Asymmetrische Filterung
Eingehender Verkehr durchläuft die DDoS-Filterung. Der Rückverkehr Ihrer Dienste muss nicht denselben Filterpfad nehmen. So lässt sich der Schutz in eine asymmetrische Netzarchitektur einbinden.
DDoS-Schutz · AS51202
DDoS-Schutz, der Ihren Traffic kennt
Asymmetrische Filterung, automatisiertes Profiling und adaptive Schwellenwerte für Ihre Anwendungen. 95 % des legitimen Traffics bilden die Lernbasis. Während eines Angriffs pausiert das Lernen – der Schutz bleibt aktiv.
Sie werden gerade angegriffen?
Schutz beginnt vor Ihrer Anbindung.
Ist eine Leitung bereits mit Angriffsverkehr ausgelastet, hilft eine Regel auf dem dahinterliegenden Server nur begrenzt. Netzwerk-Mitigation setzt davor an: Verkehr wird gefiltert, bevor er die zu schützende Kundenanbindung erreicht.
AS51202 filtert asymmetrisch: Der eingehende Verkehr durchläuft den Schutz, während der Rückverkehr nicht denselben Filterpfad nehmen muss. Automatisiertes Profiling und adaptives Lernen richten die Filterung am legitimen Verkehr Ihrer Dienste aus.
Anbindung und Transitpreise ansehenInternetverkehr
Legitime Verbindungen und Angriffsverkehr
Filterung im Netzwerk
Angriffsmuster nach vereinbartem Profil behandeln
Ihre Anbindung
Legitime Nutzung Ihrer Dienste ermöglichen
Vereinfachte Darstellung des Prinzips. Routing und Filterprofil werden für die konkrete Anbindung festgelegt.
Asymmetrisch · Automatisiert · Adaptiv
Der Schutz lernt Ihren legitimen Traffic.
AS51202 verbindet asymmetrische Filterung mit automatisiertem Profiling und adaptivem Threshold Learning. Die Schwellenwerte orientieren sich an Ihren Diensten. Im Angriffsfall wird die Lernphase angehalten, während die Filterung weiterläuft.
Filter und unterstützte Anwendungen ansehenNormalbetrieb
95 % legitimer Traffic
Lernbasis für das Profil und die adaptiven Schwellenwerte.
Während eines Angriffs
Lernen pausiert. Filterung aktiv.
Die zuvor erlernte Basis bleibt für die Filterung maßgeblich.
Automatisiertes Profiling
Das System lernt das reguläre Verkehrsverhalten Ihrer Anwendungen und erstellt daraus ein Profil. Entscheidend ist der tatsächliche Netzwerkverkehr Ihrer Software – vom bekannten Gameserver bis zur eigenen Entwicklung.
Adaptives Threshold Learning
95 % des legitimen Traffics bilden die Lernbasis. Auf dieser Grundlage werden die Schwellenwerte an das normale Verkehrsverhalten angepasst. So orientiert sich die Filterung am Betrieb Ihrer Dienste.
Lernpause während eines Angriffs
Während eines Angriffs wird das Lernen gestoppt. Die Filterung bleibt aktiv und arbeitet mit der zuvor erlernten Basis. Angriffsverkehr soll dadurch nicht als neues Normalverhalten übernommen werden.
DDoS-Schutz, Firewall oder WAF?
Die Aufgaben ergänzen sich. Für eine belastbare Planung muss klar sein, wo eine Maßnahme greift und welche Dienste sie abdeckt.
Netzwerk-Mitigation
Bandbreite und Paketverarbeitung
Setzt vor der Kundenanbindung an und filtert Angriffsverkehr anhand des vereinbarten Schutzprofils. Relevant etwa bei UDP-Floods oder Angriffen auf den TCP-Verbindungsaufbau.
Die Filterung muss legitime Protokolle berücksichtigen. Gbit/s allein beschreiben den Schutz nicht.
Firewall
Zugriff auf Netze und Dienste
Legt fest, welche Verbindungen erlaubt sind. Je nach System werden auch Verbindungszustände geprüft. Sie bleibt ein wichtiger Teil Ihrer eigenen Infrastruktur.
Eine Firewall hinter einem überlasteten Anschluss schafft keine zusätzliche Leitungskapazität.
WAF und Anwendungsschutz
HTTP-Anfragen und Webanwendungen
Bewertet Webanfragen und ergänzt anwendungsbezogene Regeln. Auch die Anwendung selbst braucht passende Grenzen für aufwendige Vorgänge wie Suche oder Anmeldung.
Eine WAF ist kein allgemeiner Schutz für beliebige UDP-Dienste. Leistungsumfang separat klären.
Passender Schutz für Ihren IP Transit
DDoS-Schutz ist im IP Transit enthalten. Sie müssen die passende Schutzstufe noch nicht kennen: Beschreiben Sie Ihre Dienste und den geplanten Anschluss. Gemeinsam stimmen wir den Schutzumfang ab und halten ihn im Angebot fest.
Passenden Schutz empfehlen lassenSchutzstufe bereits bekannt?
