Sieben Prüfungen, eine Reihenfolge
So arbeitet das XDP-Programm auf unseren Nodes. Wähle ein Paket und sieh, wo es hängen bleibt.
Verworfen bei Amplification
Quellport 11211 ist memcached. Antworten, die du nie angefragt hast.
Dein Profil, Schalter für Schalter
Beispielwerte aus einem Profil im Portal.
-
Verwirf jedes IP-Fragment.
XDP setzt keine Fragmente zusammen, also entscheiden wir klar: Fragmente fallen im Treiber weg.
-
Lass nur deine Ports durch.
Zum Beispiel TCP 25565 und UDP 30120. Alles andere fällt weg, bevor es Last auf deinem Server erzeugt.
-
Wirf Reflexionen raus.
Quellports 11211 (memcached), 1900 (SSDP), 389 (CLDAP), 161 (SNMP) und 19 (Chargen) werden verworfen. DNS (53) und NTP (123) bleiben offen.
-
Begrenze jede einzelne Quelle.
Token-Bucket im XDP-Programm, etwa 100 pps je Quelle und 20.000 pps je Ziel. Null heißt unbegrenzt.
-
Sperre Netze mit Ablaufzeit.
198.51.100.0/24, Grund „Scanner“, 12 Stunden. Die Regel greift nach Sekunden auf jedem Node.
- in Entwicklung
Prüf Spiele im Handshake.
In Entwicklung: FiveM und RedM, Minecraft, Rust (RakNet), Steam A2S, TeamSpeak, WireGuard und OpenVPN.
Wie viel darf eine Quelle?
Gesendet: 2.000 Pakete mit 1.000 pps aus einer Quelle. Durchgelassen: 308.
90% der Flut verworfen
Eine Quelle flutet mit 1.000 pps. Bei 100 pps Limit kommen höchstens 100 pps an, der Rest fällt im Treiber weg.
Prefix rein, Tunnel raus
Beispielwerte. Deine echten Endpunkte stehen nach dem Anlegen im Portal, die Konfiguration auch per API.
# GRE-Tunnel zu VexSHIELD für 203.0.113.0/24
ip tunnel add vexshield0 mode gre local <deine-IPv4> remote 192.0.2.1 ttl 255
ip link set vexshield0 mtu 1476 up
# erste Adresse deines Prefix auf den Server
ip addr add 203.0.113.1/32 dev lo
# Antworten aus deinem Prefix gehen durch den Tunnel zurück
ip route add default dev vexshield0 table 4242
ip rule add from 203.0.113.0/24 table 4242
Fünf Wege zu dir,
ein Filter davor.
Early Access anfragen - Gut für
- Server bei anderen HosternWir tunneln sauberen Traffic zu deiner festen IPv4.
- Kapselung
- direkt im XDP-ProgrammKein Umweg über den Kernel-Stack auf unserer Seite.
- MTU
- 1476MSS-Clamping für TCP setzen wir passend.
- BGP
- möglichMit eigener oder privater ASN im Tunnel.
- Gut für
- wechselnde Adressen und NATDer Tunnel steht auch ohne feste öffentliche IP.
- Schlüssel
- im Portal erzeugtFertige Konfiguration zum Kopieren.
- Durchsatz
- geringer als GREVerschlüsselung kostet Rechenzeit.
- BGP
- möglichIm Tunnel, wie bei GRE.
- Gut für
- Racks im selben RechenzentrumEin Kabel oder VLAN zwischen deinem Rack und unserem.
- MTU
- volle LängeKein Tunnel-Overhead, Jumbo-Frames nach Absprache.
- Kapazität
- PortgeschwindigkeitNach Absprache je Standort.
- BGP
- direktSession über den Cross-Connect.
- Mit eigener ASN
- du announcest selbstWir filtern nach RPKI, IRR und AS-SET und setzen Max-Prefix.
- Ohne ASN
- wir announcen für dichAus AS201028, mit LOA, ROA und route-Objekt.
- Kleinere Netze
- aus unseren PrefixenUnter /24 bzw. /48 nur als Teil unseres Aggregats.
- Communities
- Large CommunitiesFür Prepend, Blackhole und Steuerung je Upstream.
- Gut für
- Gameserver und kleine DiensteDie geschützte IP liegt direkt am Interface der VM.
- Einrichtung
- kein Tunnel nötigDu bekommst eine VM mit geschützter Adresse.
- Status
- geplantKommt nach dem regulären Start.
- BGP
- nicht nötigDie Adressen kommen aus unseren Netzen.
Routing, das man nachprüfen kann
AS201028
RPKI ROV
Invalide Routen werden verworfen, auf jeder Session.
ASPA
Für AS201028 veröffentlicht, gegen Route-Leaks.
IRR-Filter
Wir nehmen nur Prefixe aus deinem AS-SET an.
Max-Prefix
Jede Session hat ihr eigenes Limit.
BCP38
Durch deinen Tunnel gehen nur deine Absender.
RFC 9234
BGP-Rollen auf jeder Session gegen Leaks.
Fragen vor dem Start
Early Access Was heißt Early Access?
VexSHIELD läuft derzeit im Lab-Betrieb auf einem ersten Node. Neue Netze nehmen wir nach Absprache auf. Preise und SLA legen wir vor dem regulären Start fest.
Eigene ASN Brauche ich eine eigene ASN?
Nein. Mit eigener ASN announcest du dein Prefix per BGP selbst. Ohne ASN announcen wir es aus AS201028, nach Prüfung von LOA, ROA und route-Objekt. Oder du mietest ein Subnetz bei uns.
Netzgröße Wie klein darf mein Netz sein?
Weltweit routbar sind IPv4 ab /24 und IPv6 ab /48. Kleinere Subnetze, etwa ein /29, bekommst du aus unseren Netzen; sie werden als Teil unseres Aggregats announced.
Filterort Wo genau wird gefiltert?
Auf unseren eigenen Nodes, inline per XDP im Netzwerktreiber. Davor liegt vorgefilterter Upstream-Transit, der Volumenangriffe oberhalb unserer Portkapazität abfängt.
Spiele Welche Spiele erkennt der Filter?
Profile mit Port-Allowlist, Rate-Limits und Amplification-Filter funktionieren heute für jeden Dienst. Protokollprüfungen für FiveM und RedM, Minecraft, Rust, Steam A2S und TeamSpeak sind in Entwicklung.
Ausgehend Was passiert mit meinem ausgehenden Traffic?
Er läuft über uns zurück ins Netz. Dabei prüfen wir die Absender-Adressen: Durch deinen Tunnel gehen nur deine eigenen Prefixe hinaus.
API Kann ich alles per API steuern?
Ja. Was im Portal geht, geht auch über die API unter api.vexshield.eu, inklusive Webhooks bei Angriffen sowie Tunnel- und Sessionstatus.
Preise Was kostet VexSHIELD?
Preise veröffentlichen wir zum regulären Start. Für Early Access melden wir uns mit einem Angebot, das zu deinem Netz passt.