Das Netz hinter Ihren Servern

Jeder Server auf AS55285 enthält DDoS-Mitigation an der Netzkante. Sie gehört zur Netzwerkebene und nicht zu einer eigenen Produktlinie: Es gibt nichts in einen Warenkorb zu legen und nichts einzuschalten, nachdem der Server bereits live ist.

Die Mitigation sitzt inline vor dem Server und filtert Angriffstraffic, bevor er den Host erreicht. Legitimer Traffic läuft weiter, ohne dass Sie DNS umstellen oder einen separaten Scrubbing-Endpunkt aufbauen müssen. Jede Metropole hat eine eigene Corero NTD1100 im Pfad, sodass ein Angriff in der Metropole verworfen wird, in der er ankommt.

Weil der Filter bereits im Pfad liegt, ist keine Umleitung abzuwarten: Angriffstraffic wird in unter einer Sekunde verworfen.

Weil der Schutz im Netz eingebaut ist und nicht nachträglich darübergelegt wird, deckt er einen Server ab dem Moment der Bereitstellung ab, auch während der OS-Installation und des ersten Boots.

Server hängen an doppelten Uplinks, die jeweils auf einem anderen Switch landen, sodass eine ausgefallene Leitung oder Schnittstelle einen Server nicht für sich allein offline nimmt.

Von dort läuft der Traffic über getrennte Pfade durch unsere Netzwerk-Fabric statt durch einen einzelnen Engpass. Den Rest des Internets erreichen wir über eine Mischung aus Transit-Providern und settlement-free Peering, sodass kein einzelner Upstream der einzige Weg zu einem Ziel ist. Jeder dieser Transit-Uplinks ist ein Port mit 100 Gbit/s oder mehr.

Fällt ein Pfad aus, ob Uplink, Fabric-Leitung oder Upstream-Session, konvergiert das Routing automatisch auf den nächsten verfügbaren Pfad.

Jeder Server wird dual-stacked ausgeliefert, mit standardmäßig gemeinsam aktiviertem IPv4 und IPv6, IPv6 ist also weder ein gesonderter Antrag noch eine kostenpflichtige Zusatzoption.

Wenn Sie Ihr eigenes Routing betreiben, unterstützen wir BGP-Sessions mit Kunden, die ihren eigenen IP-Raum über unser Netz ankündigen wollen (BYOIP), statt von uns zugewiesenen Adressraum zu nutzen.

Was wir ankündigen, ist registriert und nicht nur behauptet: Unser IRR AS-SET, AS55285:AS-ALL, listet die Präfixe auf, die wir originieren, prüfbar anhand derselben öffentlichen IRR- und PeeringDB-Einträge, die jede Route-Server-Abfrage heranzieht.

Ein privates Netzwerk ist ein Layer-2-Netz zwischen Ihren eigenen dedizierten Servern. Es läuft innerhalb unseres Netzes statt über das öffentliche Internet, sodass der Traffic zwischen diesen Servern von ihren öffentlichen Schnittstellen fernbleibt. Sein VLAN lässt sich auf Ihre Server in unseren anderen Rechenzentren erweitern, sodass ein Webcluster Besucher in zwei Metropolen bedient und Sessions und Cache über ein privates Netzwerk abgleicht. Datenbank- und Proxmox-Cluster bleiben in einem einzelnen Rechenzentrum.

Jumbo Frames mit 9000 MTU werden unterstützt, den VLAN-Tag wählen Sie selbst, und verwaltet wird das Netz über die Cloud-Konsole oder per API. Private Netzwerke und ihre Erweiterung zwischen Rechenzentren stehen ohne Aufpreis zur Verfügung.

Firewall-Gruppen decken die öffentliche Seite ab. Eine Firewall-Gruppe ist ein benannter Satz von Allow- und Block-Regeln nach Protokoll, Portbereich und Quellnetz, den Sie auf beliebig viele Ihrer öffentlichen IP-Adressen anwenden, ebenfalls ohne Aufpreis. Die Regeln laufen auf dem Access-Switch, an dem der jeweilige Server angeschlossen ist, daher wird Traffic, den eine Regel blockiert, verworfen, bevor er den Port des Servers erreicht. Sie arbeiten zustandslos und filtern nur eingehenden Traffic, und Traffic, auf den keine Regel passt, wird durchgelassen; die zustandsbehaftete Filterung bleibt Aufgabe einer Host-Firewall. Traffic in einem privaten Netzwerk filtern Firewall-Gruppen nicht.