パケット数/秒(PPS)ベースのポリサーの概要
最新のネットワーク環境では、サービス拒否(DoS)攻撃と分散サービス拒否(DDoS)攻撃の両方が非常に一般的です。時間の経過とともに、これらの攻撃は、攻撃者が膨大な量のダイレクトトラフィックで接続の利用可能な帯域幅をオーバーランしようとするブルートフォースタイプの攻撃から、サービスを拒否するために特定のリソースをターゲットに、より遅い速度で送信される小さなパケットを使用する、より低速で遅い攻撃へと進化してきました。
トラフィックポリサー(インターフェイスベースとフィルターベースの両方の)を使用して、ブルートフォースタイプのDDoS攻撃を緩和することができます。これらのポリサーは、論理インターフェイスを介したトラフィックレートを制限するか、ファイアウォールフィルター内の 非終了アクション としてトラフィックレートを制限することによって動作します。
トラフィックポリサーは、 pps-limit および packet-burst ステートメントとともにパケット数/秒(pps)を使用して定義できます。 pps-limit の測定単位はパケット数/秒(pps)で、 packet-burst の測定単位はパケットです。これらのppsベースのポリサーは、低速および低速タイプのDDoS攻撃を緩和するのにより効果的です。
if-exceeding-ppsステートメントで設定されたポリサーは、帯域幅ベースのポリサーと同じ方法で同じ場所に適用されます。PPSベースのポリサーは、帯域幅ベースのポリサーと同時に適用することはできません。一度に適用できるポリサーは1つだけです。ただし、階層型ポリサーはトラフィック分類に基づいて2つのポリシングアクションを設定できます。