Mengapa grafik lalu lintas "berbohong"

Terlibat dalam perlindungan terhadap serangan DDoS Itu dibawa di situs klien untuk melakukan tes beban, tes pertahanan, dan membantu dalam memukul mundur serangan. Seringkali Anda mengamati situasi ketika grafik dalam sistem yang berbeda berbeda pada lalu lintas yang sama. Penjelasan singkat tentang "berpikir secara berbeda" tidak menginspirasi kepercayaan. Karena itu, ia menjelaskan alasan untuk artikel yang terpisah. Artikel ini akan bermanfaat bagi insinyur pemula dari operasi jaringan dan mereka yang harus berurusan dengan jadwal.

Alasan perbedaan kesaksian dibagi menjadi tiga kelompok:

1. Menghitung
2. Pengumpulan dan penyimpanan
3. Tampilan

1. Menghitung

Saya akan mulai dengan alasan utama untuk perbedaan dan yang paling sering diabaikan.

1. Insinyur sering percaya bahwa ukuran "paket" minimum adalah 64 Bytes.
2. Peralatan jaringan secara berbeda mempertimbangkan jumlah informasi yang dikirim.

Sumber kesalahan dan jawaban ada di gambar ini.

1.1 RTFM

Ingat Struktur Header Ethernet



Sebagai contoh, kami akan melakukan perhitungan untuk 10 GbE. Melalui antarmuka 10 GbE, maksimum 1.000.000.000 bit lulus (10 ^ 10).

Ubah ukuran header dari oktet menjadi bit

	byte	bit
Ukuran Header L1	20	160
Ukuran Header L2 MAC	14	112
Ukuran L2 FCS	4	32
Ukuran L2 VLAN	4	32
Muatan min	46	368
Maksimum payload	1500	12000
Total
Min payload tanpa VLAN	84	672
Min payload dengan VLAN	88	704
Muatan maksimum tanpa VLAN	1538	12304
Muatan maksimum dengan VLAN	1542	12336

* Penggunaan teknologi overlay pada jaringan transportasi memengaruhi ukuran awal PDU , yang mengurangi pps maksimum.
** Sebagai contoh ambil VLAN. Memproses bingkai dengan ID vlan pada antarmuka jaringan dapat bervariasi. Beberapa meningkatkan MTU, yang lain mengurangi ukuran muatan maksimum yang diijinkan.

Kami menghitung kecepatan maksimum dan minimum dalam PDU per detik dengan pemanfaatan antarmuka yang lengkap (wirespeed)

Pps maks	14880952 .38
Max pps dengan VLAN	14204545.45
Pps Min	812743 .8231
Min pps dengan VLAN	810635.5383

Yaitu melalui antarmuka 10 GbE, operan maksimum ~ 14,88 Mpps. Untuk memudahkan mengingat, kami menyebutnya zigapack.

Saya juga menarik perhatian pada fakta bahwa pps maks dan pps min berbeda lebih dari 18 kali . Untuk alasan ini, ketika mempertimbangkan solusi antiDDoS, Anda perlu memperhatikan kinerja dalam Mpps. Seringkali vendor mengklaim kinerja dalam Gbps, diam dalam paket. Deskripsi metode untuk mengevaluasi kinerja sistem perlindungan adalah topik untuk artikel besar yang terpisah.

1.2 Fitur Penghitungan Ukuran PDU

Peralatan jaringan dapat membaca ukuran PDU di berbagai tingkat dan mengecualikan bidang dari penghitungan. Kumpulan bidang yang sering dihitung:

• Data L2 atau paket IP len
• Data L2 + Header MAC
• Data L2 + MAC Header + FCS (Checksum CRC)

Sekarang kita menghitung pembacaan pada grafik ketika menyerang TCP SYN Flood pada wirespeed tanpa dan menggunakan vlan.

