Bonjour,

> blackholer une IP ou un prefixe se fait assez simplement, meme sur un 
> backbone BGP tres large 
> genre opérateur mondial, c'est utilisé quotidiennement pour luter contre les 
> attaque type flood ou ddos.
> Investissement financier = 0.

Jusqu'à un certain point, oui. Mais si la liste des IP "blackholées" (joli 
néologisme !) devient énorme et
que les @IP "cassent" plein de préfixes BGP, ça va vite exploser les tables 
actuelles et obliger les opérateurs
à upgrader leurs matériels (ou au moins les cartes qui maintiennent la table 
Full-BGP sur les équipements).

Donc investissement financier != 0 si le système prend de l'ampleur.

Une autre solution serait de jouer avec les ACL, mais là encore il y a des 
limitations sur leur nombre dans les
équipements et la nécessité d'une entité qui centralise la liste des blocages 
(pas de mécanisme de distribution
et de propagation "à-la-session-BGP").

> Les domages colatéraux ont deja été cités maintes fois, IP != site.

Et je rajouterais d'ailleurs : IP != site != protocole HTTP seulement. Une IP 
peut non seulement mener
à une infinité de sites web (vhosting), mais également à d'autres services 
(FTP, IRC, etc etc ...).

Tout cela militant encore une fois pour un coeur de réseau neutre et un système 
de filtrage distribué à
la périphérie (box et serveurs).

Pierre-Yves

---------------------------
Liste de diffusion du FRnOG
http://www.frnog.org/

Répondre à