Juniper NS 5200

[mech]

Hallo zusammen,

ich möchte auf diesem Wege ein Feedback zu der Juniper 5200 NS bekommen. Wir haben diese FW nun angeschafft um simples dDOS auf unser Netzwerk mit den Standard Filtern zu verhindern. Doch wir mussten feststellen das wenn wir mit 1Gbit UDP Flood auf die Juniper "schiessen" das unser gesamtes Netz dahinter nicht mehr erreichbar ist und der Traffic scheinbar von der Juniper komplett gedropt wird. Hier sind wir uns unschlüssig ob es daran liegt das wir weit mehr als die 1Mio Packete produzieren oder gar sogar die HW Leistung der Juniper dafür nicht ausreichend ist.

Ggf. wäre es interessant von euch zu hören ob ihr vielleicht eine Juniper NS 5200 erfolgreich gegen dDOS einsetzt. Oder auch gerne negative Kritik die aufzeigt das die NS 5200 einfach nicht mehr Zeigemäß ist um entsprechende Attacken zu filtern.

Ich würde mich sehr über ein Feedback, Kritik oder Vorschläge eurerseits freuen.

Gruß
mech

Update: Die Juniper ist mit 10Gbit angebunden.

 

[PHP-Friends]

Das Gerät ist aus meiner Sicht nicht wirklich dafür ausgelegt, richtige DDoS-Attacken zu filtern. Eine Firewall wie diese verwendet man meiner Meinung nach eher zum (professionellen / komplexeren) Aufbau von (ggf. standortunabhängigen) Firmennetzwerken, üblicherweise mit diversen verschiedenen VPNs für unterschiedliche Bereiche und Sicherheitsstufen inkl. sauberer Trennung von internem und externem Traffic.

Die Fragen wären:

- Was für Filterregeln habt ihr angelegt?
- Wie genau sehen die Pakete aus, mit denen ihr angreift?

 

[mech]

Hey, danke für dein Interesse an dem Beitrag. Aber wir neigen dazu eine einfache 0 Route einzusetzen welche wir nach bestimmten Parametern dann "scharf" schalten.

Ich muss gestehen, die Juniper. Bzw. das screenOS übersteigt leider unser Verständnis

 

[PHP-Friends]

Eine Nullroute wofür? Für die Ziel-IP? Dafür braucht man aber auch keine Juniper-Firewall... Effektiv ist letztendlich das Nullrouten der IP schon außerhalb des Rechenzentrums, also durch richtiges Blackholing auf Routerseite.

 

[virtual2]

Effektiv wäre vermutlich ein Mix aus Rate Limiting und ACLs seitens eures Anbieters auf dessen Router. Wir droppen über unsere Core Router z.B. typische UDP Reflection Angriffe oder eben Floods mit fragmentierten Paketen, damit hältst du dir schonmal die Bandbreitenintensive Angriffe von deinen Servern fern.

Die Juniper NS 5000 sind für gewisse Floods ganz nett, für richtige Filterung jedoch nicht so das Gelbe vom Ei ;-)