	Ukuran PDU (byte)	Pengganda Gbps
		10 9	2 30
Pps tanpa vlan = 14880952.38
L1	84	10	9.313225746
L2	64	7.6190 47619	7.095791045
L2 tanpa FCS	60	7.1428 57143	6.652304104
Data L2 (IP + TCP)	40	4.761904762	4.434869403
Pps dengan vlan = 14204545.45
L1	88	10	9.313225746
L2	68	7.727272727	7.196583531
L2 tanpa FCS	64	7.272727273	6.773255088
Data L2 (IP + TCP)	40	4.545454545	4.23328443

Jadi dengan pemanfaatan penuh antarmuka 10 GbE pada grafik, Anda dapat mengamati kecepatan 4,43 Gbps.

Karena itu, ketika membandingkan nilai kecepatan dalam sistem yang berbeda, Anda perlu memahami bagaimana ukuran PDU dipertimbangkan. Untuk mempermudah perbandingan, kami membuat kalkulator sendiri, menunjukkan kecepatan saat menghitung tajuk yang berbeda.

Dua kelompok penyebab berikut ini memengaruhi penghalusan puncak dan berlaku untuk semua grafik kecepatan.

2. Pengumpulan dan penyimpanan

2.1 Frekuensi penghitungan polling

Biasanya penghitung yang disurvei menunjukkan nilai absolut dari byte dan paket yang diproses. Untuk menampilkan kecepatan, Anda perlu menghitung turunannya.

Keakuratan grafik sangat tergantung pada frekuensi polling penghitung. Semakin jarang, semakin besar rata-rata. Misalnya, sudah lazim bagi operator untuk mengambil nilai setiap lima menit. Oleh karena itu, dengan serangan Pulse Wave DDoS, profil grafik dalam sistem pemantauan dan sistem penyaringan akan sangat berbeda.

2.2 Konsolidasi Data (Kebijakan penyimpanan)

Seringkali, pendekatan cyclic database (rrd) digunakan untuk menyimpan nilai counter. Untuk menghemat sumber daya, data untuk periode yang berbeda disimpan dengan akurasi yang berbeda. Semakin jauh ke masa lalu, semakin sedikit nilainya, semakin besar rata-rata.

Sistem yang berbeda mungkin memiliki kebijakan penyimpanan yang berbeda, oleh karena itu, secara retrospektif melihat grafik, Anda dapat mengamati nilai yang berbeda.

3. Tampilan

3.1 Jumlah poin pada grafik

Biasanya pada grafik ada batasan jumlah poin yang ditampilkan. Jika ada lebih banyak poin selama periode yang diminta, maka saat menampilkan poin dikonsolidasikan. Paling sering, titik tetangga dikonsolidasikan menjadi satu dengan nilai rata-rata. Rata-rata ini menghaluskan puncak.

Contoh ilustrasi:

3.2 konsol biner

Perbedaan tambahan dalam pembacaan ditambahkan oleh alat menggambar grafik. Untuk grafik dalam bit, mereka dapat menggunakan berbagai derajat untuk menampilkan awalan yang sama. Anda dapat membaca lebih lanjut di en.wikipedia.org/wiki/

3.3 Unit

Pada dasarnya, penghitung pada peralatan jaringan menunjukkan jumlah informasi yang diproses dalam byte. Jika tidak dikonversi, maka grafik akan menunjukkan kecepatan dalam Bps (byte per detik), dan tidak dalam bps (bit per detik).

Kesimpulan

Grafik adalah alat yang berguna dan informatif. Dengan melihat set grafik yang tepat, Anda dapat dengan cepat menemukan jawaban untuk banyak pertanyaan. Tetapi ketika bekerja dengan grafik, Anda perlu memahami nuansa, terutama ketika menghubungkan grafik dari sistem yang berbeda. Karena itu, pertama kali Anda melihat grafik, cari tahu:

• apa yang sedang terjadi dan bagaimana;
• bagaimana ini disimpan;
• seperti yang ditampilkan.