L3/L4 Anti-DDoS とは？BGP クリーニング、Anycast、クリーントラフィック配信を解説

L3/L4 Anti-DDoS はネットワーク層とトランスポート層を保護し、IP、Protocol、送信元分布、packet rate、接続状態、TCP/UDP の挙動を確認します。代表例は UDP Flood、ICMP Flood、SYN Flood、SYN-ACK Reflection、DNS Flood、反射増幅攻撃です。目的は回線帯域や Router、Firewall、Load Balancer、Server の packet・connection resource を枯渇させることです。

L7 攻撃は HTTP、HTTPS、Login、Search、API、Application Logic を狙います。帯域が小さくても Backend CPU、Database、Worker Thread を消費できます。そのため L3/L4 Anti-DDoS は CDN、WAF、Rate Limiting、Bot Management、Application Security を置き換えません。同様に WAF だけでは上流 Internet 回線の飽和を解決できません。

FortiGate、Palo Alto、Cisco、Juniper などの高性能 Firewall を導入しても、上流のクリーニング容量が生まれるわけではありません。Firewall は Internet 回線の後方にあります。1 Gbps 回線に対して上流で数十、数百 Gbps の攻撃が発生すれば、Firewall が正規通信を処理する前に回線が輻輳します。

完全飽和に至らなくても、大量の half-open TCP、out-of-state packet、高 PPS の小 packet は Session Table、CPU、Interface packet processing を消費します。企業 Firewall は Access Policy、VPN、Application Control に不可欠ですが、大規模 L3/L4 攻撃は十分な容量を持つ上流ネットワークで先に緩和する必要があります。

実用的な構成は攻撃を遮断するだけでなく、正規 packet を Origin へ継続配信します。一般的な経路は次の通りです。

BGP は Internet が企業の公開 Prefix へ到達する経路を決めます。防御 Platform が Prefix を公告すると、入站 traffic は先にクリーニングネットワークへ入ります。Anycast は同じ入口を複数拠点に分散し、Routing 条件に応じて入口を選択します。攻撃は企業データセンターへ集中する前に、送信元に近い複数 Edge で分散処理されます。

グローバル Internet では /24 が一般的に広く受け入れられる最小 IPv4 Route です。自社アドレスの導入前に Prefix length、ASN、Routing Authorization、既存 Upstream Policy を確認します。単一 IP や /24 未満の Subnet は同じ BGP 方式を前提にできず、Provider IP、Reverse Proxy、NAT などを検討します。

緩和後も制御・監視可能な配信経路が必要です。GRE、IPsec、Data Center Cross Connect、Private Interconnect、Carrier Last Mile が代表的です。GRE は単純ですが暗号化しません。IPsec は暗号化と送信元認証を提供する一方、IKE、Key、MTU、Anti-Replay、Device Compatibility の設計が必要です。DC Interconnect は容量と遅延を安定させやすい反面、Port と Cross Connect の費用が発生します。

企業構成を一つの Tunnel や BGP Session に依存させるべきではありません。Dual Router、複数 Session、別 Delivery Location、Tunnel Health Check、Route Priority が障害時の継続性を決めます。調達では防御 Gbps だけでなく、クリーントラフィックの配信方法を確認します。

自動緩和は Managed Rule、traffic characteristic、rate、normal baseline を利用します。導入時は平常 traffic、繁忙時間、Protocol 分布、packet size、合法的な high-volume event を観察し、Sensitivity と Exception を決めます。緩すぎれば攻撃を通し、厳しすぎればキャンペーン、Release、Backup Sync、合法的な burst を阻害します。

運用可能なサービスには Event Time、Attack Vector、Peak bps、Peak pps、Source Distribution、Target Prefix、Destination Port が必要です。これらを使って緩和結果、容量、Policy、企業側の残存 bottleneck を確認します。

公開 IP サービスの停止が売上、顧客対応、取引、運用に影響する組織はネットワーク層防御を評価すべきです。Game、IDC、VPS、Colocation、Financial API、VPN、DNS、SaaS、越境 EC、Streaming、Ticketing、公開 TCP/UDP Service が代表例です。

ASN、Prefix、平常・Peak traffic、PPS、Protocol、Service Location、許容停止時間、既存 Upstream を整理します。Server Plus Anti-DDoS は Cloudflare Magic Transit 防御アーキテクチャを採用し、BGP Prefix 防御、Global Anycast 緩和、台湾でのクリーントラフィック配信を計画します。

契約と切替前に次の項目を確認し、Routing、MTU、配信容量の問題を本番前に発見します。