सस्ते डेटा केंद्रों, ILV और DDoS सुरक्षा के बारे में

कभी-कभी एक परियोजना एक सस्ती विदेशी डेटा सेंटर में रहती है, रोस्कॉम्नाडज़ोर के कालीन ताले के नीचे आती है, समय-समय पर खुद को डीडीओएस के हमलों के तहत पाती है, लेकिन एक ही समय में डेटा और ट्रैफ़िक के टेराबाइट्स होते हैं।

इसके साथ कैसे रहना है?

प्रस्तावना

हमारे पास समर्थन के लिए एक छोटा सा फोटोबैंक है। हम नाम और देश का उल्लेख नहीं करेंगे, केवल कुछ तकनीकी डेटा:
भंडारण के लिए 50 टीबी डेटा, लगभग 100 जीबी मासिक रूप से अपडेट किए जाते हैं, "हॉट डेटा" (95% अनुरोध उनके पास जाते हैं) - 200 जीबी।
औसत ट्रैफ़िक - 50 टीबी / महीना।

कई साल पहले, बड़े डिस्क के साथ कई हेट्ज़नर एसएक्स-सीरीज़ सर्वर को फोटो पोस्ट करने के लिए चुना गया था (मुझे पीडी के भंडारण के लिए अधिक जटिल समाधान के साथ आना था, लेकिन उस समय और अधिक)।

साउथब्रिज ने संदेह जताया कि हेत्ज़नेर इस तरह की परियोजना के लिए उपयुक्त था, लेकिन कनेक्टिविटी की पहुंच और गुणवत्ता का आवश्यक स्तर हासिल किया गया था।

इसके अलावा, इस तरह की परियोजना के लिए, सीडीएन का उपयोग करना एक सस्ता डेटा केंद्र में सर्वर से स्टेटिक्स वितरित करने की तुलना में अधिक महंगा परिमाण का एक आदेश होगा।

कहानी

यहाँ हमारे इतिहास में रोसकोम्नाडज़ोर दिखाई देता है, इसे व्यर्थ नहीं जाने दें। 18 के वसंत में, कालीन ताले शुरू हो गए और मई तक उन्होंने हमारे कई ग्राहकों को कवर किया।

कुछ ग्राहकों ने नाटकीय रूप से हेट्ज़नर, अमेज़ॅन, एमएस अज़ूर, जीसीई, डिजिटलोसियन तक पहुंच के साथ समस्या को हल किया: उन्होंने पूरे सर्वर को रूस में स्थानांतरित कर दिया (हाय, सेलेल!), लेकिन हमारे हीरो के लिए, एक छोटा फोटो बैंक, लगातार 50 टीबी डेटा का परिवहन आगे और पीछे बहुत महंगा है! , और हम ताले के अंत के बाद रूस में परियोजना सर्वरों को छोड़ने नहीं जा रहे थे।

बड़ी और अपर्याप्त समस्याओं के लिए, छोटे और पर्याप्त समाधान की आवश्यकता होती है।

समस्या हल करना

उदाहरण के लिए, फ्रंट-एंड के लिए अन्य (अनलॉक) सर्वर या सेवाओं का उपयोग करें। आईपी ​​पते की सीमा को बदलने से 100% मदद नहीं मिली, क्योंकि ILV ने हर दिन नए IP सबनेट को ब्लॉक किया, इसलिए हमने Cloudflare.com के माध्यम से प्रॉक्सी को सक्षम करने का निर्णय लिया। अचानक, जो नहीं जानते हैं, वे न केवल DDoS हमलों (इस बाजार के सर्वश्रेष्ठ खिलाड़ियों के रूप में अच्छे हैं) के खिलाफ रक्षा करते हैं, बल्कि एक सीडीएन सेवा भी प्रदान करते हैं (और वे इसे अच्छी तरह से करते हैं)।

यह एक शानदार उपाय है यदि आपके क्लाउडफ़ेयर पते अवरुद्ध नहीं हैं)

ठीक है, उन्होंने इसे चालू कर दिया - और काम की स्थिरता और यातायात की वापसी की निगरानी करना शुरू कर दिया। CF कनेक्ट करने के बाद, हमने यह चित्र ट्रैफ़िक काउंटिंग के ग्राफ में से एक सर्वर से लिया (हेट्ज़नर के आँकड़ों से चित्र):

आने वाले ट्रैफ़िक को त्रुटि के मार्जिन के भीतर बदल दिया गया (जो नई फ़ोटो अपलोड करने के लिए शेड्यूल द्वारा भी पुष्टि की गई है, जिसके लिए एक अलग निगरानी मीट्रिक बनाई गई थी), इस सर्वर पर आउटगोइंग ट्रैफ़िक CF कनेक्ट करते समय 3+ बार गिर गया। कुल वास्तविक ट्रैफ़िक 3 बार नहीं गिरा, बस सीएफ ने सर्वरों के बीच ट्रैफ़िक को अलग तरीके से वितरित करना शुरू किया।

