Akamai Prolexic Routed: BGP и облачная очистка для своей сети

Паспорт рассматриваемой конфигурации

Продуктовая семья Prolexic включает разные варианты подключения. Этот текст относится к Routed с возвратом очищенного трафика по GRE. В продуктовом описании отдельно представлены Connect, Akamai Direct Connect и IP Protect. Они требуют собственных условий и не добавляются в рассматриваемую конфигурацию автоматически. Набор WAF, AntiBot и защиты API также нельзя получать объединением соседних названий продуктов Akamai.

Такой паспорт не является коммерческим предложением. Он позволяет ограничить выводы: описанная архитектура не подтверждает возможность подключения любого префикса, наличие нужной полосы или доступность услуги заказчику из РФ.

При этом исходные требования известны: в FAQ Prolexic для GRE названы объявляемый IPv4-блок /24 или более крупный адресный блок либо IPv6 /48, возможность BGP-анонса и GRE на стороне origin. Более крупный блок означает больше адресов, а не более длинный префикс вроде /25. Безусловное требование собственного ASN этим срезом не установлено; конкретную схему анонса надо подтвердить.

• Prolexic Solutions
• Prolexic — Comprehensive DDoS Attack Protection

Как проходит входящий трафик

В Service Descriptions Routed описан как асимметричный сервис: BGP используется для направления входящего трафика через инфраструктуру очистки. Продуктовое описание отдельно показывает GRE как способ доставки очищенного потока через интернет и операторов клиента. Это описание пути, а не результат нашего сетевого эксперимента.

BGP относится к обмену маршрутной информацией; API Concepts связывает его с сигнализацией, а GRE — с доставкой очищенного потока. В схеме ниже BGP определяет направление доставки IP-пакетов; сам обмен маршрутами не является очисткой. Важно не потерять границу между маршрутизацией, фильтрацией и доставкой.

Фраза «асимметричный сервис» не используется здесь как универсальная инструкция отправлять все ответы через любого своего оператора. Исходящий маршрут надо согласовать с реальной топологией и условиями подключения. В публичном Service Description ответственность за сквозной GRE-транзит и декапсуляцию возложена на клиента: облачная очистка не отменяет эти участки работы.

• Akamai Services Descriptions
• Prolexic Analytics API: API concepts
• Prolexic — Comprehensive DDoS Attack Protection

Always-on и on-demand — два разных процесса

Эти режимы отличаются прежде всего эксплуатационным сценарием. В постоянном режиме путь через защиту является частью обычной работы. В режиме по запросу появляется отдельный процесс включения: обнаружение проблемы, решение о переключении, изменение маршрута и подтверждение результата.

Для выбора недостаточно отметить, что оба режима упомянуты поставщиком. Нужно установить, кто принимает решение, какие признаки использует, какие действия выполняет NOC или SOC и как происходит возврат к обычной схеме. Подготовленный порядок действий проверяется отдельно от обещанной скорости реакции.

Время реакции, время изменения маршрута и время восстановления полезной функции не объединяются в один показатель. В этом обзоре ни один из них не измерялся.

• Prolexic Solutions
• Akamai Services Descriptions

Четырнадцать критериев: что уже известно и что требует уточнения

Ниже применена общая карточка «Атласа». Метка относится к отдельному утверждению. «Документировано» не означает проверенную эффективность, а «нет данных» не означает отсутствие возможности у продукта.

Таблица намеренно сохраняет пробелы. Открытая документация может обосновать архитектурный выбор, но не заменяет состав конкретного заказа и его условий. Недоступное описание функции или закрытая цена не дают основания поставить продукту плохую оценку.

• Prolexic Solutions
• Akamai Services Descriptions
• Reporting: Prolexic reports
• Prolexic Analytics: API summary

Семь специальных сетевых вопросов

Для сетевой защиты общих критериев недостаточно. Перед выбором Routed — GRE стоит зафиксировать ещё семь групп условий.

