解决 ddos/cc 攻击的完美解决方案（可惜国内未推进）

[8520ccc]

和 cf 一样做 anycast 就可以了

例如 CDN 在全国 34 个省市都设立机房，然后用同一个 IP

例如：6.6.6.6
然后上海移动的用户直连上海移动的 CDN 边缘节点
也只有上海移动的用户能直连到上海移动的 CDN 边缘节点

这样的话，上海移动如果被攻击 ddos ，也只有上海移动的 IP 才能实施，其他区域的 IP 都不可能攻击到

而即使上海移动有一定攻击量，也很难打动……

因为这时候消耗的都是省内 /市内的宽带，成本很低……

这时候只需要在边缘节点上过滤一遍攻击流量 /CC 请求

再将正常的请求推到源站就好了（这样也能节省一部分跨省甚至跨国的攻击流量，节省成本）

而现在国内的 CDN 都是一个机房一个 IP 段

如果被攻击，全球的攻击流量都能到……

这样应该完全是有利无弊的，不知为何不推进这项技术……

[julyclyde]

你知道 ddos 第一个 d 字啥意思嘛？
你知道各服务商都有 anycast 吗？

[cxh116]

GEODNS 一样可以实现你这样的效果,虽然 IP 不同,但效果跟你说的这操作差不多.

流量足够大, CDN 被打穿,全回到源,一样挂,只是攻击成本的问题.

[xiao109]

错觉之一，这么好的方案怎么只有我想到了

[aoling]

就近处理,分布式清洗攻击流量,各运营商都有这个技术的呀,

最终还是要有人抗下这些流量的

[Depth]

成本问题，另 anycast 该技术国内各家好几年前就开始提供该技术的防御 IP 了，国内碍于成本没法平衡而已。

[Xusually]

这……不然 op 认为现在的高防 cdn ，高防 ip ，分布式流量清洗是怎么实现的，都是类似的技术，不过就是要付出多少成本而已。

[dingwen07]

Anycast 是让每个区域的肉机只能攻击当前区域的服务器，理论上确实是要比 GEODNS 更好的
不过话说国内 DDoS 的肉机都是哪来的。。。

[songpengf117]

试看区块链技术能不能完美解决 ddos/cc 攻击

[Jamy]

@songpengf117 这也能用区块链技术解决?

[AA5DE3F034ACCB9E]

@Jamy 区块链包治百病

[mhycy]

先看看国内的 BGP 接入价格再来讨论扛 DDOS 的问题，运营商不中立结果就是 BGP 带宽价格高得飞起
另外，还有基于 BGP 的 DDOS 流量重定向清洗方案
参考 https://www.akamai.com/zh/products/prolexic-solutions
因为 BGP 接入的困难性，这东西在国内难以普及

[julyclyde]

@Jamy 5G 区块链 人工智能 物联网 能上的全给他上
最后再做个大屏幕，声光电

[bobryjosin]

@julyclyde buff 叠满哈哈

[nightwitch]

cdn 不用收费的吗。。
也许你源站确实抗住了，DDOS 没把你源站打死，结果月底一看 cdn 账单 20 万，这也算解决 ddos 了吗

[lambdaq]

@julyclyde 这大屏幕还必须是 VR 的。

[mm163]

@julyclyde 有那味了。

[ZeroClover]

@nightwitch 实际上利用防御成本远高于攻击成本来迫使因为账单问题导致网站下线也是 DDoS 的目的之一

[8520ccc]

@nightwitch 真的有大的 CDN 服务商提供这种方案了 直接防御免费了，因为基本不可能打死

攻击无效

参考 cloudflare （无限防且服务免费。。。）

现在被攻击 CDN 贵的原因正是因为没有实施这项技术 导致被攻击清洗时成本极高（且有可能被打死）

[8520ccc]

@mhycy 运营商的问题吧 说难度什么的我认为都不存在，这些都已经有成熟的应用了，照猫画虎，技术上肯定不是很难的

但是中间就是依赖于运营商 人家不配合你只能看着。。

[8520ccc]

@julyclyde 国内的 CDN 基本都用过

阿里 /腾讯 /百度 /百度云加速 /华为（而我主要指的是这些主流的大的 CDN 服务商）

基本都不是这个实现，都是通过 DNS 进行分区的。。。。。

阿里 /腾讯 倒是都有这项业务 但是都是提供海外的

[8520ccc]

@xiao109 绝非此意 我只是好奇这么好的方案为何这么久都未被国内主流 CDN 服务商启用

[8520ccc]

@Depth 或许正是因为这项技术完全依赖于运营商 被垄断 所以价格设定很高吧 溢价很高。。。。

或许这样更赚钱。。。。。。。。。。。。。。。。。。。。。。。。。

[8520ccc]

@aoling 分开来扛还是很轻松的。。。。国内大的 CDN 服务商基本每个省 直辖市都有节点。。。

[8520ccc]

@cxh116 完全不同啊 我全部流量集中打你一个区域的节点就好了（一个个摁过去）

例如就打你上海电信的节点 全球 500G 流量过来 你上海电信就得有这么多宽带吃得下才行吧

但是如果是 anycast 得你上海得攻击流量有这么多才行了。。。。

[mytsing520]

@8520ccc
#20
原因 11 楼讲的很清楚了，费用，费用，费用。
你自建一套 BGP+AnyCast 的成本，和运营商直签，用运营商的线路，至少 10 套节点都有了。

[julyclyde]

@8520ccc anycast 要加钱啊
DNS 分区可以提供更精细的调整能力

[qwvy2g]

为什么不在用户侧部署联动设备自动阻断？

[loukky]

anycast 并不是国内没有，只是说 CDN 一般拿不下来，国内的任播好像 DNS 比较多，阿里的，114 的都是 anycast

[xuanbg]

OP 的错觉：DDOS 的流量都从一个地方来。。。

[ryanbuu]

有啥难的，实在不行就上元宇宙

[dorothyREN]

anycast 他只要能打挂你一个地区，那你所有地区都会被打卦

[lysS]

如果 client 不是 web, 可以给 client 分组，不同的组只能请求独有的 ip ，被攻击的也只是个别组、影响有限，可以直接不管它

[leonshaw]

这样只能缩小影响范围，打挂一个区域反而更容易了

[jy02201949]

业内了解都知道运营商这块有整套解决方案的，直接用国内运营商在骨干网络上部署抗 D 服务，电信的云堤、联通的云盾等，ddos 流量还没到机房就被干了，当然，对应的价格也很美丽

[icy37785]

总有人认为成本问题是技术问题，然后开始发问，这么好的技术为什么不用。

[ayconanw]

最简单的方法，套 cf ，然后服务器只给 cf 的 ip 开白名单

[L0L]

应用中类似的缓存穿透

[29EtwXn6t5wgM3fD]

各大厂商 CDN 为了成本都租用大量的运营商廉价的三线城市机房，甚至还有 PCDN ，把 Anycast 覆盖到这些 IP 几乎不可能