Cómo Elegir un Plan Anti-DDoS: Capacidad, Tráfico Limpio, Percentil 95, BGP y SLA

La capacidad de protección es importante, pero durante un ataque el tráfico legítimo aún debe atravesar la plataforma de limpieza, la red de entrega y el perímetro empresarial. Si el ancho de banda limpio, el puerto, el túnel, BGP o el router resulta insuficiente, una gran cifra de mitigación no garantiza el servicio de extremo a extremo.

Se deben evaluar conjuntamente capacidad de protección, ancho de banda limpio, puerto de entrega, número de prefijos, sesiones BGP, ubicaciones, políticas, informes, SLA y soporte. Cada elemento cubre una parte distinta de capacidad, routing, operación y respuesta a incidentes.

La capacidad de protección describe el volumen de ataque que el plan puede procesar; el ancho de banda limpio es el tráfico legítimo entregado después de la mitigación; el puerto de entrega es la velocidad de línea de la interfaz física o lógica. Un plan puede incluir 100 Gbps de protección, 50 Mbps de tráfico limpio y un puerto 10G sin contradicción.

Si el tráfico legítimo habitual ya alcanza 300 Mbps, un plan de 50 Mbps no es adecuado incluso sin ataques. Del mismo modo, disponer de un puerto 10G no significa haber comprado 10 Gbps de tráfico normal. Se deben revisar promedio, percentil 95, máximos y crecimiento a partir de datos de monitorización.

El sistema toma muestras de tráfico según el intervalo del contrato, ordena las muestras del periodo de facturación de mayor a menor, elimina el 5% superior y utiliza el mayor valor restante. Permite ráfagas breves, pero no significa que se pueda usar capacidad ilimitada durante el 5% del mes ni determina automáticamente si habrá rate limit por encima del compromiso.

La oferta y el contrato deben indicar si se mide el tráfico limpio entrante, el mayor de ambos sentidos o cada dirección por separado; si el muestreo es de uno o cinco minutos; y si el exceso se factura por Mbps, obliga a actualizar el plan o se limita.

La formulación correcta es que el tráfico identificado y bloqueado por la plataforma no se incluye en el uso de ancho de banda limpio. El tráfico anómalo no identificado, el tráfico permitido o una ráfaga legítima pueden formar parte del tráfico entregado.

Después de cada evento se deben obtener vector, tráfico bloqueado, máximos de bps y pps, puerto de destino y duración para revisar facturación, capacidad y política. Una gráfica total sin separar antes y después de la limpieza no basta para un análisis profesional.

El número de prefijos BGP indica cuántas redes públicas se pueden incorporar, no cuántos servidores se protegen. Un /24 contiene 256 direcciones IPv4, pero la asignación y el diseño de servicios corresponden a la empresa. Varios /24, ASN, centros de datos o redes de clientes afectan directamente al plan.

Las sesiones BGP influyen en el intercambio de rutas y el failover. Dos sesiones no representan redundancia completa si comparten router, tarjeta, fibra, cross-connect o dominio de fallo. Se debe comprobar la independencia real de todos los componentes.

Primero hay que saber si el SLA mide la plataforma de limpieza, los túneles, las sesiones BGP, el circuito local o el servicio de extremo a extremo. Routers del cliente, energía del centro de datos, errores de configuración, mantenimiento programado o circuitos de terceros pueden quedar excluidos.

Un SLA completo define disponibilidad, método de medición, inicio y fin del incidente, notificación, mantenimiento, exclusiones, plazo de reclamación y crédito de servicio. Para servicios críticos también se revisan respuesta durante ataques, autoridad para cambiar políticas y escalamiento 24×7.

Server Plus Anti-DDoS divide Shield Lite, Pro, Max y Ultra según protección, ancho de banda limpio, prefijos, sesiones, ubicaciones, políticas y soporte. La selección se basa en criticidad y tráfico medido, no en el número de empleados.

Una oferta válida comienza con datos de red, no con el tamaño de la empresa. Información precisa evita exceso de uso durante la operación normal y capacidad innecesaria.