Was Ihre Anwendung vom Schutz braucht
Hosting und eigene Netze
Bei mehreren Kundendiensten müssen geschützte Präfixe, gemeinsame Engpässe und Eskalationswege klar sein. Beziehen Sie IPv4, IPv6 und zusätzliche Upstreams in die Planung ein.
Für die Abnahme: Präfixe und Routing erfassen; Erreichbarkeit auch über Ausfallwege prüfen.
Multihoming planenGameserver und UDP-Dienste
Eine erreichbare IP-Adresse sagt wenig darüber aus, ob Spieler beitreten oder Sitzungen bestehen bleiben. Protokolle, Paketmuster und legitime Lastspitzen gehören in die Abstimmung.
Für die Abnahme: Neue Sitzungen, laufende Verbindungen, Paketverlust und Wiederverbindungen testen.
Abnahme für Gameserver vorbereitenWebanwendungen und APIs
Ein überlasteter Uplink und eine überlastete Anwendung brauchen unterschiedliche Maßnahmen. Planen Sie Netzwerkschutz zusammen mit den Anforderungen an HTTP-Filter, WAF und die Anwendung selbst.
Für die Abnahme: Login, API-Aufrufe und aufwendige Endpunkte prüfen; Zuständigkeiten pro Schutzebene festlegen.
Schutzebenen vergleichenWarum Sie DDoS-Schutz brauchen
DDoS-Angriffe können Bandbreite, Verbindungszustände oder Anwendungen überlasten. Die passende Abwehr richtet sich nach der betroffenen Ressource und muss legitime Nutzer berücksichtigen.
Gbit/s und Mpps bei DDoS-Angeboten einordnenVolumetrisch (L3/L4)
UDP-, ICMP- und Amplification-Floods füllen die Leitung, bis legitime Nutzer ausgesperrt sind.
Protokoll-Angriffe
SYN-Floods können den TCP-Verbindungsaufbau und die dafür vorgehaltenen Ressourcen belasten.
Applikation (L7)
Getarnte HTTP-Fluten treffen teure Endpunkte und sind schwer von echten Nutzern zu unterscheiden.
Von der Anfrage zum geschützten Betrieb.
Ein Schutzkonzept braucht mehr als einen Tarifnamen. Mit diesen vier Schritten werden technische Anforderungen, Verantwortung und Abnahme greifbar.
Anbindung mit uns planenDienste und Verkehrswege aufnehmen
Standort, Bandbreite, IPv4/IPv6-Präfixe und vorhandene Upstreams bilden die Grundlage. Ergänzen Sie Ports, Protokolle und Anwendungen, die verfügbar bleiben müssen.
Übergabe und Schutzumfang abstimmen
Wir klären die mögliche Anbindung, das Routing und die passende Schutzstufe. Zuständigkeiten, Eskalation und vereinbarte SLA-Bedingungen gehören ins Angebot.
Mit echten Nutzerabläufen prüfen
Das automatisierte Profiling lernt den legitimen Traffic Ihrer Dienste. Prüfen Sie Anmeldung, Verbindungsaufbau, laufende Sitzungen und Wiederverbindungen. Prüfungen, Freigaben und Rückfallplan werden vor dem Start vereinbart.
Betrieb und Änderungen begleiten
Dokumentieren Sie Ansprechpartner und relevante Messwerte. Neue Anwendungen, Präfixe oder Upstreams können das Schutzprofil verändern und sollten erneut abgestimmt werden.
DDoS-Wissen für Planung und Betrieb
Vertiefen Sie die Fragen, die für Ihre Infrastruktur relevant sind: Schutzumfang, Abnahme, Routing und Verhalten im Störungsfall.
DDoS-Schutz, Firewall und WAF: Was schützt welchen Teil Ihrer Infrastruktur?
Ein voller Uplink, erschöpfte Verbindungstabellen und überlastete Webanwendungen brauchen unterschiedliche Maßnahmen. So planen Sie die Schutzebenen zusammen.
DDoS-Schutz für Gameserver und UDP-Dienste: Ein praktischer Abnahmecheck
Erreichbarkeit allein reicht für Echtzeitdienste nicht aus. Prüfen Sie neue Verbindungen, laufende Sitzungen und Wiederverbindungen anhand klarer Kriterien.
DDoS-Kapazität verstehen: Gbit/s, Mpps und die entscheidenden Rückfragen
Große Kapazitätszahlen allein sagen wenig über den Schutz Ihrer Dienste. So vergleichen Sie Bandbreite, Paketrate, Messbedingungen und den vereinbarten Leistungsumfang.
DDoS-Berichte richtig lesen: Welche Nachweise nach einem Angriff zählen
Ein hoher Angriffspeak beweist keine erfolgreiche Dienstverfügbarkeit. So verbinden Sie Verkehrsdiagramme, Nutzerwirkung und Maßnahmen zu einem nützlichen Betriebsbericht.
DDoS-Notfallplan: Die ersten 30 Minuten eines Angriffs
Wenn Dienste ausfallen, ist Improvisation teuer. Diese Checkliste ordnet Erkennung, Eskalation, Mitigation und Kommunikation für die ersten 30 Minuten.
