é a sua, o desvio precisa estar pronto antes do próximo ataque.
Ataques maiores que o link
Se o pico de ataque já passou do tamanho do trânsito, nada dentro da sua rede segura o volume.
O mesmo bloco atacado sempre
Servidores de jogo, hospedagem ou um cliente visado repetem o padrão. Desviar só aquele /24 resolve.
Contratou e nunca testou
Serviço sem teste de desvio costuma falhar no primeiro uso, por ROA errado, túnel caído ou MTU quebrando sites.
Blackhole derrubando gente demais
Com CGNAT, um IP descartado tira dezenas de assinantes do ar. Limpar mantém todos conectados.
Comparando fornecedores
Preço por Gbps limpo, ponto de presença e tempo de ativação variam muito. A comparação vem antes do contrato.
Como funciona a integração com scrubbing
São cinco etapas, da escolha do fornecedor ao treino da equipe. O desvio é testado antes de qualquer ataque real.
Comparação de fornecedores
Duas ou três opções avaliadas por capacidade, presença no Brasil, ativação e forma de cobrança.
Prazo: [PREENCHER]
Requisitos técnicos
Blocos, ROA, registro de rota, túnel ou circuito e capacidade de retorno acertados com o fornecedor.
Prazo: depende do fornecedor
Configuração em janela
Sessão BGP com o serviço, túnel e filtros dos dois lados, com backup e plano de volta.
Duração da janela: [PREENCHER]
Teste de desvio
Um bloco de teste é desviado e devolvido, medindo latência, MTU e o tempo até o tráfego voltar limpo.
Prazo: [PREENCHER]
Procedimento e treino
Como acionar, conferir e retirar o desvio, escrito e ensaiado com a equipe.
Prazo: [PREENCHER]
O que está incluído na integração com scrubbing
A integração deixa o desvio e a volta do tráfego prontos e testados. A mensalidade do serviço e as camadas vizinhas ficam de fora.
Incluído
- Comparação de até três fornecedores de limpeza
- Sessão BGP com o serviço e filtros dos dois lados
- Túnel GRE ou circuito dedicado para o retorno
- Ajuste de MTU e MSS no caminho do túnel
- ROA e registro de rota ajustados para o fornecedor anunciar o bloco
- Acionamento e retirada, manual ou automático
- Ligação com a detecção da borda, quando existir
- Teste de desvio com bloco de laboratório, quando o fornecedor permite
- Procedimento escrito para a equipe
Não incluído
- Mensalidade do serviço de limpeza, paga direto ao fornecedor
- Compra de equipamento (a Táquion Tech não vende equipamento)
- Sistema que detecta e dispara o desvio, na implantação de mitigação de DDoS
- Coleta de fluxos da borda, na análise de fluxos com NetFlow
- Validação de rotas recebidas, na implantação de RPKI
Quanto custa a integração com scrubbing
O custo tem duas partes: a mensalidade do serviço de limpeza, paga ao fornecedor, e a integração, que é um projeto fechado. Os fatores abaixo mudam o preço da integração.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de blocos | Cada /24 protegido pede ROA, registro e teste próprios | Quatro blocos /24, dois com clientes empresariais |
| Forma de retorno | Túnel exige ajuste de MTU; circuito exige ativação física | Túnel GRE pela operadora de trânsito |
| Acionamento | Desvio automático soma a ligação com a detecção | Detecção existente disparando o anúncio |
| Roteadores de borda | Cada roteador recebe sessão, filtros e túnel | Dois roteadores em POPs diferentes |
| Comparação de fornecedores | Avaliar opções leva tempo antes da configuração | Três fornecedores com presença no Brasil |
| Registros em dia | ROA e IRR desatualizados precisam ser corrigidos antes | Blocos sem objeto de rota registrado |
Faixa de preço da integração: [PREENCHER faixa aprovada pela Táquion Tech]. A mensalidade do serviço de limpeza varia com a capacidade e o modo, e é negociada direto com o fornecedor escolhido.