1. Маршрутизация и возврат. Защищаемые префиксы, разрешения на их анонс, путь до очистки, GRE и маршрут после декапсуляции. Отдельно — исходящий путь и параметры MTU; готовая схема одного клиента не переносится на другого автоматически.
2. Включение очистки. Постоянный режим либо по запросу, источник сигнала, уполномоченная сторона и подтверждение переключения. Обнаружение события и выполнение изменения маршрута — разные действия.
3. Нужные протоколы. Перечень TCP/UDP-сервисов и других используемых протоколов, их особенности и допустимые исключения. Общее название «защита сети» не заменяет применимую спецификацию.
4. Доставка полезного потока. Клиентский clean-pipe, пропускная способность GRE-пути и ограничения оборудования на приёме. Показатели bps и pps рассматриваются отдельно; они не переводятся друг в друга без профиля пакетов.
5. Совместимость сети. Адресация, ASN, IPv4/IPv6, операторы, резервные маршруты и возможность принять трафик после очистки. Публичные требования к блокам указаны выше; допуск конкретного префикса и схема анонса требуют отдельного подтверждения.
6. Управление инцидентом. Доступная телеметрия, действия NOC/SOC, роли клиента и поставщика, обработка ошибочного ограничения и завершение инцидента. Наличие интерфейса не доказывает полномочий конкретного пользователя.
7. Ёмкость с правильным смыслом. Глобальная заявленная инфраструктура, договорный предел клиента и фактически наблюдавшийся поток — разные величины. Большая цифра сети не определяет полезную полосу до вашего приложения.

Это вопросы нашей методики, а не утверждение, что каждый перечисленный механизм включён в Prolexic Routed.

Наблюдаемость: разные отчёты отвечают на разные вопросы

В TechDocs Reporting разделены Pre-Mitigation, Post-Mitigation и Traffic to Origin. Их нельзя складывать или называть одним и тем же потоком без определения точки наблюдения. Для Traffic to Origin у Routed указан двухминутный период обновления: это характеристика отчёта, а не время отражения атаки или задержка пользовательского запроса.

Flow Based Monitoring (FBM) обозначен как подключаемое дополнение. Наличие описания функции не подтверждает её включение в конкретный заказ. Полнота экспортируемых сведений, права пользователя и доступные интеграции должны проверяться для рассматриваемой конфигурации.

Reporting описывает хранение за 90 дней с разной детализацией: до трёх дней — одна минута, четыре–семь дней — пять минут, восемь–девяносто дней — час. Поэтому сравнивать пики на разных временных масштабах надо осторожно: часовой срез не воспроизводит минутный максимум.

В описании Routed Map статусы относятся к отдельному туннелю между центром очистки и маршрутизатором клиента. Up означает работоспособность и наблюдавшийся трафик; Inactive — работоспособность без текущего трафика; Down — невозможность подтвердить соединение. Inactive поэтому не следует автоматически читать как отключение всей защиты, а Down — как доказательство успешной атаки.

Отдельно отображается состояние префикса: зелёный цвет означает включённую маршрутизацию, белый — невключённую, в том числе в возможной схеме по запросу. Статус префикса и состояние туннеля — разные сущности. Здесь пересказана документация интерфейса; клиентский кабинет в рамках этого обзора не проверялся.

Публичный Analytics API содержит операции для отчётов, событий, метрик, BGP-сессий, состояния и маршрутов туннелей. List Routed tunnel routes — аналитическая операция: её описание не подтверждает API-права менять BGP. Наличие спецификации отделяется от разрешений конкретного аккаунта; API здесь не вызывался.

Для собственной проверки полезно заранее связать сетевые показатели с работоспособностью сервиса: какие действия клиента остаются доступны, где фиксируются потери и какие данные нужны для поиска причины. Успешная доставка очищенных пакетов и успешное завершение бизнес-операции — разные предметы наблюдения.