BGP-Multihoming: Redundanz mit zwei Upstreams richtig planen
Zwei Leitungen allein ergeben noch keine belastbare Redundanz. Dieser Leitfaden zeigt, wie Präfixe, Policies, Failover und DDoS-Mitigation zusammenpassen.
Fragen vor der Entscheidung
Funktioniert der Schutz auch mit eigener Software?
Ja. Durch adaptives Lernen ist der Schutz softwareunabhängig. Automatisiertes Profiling erfasst den legitimen Netzwerkverkehr, statt die Unterstützung auf eine feste Anwendungsliste zu beschränken. Auch eigene Software lässt sich so einbinden. Für die Einrichtung nennen Sie uns Dienste, Ports, Protokolle und typische Nutzerabläufe.
Was bedeutet asymmetrische Filterung?
Der eingehende Verkehr läuft durch die Filterung; der Rückverkehr muss nicht denselben Filterpfad nehmen. Welche Eingänge geschützt werden und wie der Rückweg verläuft, stimmen wir mit Ihrer Netzarchitektur ab.
Welche Basis nutzt das adaptive Lernen?
95 % des legitimen Traffics werden als Lernbasis gesetzt. Daraus passt das System die Schwellenwerte an das normale Verkehrsverhalten Ihrer Dienste an. Während eines Angriffs wird das Lernen gestoppt; die Filterung bleibt mit der zuvor erlernten Basis aktiv.
Ist DDoS-Schutz im IP Transit enthalten?
Ja. AS51202 bietet DDoS-geschützten IP Transit mit Standard oder Premium. Welche Stufe zu Ihren Diensten passt, klären wir anhand der Protokolle, des Verkehrs und Ihrer Anforderungen. Den vereinbarten Schutzumfang halten wir im Angebot fest.
Ersetzt DDoS-Schutz meine Firewall oder WAF?
Nein. Netzwerkschutz, Firewall und Web Application Firewall erfüllen unterschiedliche Aufgaben. Netzwerk-Mitigation soll Angriffsverkehr vor der Kundenanbindung reduzieren. Eine Firewall setzt Zugriffsregeln um; eine WAF prüft Webanfragen. Ein Schutz gegen HTTP-Angriffe lässt sich nicht allein aus einer L3/L4-Schutzangabe ableiten.
Lässt sich der Schutz für Gameserver und UDP-Dienste planen?
Ja. Nennen Sie Spiele beziehungsweise Anwendungen, Ports und Protokolle. Bei der Abstimmung zählen nicht nur erreichbare IP-Adressen, sondern auch Beitritte, laufende Sitzungen und Wiederverbindungen. Konkrete Filter und Abnahmekriterien vereinbaren wir für Ihren Dienst.
Was ist bei IPv6 und mehreren Upstreams zu beachten?
Erfassen Sie IPv4- und IPv6-Präfixe sowie alle Wege, über die Verkehr Ihre Dienste erreicht. Schutz auf einem Transitweg deckt andere Eingänge nicht automatisch ab. Routing, Schutzumfang und Verhalten bei einem Ausfall sollten deshalb gemeinsam geplant und getestet werden.
Welche Angaben brauchen Sie für ein Angebot?
Für den Einstieg reichen Standort, gewünschte Bandbreite und eine Beschreibung Ihrer Dienste. Hilfreich sind zusätzlich ASN, Präfixe, Ports und Protokolle, heutige Anbindungen sowie vorhandene Angriffsberichte. Offene technische Punkte klären wir im Gespräch.
Kann ich meinen bisherigen Provider behalten?
Eine zusätzliche Anbindung kann Teil eines Multihoming-Konzepts sein. Entscheidend ist, welche Verkehrswege geschützt werden und wie die Präfixe angekündigt werden. Eine unveränderte bestehende Anbindung ist durch eine Anfrage bei AS51202 noch nicht geschützt; die konkrete Integration muss vorher bestätigt werden.
Wie prüfe ich den Schutz vor der Inbetriebnahme?
Vereinbaren Sie Testumfang, Freigaben, Zeitfenster und Abbruchkriterien mit allen beteiligten Betreibern. Prüfen Sie dabei reale Nutzerabläufe, Paketverlust und Wiederverbindungen. Last- oder Angriffstests dürfen nur auf ausdrücklich freigegebenen Systemen und Wegen stattfinden.
Was tun, wenn gerade ein Angriff läuft?
Informieren Sie Ihren aktuellen Provider und halten Sie betroffene IP-Adressen, Beginn mit Zeitzone, Symptome und vorhandene Messwerte bereit. Für eine neue Schutzanbindung erreichen Sie uns unter noc@nuxoa.de oder +49 8141 3158900. Eine Anfrage aktiviert noch keinen Schutz; Anbindung und Aktivierung stimmen wir mit Ihnen ab.
Finden wir den passenden Schutz für Ihre Dienste
Sprechen Sie mit unseren Engineers über die passende Schutzstufe oder starten Sie einen kostenlosen Test.