O que conferir antes de contratar a integração com scrubbing
Confira os erros que fazem o desvio falhar no primeiro ataque, a escolha do modo e as regras de roteamento que o fornecedor precisa cumprir. Vale para avaliar qualquer integração, inclusive a da Táquion Tech.
Erros comuns ao contratar
Cinco falhas que só aparecem no dia do ataque. Confira cada uma antes de assinar.
Bloco menor que /24
Anúncios IPv4 mais específicos que /24 são filtrados pela maioria das redes. Sem um /24 inteiro para desviar, o serviço não recebe o tráfego.
ROA que não autoriza o fornecedor
Se o ROA só lista o seu ASN, o anúncio do serviço chega como inválido e é descartado por quem valida RPKI.
MTU esquecido no túnel
O GRE soma bytes a cada pacote. Sem ajuste de MSS, páginas e VPNs param de abrir durante o desvio, e parece que a limpeza falhou.
Retirada sem roteiro
Desfazer o desvio às pressas pode fazer as rotas oscilarem. A retirada também precisa de passo a passo.
Contrato sem direito a teste
Pergunte se o fornecedor permite um teste de desvio por ano sem custo extra [CONFIRMAR com o fornecedor].
Sempre ligado ou sob demanda
O modo decide quanto você paga e quanto tempo o ataque dura antes da limpeza. A tabela resume a troca.
| Critério | Sempre ligado | Sob demanda |
|---|---|---|
| Tempo até limpar | Imediato | Detecção mais propagação do anúncio BGP |
| Latência no dia a dia | Maior, todo tráfego passa pelo centro | Normal fora do ataque |
| Custo mensal | Mais alto | Mais baixo |
| Indicação | Bloco atacado com frequência | Ataques ocasionais |
Perguntas para o fornecedor
Capacidade
Quantos Tbps de limpeza existem e quanto disso fica em ponto de presença no Brasil.
Ativação
Quanto tempo do anúncio até o tráfego limpo voltar, medido em teste e não em folheto.
Cobrança
Se cobra por tráfego limpo, por capacidade contratada ou por incidente.
Sinal de alerta
Sem ponto de presença no Brasil, o tráfego vai e volta do exterior durante o ataque, e jogos e voz sofrem justamente quando o cliente já está reclamando.
Normas e boas práticas
Regras de roteamento que o desvio precisa respeitar. Peça ao fornecedor que confirme cada uma.
RPKI e ROA
O ROA do bloco precisa listar o ASN do fornecedor como origem autorizada, com o tamanho máximo certo [CONFIRMAR na norma].
Registro de rota (IRR)
Muitas operadoras filtram anúncios pelo banco IRR, então o objeto de rota do fornecedor precisa existir antes do desvio [CONFIRMAR na norma].
RFC 4459
Trata dos problemas de MTU e fragmentação em túneis, base do ajuste de MSS no retorno [CONFIRMAR na norma].
Checklist antes de contratar
Estes dados encurtam a comparação e a configuração.
Lista de blocos
Quais /24 serão protegidos e quais clientes estão em cada um.
Histórico de ataques
Tamanho máximo registrado e frequência, para dimensionar a capacidade contratada.
Acesso ao Registro.br
Para ajustar o ROA e conferir os registros de rota dos blocos.
Equipamento de borda
Modelo e versão, para confirmar suporte a GRE e ao volume de retorno.
Por que escolher a Táquion Tech para integrar o scrubbing
Porque o fornecedor é escolhido pelo seu caso e o desvio é provado antes do ataque. Seis compromissos de toda integração.
Sem comissão de fornecedor
A comparação entre serviços de limpeza segue capacidade, presença no Brasil e preço, não repasse.
Nenhum serviço de limpeza indicado por comissão
Desvio testado antes do ataque
Um bloco de teste vai e volta pela limpeza com você acompanhando os números.
Teste de desvio na janela, quando o fornecedor permite
MTU medido, não suposto
Pacotes grandes atravessam o túnel em teste antes da liberação, para nenhum site parar de abrir.
Medição de MTU no relatório de entrega
Retirada documentada
Voltar ao caminho normal tem passo a passo próprio, com conferência de rotas depois.
