La red detrás de tus servidores

Cada servidor en AS55285 incluye mitigación DDoS en el borde de la red. Forma parte de la capa de red, no de una línea de producto aparte: no hay nada que añadir a un carrito ni nada que activar cuando el servidor ya está en producción.

La mitigación está en línea, delante del servidor, y filtra el tráfico de ataque antes de que llegue al host. El tráfico legítimo sigue pasando sin que tengas que reapuntar los DNS ni montar un endpoint de scrubbing aparte. Cada ubicación tiene su propio equipo Corero NTD1100 en la ruta, así que un ataque se descarta en la ubicación en la que entra.

Como el filtro ya está en la ruta, no hay que esperar a ninguna redirección: el tráfico de ataque se descarta en menos de un segundo.

Al estar la protección integrada en la red en vez de añadida después, cubre un servidor desde el momento en que se aprovisiona, también durante la instalación del SO y el primer arranque.

Los servidores se conectan por uplinks duplicados, cada uno a un switch distinto, de modo que un enlace o una interfaz caída no deja un servidor fuera de línea por sí sola.

A partir de ahí el tráfico cruza rutas distintas por nuestra fabric en lugar de un único cuello de botella. Llegamos al resto de internet mediante una mezcla de proveedores de tránsito y peering settlement-free, así que ningún upstream es el único camino hacia un destino. Cada uno de esos uplinks de tránsito es un puerto de 100 Gbit/s o más.

Cuando una ruta falla, ya sea un uplink, un enlace de la fabric o una sesión upstream, el enrutamiento converge automáticamente hacia la siguiente ruta disponible.

Cada servidor se entrega en doble pila, con IPv4 e IPv6 activados juntos de serie, así que IPv6 no es una solicitud aparte ni un extra de pago.

Si llevas tu propio enrutamiento, admitimos sesiones BGP con clientes que quieren anunciar su propio espacio de direcciones a través de nuestra red (BYOIP) en lugar de usar el que les asignamos.

Lo que anunciamos está registrado, no solo declarado: nuestro IRR AS-SET, AS55285:AS-ALL, lista los prefijos que originamos, comprobables contra los mismos registros públicos de IRR y PeeringDB que usaría cualquier consulta a un route server.

Una red privada es una red de capa 2 entre tus propios servidores dedicados. Circula dentro de nuestra red en lugar de por internet público, así que el tráfico entre esos servidores queda fuera de sus interfaces públicas. Su VLAN se puede extender a tus servidores en nuestros otros centros de datos, de modo que un clúster web atiende a visitantes en dos ubicaciones y mantiene sincronizadas sus sesiones y su caché por una sola red privada. Los clústeres de bases de datos y de Proxmox se quedan en un solo centro de datos.

Se admiten jumbo frames con una MTU de 9000, eliges tú la etiqueta VLAN y gestionas la red desde la consola cloud o por API. Las redes privadas y su extensión entre centros de datos están disponibles sin coste.

Los grupos de firewall cubren el lado público. Un grupo de firewall es un conjunto con nombre de reglas de permitir y bloquear, por protocolo, rango de puertos y red de origen, que aplicas a tantas de tus direcciones IP públicas como quieras, también sin coste. Las reglas se ejecutan en el switch de acceso al que se conecta cada servidor, así que el tráfico que una regla bloquea se descarta antes de llegar al puerto del servidor. Son sin estado y solo filtran el tráfico entrante, y el tráfico que no coincide con ninguna regla pasa; el filtrado con estado sigue siendo trabajo de un firewall en el host. Los grupos de firewall no filtran el tráfico de una red privada.