Het netwerk achter je servers

Elke server op AS55285 bevat DDoS-mitigatie aan de rand van het netwerk. Het hoort bij de netwerklaag, niet bij een aparte productlijn: er is niets aan een winkelwagen toe te voegen en niets aan te zetten nadat de server al live staat.

De mitigatie zit inline, vóór de server, en filtert aanvalsverkeer voordat het de host bereikt. Legitiem verkeer blijft gewoon doorlopen zonder dat je DNS hoeft om te zetten of een apart scrubbing-endpoint hoeft op te tuigen. Elke metropool heeft een eigen Corero NTD1100-appliance in het pad, zodat een aanval wordt gedropt in de metropool waar hij binnenkomt.

Doordat het filter al in het pad zit, hoef je niet op een omleiding te wachten: aanvalsverkeer wordt binnen een seconde gedropt.

Doordat de bescherming in het netwerk is ingebouwd en er niet achteraf overheen ligt, dekt ze een server vanaf het moment dat hij wordt uitgerold, ook tijdens OS-installaties en de eerste boot.

Servers hangen aan dubbele uplinks, elk op een andere switch, zodat één kapotte link of interface een server niet in zijn eentje offline haalt.

Vanaf daar loopt verkeer over gescheiden paden door onze netwerkfabric in plaats van door één knelpunt. We bereiken de rest van het internet via een mix van transitproviders en settlement-free peering, zodat geen enkele upstream de enige weg naar een bestemming is. Elke transituplink is een poort van 100 Gbit/s of sneller.

Valt een pad uit, of dat nu een uplink, een fabriclink of een upstreamsessie is, dan convergeert de routering automatisch naar het eerstvolgende beschikbare pad.

Elke server wordt dual-stacked geleverd, met IPv4 en IPv6 standaard samen ingeschakeld, dus IPv6 is geen aparte aanvraag en geen betaalde add-on.

Regel je je eigen routering, dan ondersteunen we BGP-sessies met klanten die hun eigen IP-ruimte via ons netwerk willen aankondigen (BYOIP) in plaats van adresruimte te gebruiken die wij toewijzen.

Wat we aankondigen is geregistreerd, niet alleen geclaimd: onze IRR AS-SET, AS55285:AS-ALL, somt de prefixen op die we origineren, controleerbaar tegen dezelfde publieke IRR- en PeeringDB-gegevens die elke route-serverlookup gebruikt.

Een privénetwerk is een layer 2-netwerk tussen je eigen dedicated servers. Het loopt binnen ons netwerk in plaats van over het publieke internet, zodat het verkeer tussen die servers van hun publieke interfaces af blijft. Het VLAN kan worden doorgetrokken naar je servers in onze andere datacenters, zodat een webcluster bezoekers in twee metropolen bedient en sessies en cache via één privénetwerk gelijk houdt. Database- en Proxmox-clusters blijven binnen één datacenter.

Jumboframes op 9000 MTU worden ondersteund, je kiest zelf de VLAN-tag en je beheert het netwerk vanuit de cloudconsole of via de API. Privénetwerken en het doortrekken ervan tussen datacenters zijn kosteloos beschikbaar.

Firewallgroepen dekken de publieke kant. Een firewallgroep is een benoemde set allow- en blockregels, op protocol, poortbereik en bronnetwerk, die je op een willekeurig aantal van je publieke IP-adressen toepast, ook kosteloos. De regels draaien op de access-switch waarop elke server is aangesloten, dus verkeer dat een regel blokkeert wordt gedropt voordat het de poort van de server bereikt. Ze zijn stateless en filteren alleen inkomend verkeer, en verkeer waar geen regel op past wordt doorgelaten, dus de stateful filtering blijft het werk van een hostfirewall. Verkeer op een privénetwerk filteren firewallgroepen niet.