Retirada descrita no procedimento
Especialista do começo ao fim
Quem compara os fornecedores é quem configura e testa o desvio.
[PREENCHER: integrações de scrubbing feitas]
Remoto para todo o Brasil
Toda a integração é feita por acesso remoto seguro, sem deslocamento na conta.
[PREENCHER: estados atendidos]
Onde a Táquion Tech integra scrubbing
A integração é remota e atende provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também vai ao POP quando o retorno é por circuito físico.
Remoto para todo o Brasil
Sessão BGP, túnel, testes e treino feitos por acesso remoto registrado, em janela combinada.
Presencial no litoral de Santa Catarina
Ativação do circuito dedicado no rack e acompanhamento do teste no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre integração com serviços de scrubbing
As dúvidas mais comuns antes de contratar a limpeza de tráfego. Se a sua não estiver aqui, pergunte no WhatsApp.
O que é scrubbing de DDoS?
É um serviço que recebe o tráfego destinado ao seu bloco, separa o ataque e devolve só o legítimo. O alvo continua no ar durante todo o ataque.
Scrubbing ou blackhole?
Blackhole desliga o IP atacado e não tem custo extra; scrubbing mantém o alvo no ar e tem mensalidade. Muitos provedores usam blackhole para residencial e limpeza para empresas.
Quanto custa a integração com serviços de scrubbing?
A integração é um projeto fechado, com faixa [PREENCHER]. A mensalidade da limpeza é paga direto ao fornecedor e varia com a capacidade e o modo.
Quanto tempo leva a integração?
Depende do fornecedor liberar a sessão e dos registros dos blocos estarem em dia. O prazo típico é [PREENCHER], e o seu vai escrito na proposta.
Preciso de um /24 inteiro?
Para desviar por BGP em IPv4, sim, porque anúncios menores são filtrados na internet. Se o cliente está num bloco menor, a solução passa por reorganizar os IPs.
O tráfego limpo volta como?
Por túnel GRE, que funciona pela internet e pede ajuste de MTU, ou por circuito dedicado até o fornecedor. A escolha depende do volume e do preço do circuito.
Vocês indicam o fornecedor?
Comparamos duas ou três opções pelo seu caso, sem comissão de nenhuma. O contrato é feito por você, direto com quem escolher.
O desvio pode ser automático?
Pode, quando há detecção na borda ligada ao anúncio. A detecção é montada na implantação de mitigação de DDoS.
Scrubbing aumenta a latência?
Durante o desvio, um pouco, porque o tráfego passa pelo centro de limpeza. Com ponto de presença no Brasil, a diferença costuma ser pequena; no modo sempre ligado, ela é permanente.
A integração funciona com IPv6?
Funciona quando o fornecedor limpa IPv6 e os blocos /48 estão com ROA e registro corretos. Confirme isso na comparação, porque nem todo serviço oferece.
Serviços relacionados à integração com scrubbing
Três serviços que trabalham junto com a limpeza. Um decide quando desviar, os outros cuidam dos anúncios.
-
Implantação de mitigação de DDoS
Detecção pelos fluxos que dispara o desvio sozinha quando o ataque passa do limite.
Ver a implantação de mitigação de DDoS -
Configuração de blackhole BGP
Descarte na operadora para os IPs que podem ficar fora, sem custo de limpeza.
Ver a configuração de blackhole BGP -
Implantação de RPKI
ROA dos blocos e validação de origem, que o desvio precisa ter em ordem.
Ver a implantação de RPKI
Leia antes de contratar
Três guias sobre o que acontece antes e durante o desvio.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como medir o ataque e decidir entre descartar e limpar.
- Validação de origem de rotas: guia prático para provedores
Por que o ROA precisa autorizar o fornecedor antes do desvio.
- Configuração de FlowSpec: guia prático para provedores
A alternativa por filtro na operadora para ataques com padrão claro.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de integração com scrubbing
Diga em que pé está a limpeza de tráfego e quem precisa ficar no ar. Um Especialista devolve escopo, prazo e valor.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
