可以使用 BGP 阻止 DDoS 吗？

Question

当我遇到 10Gbps 的 DDoS 时，如果我的 BGP 路由器中有 10M 表条目，我可以对攻击网络进行搜索吗？

我会这样做，首先我会删除第一个 /8 的路由，看看 DDoS 是否会停止。然后以这种方式在完整的 32 位地址空间上搜索 DDoS 的来源。

我对 BGP 不是很熟悉，不确定它传播多长时间、这种搜索需要多长时间以及会产生什么影响。我也不确定我是否真的可以通过从 RIPE 和 Arin 下载的 IP 号码来阻止某些网络停止路由到我。

这尤其适用于处理欺骗攻击，因为可以更有效地追踪正常攻击。

或者我需要多少带宽以及在欧洲有多少个地点来承受任何类型的 DDoS？我可以使用基于 Route 53 延迟的 DNS 重新路由流量。我读到的最近披露的攻击大约是 13Gbps，20Gbps 够用吗？

Answer 1

BGP是一种路由协议，它不能用来检测攻击IP地址。

在路由器/网络上，丢弃攻击者数据包的最有效方法是将目标 IP 路由到尽可能靠近攻击网络的位置。这意味着您的服务将无法访问这些网络。

这可以通过您的传输提供商使用 BGP 来实现，采用一种称为 RTBH 或远程触发黑洞路由的机制。

有一篇有趣的帖子RTBH 在这里。

如果您只有一个路由器，那么将在您的周边（防火墙/路由器）的外边缘对 IP 进行空路由，从而完全从互联网上删除受攻击的服务，同时也会使您的管道饱和。

如果你想知道攻击中使用的 IP 地址，网流/IP修复将是要使用的协议。

Answer 2

不，这样不行。

路由表控制着你到达其他所有人。其他所有人的路由表控制着他们如何到达您。

您无法明确删除其他人向您发送的路由条目。其他网络向您发送路由的方式取决于他们的路由策略，而不是您的路由策略。您所能做的就是停止通告路由，这将导致每个人失去那条路线。