Le réseau derrière vos serveurs

Chaque serveur sur AS55285 inclut la mitigation DDoS à la bordure du réseau. Elle fait partie de la couche réseau et non d'une gamme de produits à part : il n'y a rien à ajouter à un panier ni rien à activer une fois le serveur en production.

La mitigation est placée en coupure, devant le serveur, et filtre le trafic d'attaque avant qu'il n'atteigne l'hôte. Le trafic légitime continue de passer sans que vous ayez à repointer vos DNS ni à monter un point de scrubbing séparé. Chaque métropole dispose de son propre équipement Corero NTD1100 sur le chemin, si bien qu'une attaque est jetée dans la métropole où elle arrive.

Comme le filtre est déjà sur le chemin, il n'y a aucune redirection à attendre : le trafic d'attaque est jeté en moins d'une seconde.

Parce que la protection est intégrée au réseau au lieu d'être ajoutée après coup, elle couvre un serveur dès son provisionnement, y compris pendant l'installation de l'OS et le premier démarrage.

Les serveurs se raccordent par des uplinks doublés, chacun aboutissant sur un switch différent, de sorte qu'un lien ou une interface en panne ne suffit pas à mettre un serveur hors ligne.

De là, le trafic emprunte des chemins distincts à travers notre fabric plutôt qu'un point de passage unique. Nous atteignons le reste d'internet par un mélange d'opérateurs de transit et de peering settlement-free, si bien qu'aucun upstream n'est le seul chemin vers une destination donnée. Chacun de ces uplinks de transit est un port de 100 Gbit/s ou plus.

Quand un chemin tombe, qu'il s'agisse d'un uplink, d'un lien de fabric ou d'une session upstream, le routage converge automatiquement vers le chemin disponible suivant.

Chaque serveur est livré en double pile, avec IPv4 et IPv6 activés ensemble par défaut : IPv6 n'est donc ni une demande à part, ni une option payante.

Si vous menez votre propre routage, nous prenons en charge les sessions BGP avec les clients qui veulent annoncer leur propre espace d'adressage à travers notre réseau (BYOIP) au lieu d'utiliser celui que nous attribuons.

Ce que nous annonçons est enregistré et pas seulement revendiqué : notre IRR AS-SET, AS55285:AS-ALL, liste les préfixes que nous originons, vérifiables dans les mêmes registres publics IRR et PeeringDB que consulte n'importe quelle requête sur un route server.

Un réseau privé est un réseau de couche 2 entre vos propres serveurs dédiés. Il circule à l'intérieur de notre réseau plutôt que sur l'internet public, si bien que le trafic entre ces serveurs reste hors de leurs interfaces publiques. Son VLAN peut être étendu à vos serveurs dans nos autres centres de données, ce qui permet à un cluster web de servir les visiteurs dans deux métropoles en gardant sessions et cache synchronisés sur un seul réseau privé. Les clusters de bases de données et Proxmox restent dans un seul centre de données.

Les jumbo frames à 9000 MTU sont prises en charge, vous choisissez l'étiquette VLAN et vous gérez le réseau depuis la console cloud ou par API. Les réseaux privés et leur extension entre centres de données sont disponibles sans frais.

Les groupes de pare-feu couvrent le côté public. Un groupe de pare-feu est un ensemble nommé de règles d'autorisation et de blocage, par protocole, plage de ports et réseau source, que vous appliquez à autant de vos adresses IP publiques que vous le souhaitez, lui aussi sans frais. Les règles s'exécutent sur le commutateur d'accès auquel chaque serveur est branché : le trafic qu'une règle bloque est jeté avant d'atteindre le port du serveur. Elles sont sans état et ne filtrent que le trafic entrant, et le trafic qu'aucune règle ne couvre passe ; le filtrage avec état reste le travail d'un pare-feu sur l'hôte. Les groupes de pare-feu ne filtrent pas le trafic d'un réseau privé.