• Reporting: Prolexic reports
• Security Center: Routed reports
• Prolexic Analytics: API summary
• Prolexic Analytics: List Routed tunnel routes

CIR, SLA и границы публичного описания

В Service Description условия Routed связывают полезный входящий поток с договорным CIR и учётом по 95-му перцентилю для дата-центра, если не согласовано иное. Там же есть условие Service Validation за предшествующие 12 месяцев для применимости SLA. Эти формулировки требуют чтения вместе с полным документом и условиями конкретного клиента.

В данном обзоре не установлены заказанная полоса, подтверждённый результат Service Validation, применимые исключения или фактическое соблюдение SLA. Упоминание такой проверки не означает, что она проведена автором, и не разрешает самостоятельно запускать нагрузку или атаковать инфраструктуру.

Для практического выбора полезно различать три вопроса: какую защиту описывает поставщик, что именно он обязуется предоставить по договору и что показала согласованная проверка. Публичная продуктовая страница, договорное обязательство и измеренный результат могут относиться к разным условиям.

• Akamai Services Descriptions

Цена и доступность для РФ остаются отдельными фактами

Для рассматриваемого заказчика в этом срезе не подтверждены цена, валюта расчёта, договорная сторона, возможность оплаты и получения поддержки. Это нет данных, а не вывод «услуга недоступна» или «решение дорогое».

Международный бренд и техническая доступность страницы не определяют договорную доступность. География инфраструктуры также не устанавливает автоматически место обработки всех данных и журналов выбранного клиента. Эти условия входят в паспорт наряду с сетью и режимом подключения.

Сравнивать стоимость можно после задания одинакового состава: защищаемые активы, полезная полоса, режим, подключения, поддержка и эксплуатационные обязанности. Установка собственного оборудования, Routed — GRE и иная схема доставки не сводятся к одной цене без объяснения различий.

Карточка решения для владельца сети

Перед обсуждением предложения заполните короткую карточку. Для каждого ответа укажите источник и дату, а неизвестное оставьте видимым.

1. Какие IP-префиксы и сервисы защищаются, кто вправе изменять их анонсы?
2. Какой режим рассматривается: always-on или on-demand; кто принимает решение о переключении?
3. Как устроены GRE-окончания, возврат и дальнейшая доставка, кто отвечает за каждый участок?
4. Какие полезные протоколы и объёмы должны сохраняться; чем подтверждается достаточность приёмного пути?
5. Какие телеметрия, роли, эскалация и порядок устранения ошибок реально включены в предложение?
6. Что входит в CIR, SLA и цену; какие условия и проверки нужны для их применимости?
7. Подтверждены ли регион, договор, оплата, поддержка и обработка данных для вашей организации?
8. Как включение, отказ и выход из услуги отражаются на маршрутах и доступности полезного сервиса?

Если ваша задача — защита одного HTTP-приложения без управления сетевыми префиксами, сначала нужна проверка применимости выбранной конфигурации. Нельзя сравнить её с WAF или антиботом только по цене и назвать победителя: задачи и состав решения различаются. Для такой пары корректен статус NOT_COMPARABLE до определения общего сценария.

Что можно заключить из этого обзора

Публичные материалы позволяют выделить Routed — GRE как конкретную архитектуру для дальнейшей проверки: BGP-направление входящего трафика, облачная очистка и GRE-доставка клиенту. Вывод о пригодности начинается со своей сети и подтверждённых условий, а не заканчивается названием продукта.

Эффективность Prolexic в этом материале не измерялась. Карточка не является сравнением с другим поставщиком и не доказывает превосходства по качеству защиты. Следующая версия должна измениться при подтверждённом изменении источников, продукта или области применимости; существенные правки фиксируются отдельно от смены даты статьи.

• Prolexic — Comprehensive DDoS Attack Protection
• Prolexic Analytics API: API concepts