उदाहरण के लिए, हमारी निगरानी प्रणाली से एक ही सर्वर के लिए एक ग्राफ (3 महीने के लिए, ताकि यह बहुत छोटा न हो):

और दूसरों में से एक के अनुसार:

लेकिन समग्र यातायात अभी भी 20% तक गिर गया, अर्थात सीएफ ने परियोजना को कुछ ट्रैफिक से बचाया।

औसत विलंबता बढ़ गई है, लेकिन हम इन ग्राफ़ को नहीं दिखाएंगे।

कारण: रूस में क्लाउडफ्लेयर के कुछ वितरण बिंदु हैं। यूरोप और उत्तरी अमेरिका में, यह पहले से ही अधिक प्रभावी है।

और यातायात के समानांतर में, हम सेवा का उपयोग करने की गतिविधि की निगरानी करते हैं। नई फ़ोटो सेवा में अपलोड की जाती हैं, और हम उनकी संख्या (और आने वाले ट्रैफ़िक) की निगरानी करते हैं।

फ़ोटो अपलोड करने के लिए सर्वर प्रसंस्करण अनुरोधों में से 3 महीने (अप्रैल-जून) के लिए अनुसूची:

और यहाँ एक और सर्वर है:

Cloudflare ने backend traffic को कुछ अलग तरीके से वितरित करना शुरू किया। लेकिन सामग्री लोड होना जारी रही, सेवा ने काम किया, गुणवत्ता में कोई भयावह गिरावट नहीं थी (उपयोगकर्ता समीक्षाओं के अनुसार, सिद्धांत में अंतर ध्यान देने योग्य नहीं था)।

Cloudflare में एक अवरुद्ध पता प्राप्त करने का जोखिम भी है, लेकिन आप भुगतान किए गए टैरिफ को कम करके इसे कम कर सकते हैं।
ILV कालीन लॉक को पूरा करने के बाद, हमने Cloudflare को अक्षम कर दिया।

परिणाम क्या है?

• ५-२० डॉलर / महीने (हमारे मामले में यह सिर्फ ५ डॉलर / महीना था), आप इसी तरह की समस्या को हल कर सकते हैं और अधिक महंगे सर्वर किराए पर लेने और डेटा ट्रांसफर करने पर हजारों डॉलर खर्च नहीं कर सकते हैं।
• यहां तक ​​कि यातायात के टेराबाइट्स वाली परियोजनाओं के लिए, मुफ्त या लगभग मुफ्त समाधान उपयुक्त हैं। व्यवहार में सिद्ध।

एक विकल्प के रूप में:

• DDoS-GUARD ट्रैफ़िक प्रॉक्सी और DDoS हमलों से सुरक्षा के साथ एक मुफ्त टैरिफ़ प्रदान करता है।
• कई DDoS सुरक्षा सेवा प्रदाताओं के पास इस तरह की रुकावटों के साथ मुफ्त सहायता सेवा थी। (वैसे, हमने ताले के साथ समस्या को हल करने के लिए अतिरिक्त पैसा नहीं लिया है)।
• आप प्रसिद्ध CDN सेवाओं में से एक ले सकते हैं: keycdn.com, cdn77.com, Akamai CDN, CDNVideo, Ngenix.net, आदि। वे अपने ग्राहकों के लिए सुरक्षा अवरुद्ध करने की समस्या को स्वयं हल करते हैं। लेकिन यह a) अधिक महंगा है b) गैर-स्थैतिक सामग्री को वापस करने की समस्या को हल नहीं करता है।
• आप एक अन्य प्रॉक्सी और DDoS सुरक्षा सेवा से जुड़ सकते हैं (उदाहरण के लिए, हमने Qrator और SkyparkCDN / G-Core Labs के साथ बहुत काम किया है), लेकिन उन्हें उपयोगी यातायात के प्रत्येक मेगाबिट के लिए भुगतान करने की आवश्यकता होगी, और यह वास्तव में महंगा होगा।
• "आपका अनलॉक किया गया फ्रंटेंड" दुनिया के किसी भी प्रदाता पर तैनात किया जा सकता है, उसी समय आपको पते की एक अनलॉक सीमा का चयन करने की आवश्यकता होती है, और अपने सर्वर और फ्रंटेंड सर्वर के बीच अच्छी कनेक्टिविटी सुनिश्चित करते हैं। यदि आपको गंभीरता से ऐसा करने की आवश्यकता है, तो आप पहले सूची से या मैन्युअल रूप से यहां पते की जांच कर सकते हैं ।

व्यक्तिगत रूप से, मैं इस तरह के "फ्रंटेंड्स" के लिए packet.net और server.com की सलाह देता हूं - उत्कृष्ट कनेक्टिविटी और घंटे दर के साथ सर्वर लेने की क्षमता।

ps अगर कुछ भी - मैं RedSlerm बोलने वालों में से एक हूं। आओ, यह दिलचस्प होगा:
https://slurm.io/redslurm/