Jak zainstalować WanGuard: przewodnik wdrożenia krok po kroku

Krótka odpowiedź: instalacja WanGuarda oznacza wdrożenie trzech elementów (Console, Sensor i Filter) na 64-bitowych serwerach Linux, doprowadzenie do nich Twojego ruchu przez port-mirror lub eksport flow oraz połączenie ich z routerem z obsługą BGP, który wykona filtrowanie. Sama instalacja pakietów to najłatwiejsza część i zajmuje kilka minut. O tym, czy dostaniesz dokładne wykrywanie poniżej 5 sekund, decyduje strojenie: per-podsieciowe linie bazowe, konfiguracja NIC i DPDK, progi oraz sesja BGP, która przenosi FlowSpec i RTBH.

Najważniejsze w skrócie

• WanGuard działa na Twoich własnych 64-bitowych serwerach Linux (rodzina RHEL/AlmaLinux/Rocky); żaden ruch nie opuszcza Twojej sieci.
• Trzy elementy do wdrożenia: Console (webowa płaszczyzna sterowania), Sensor (wykrywanie) oraz Filter / WanFilter (scrubbing, czyli czyszczenie ruchu).
• Dwa sposoby dostarczenia ruchu: port-mirror/SPAN z DPDK dla reakcji poniżej 5 sekund albo NetFlow/sFlow/IPFIX dla taniego pokrycia w skali terabitowej.
• Potrzebujesz routera z obsługą BGP, by odfiltrować atak przez BGP FlowSpec lub RTBH.
• Wynik zależy od strojenia, a nie od instalatora — dlatego ITORO wdraża, stroi i szkoli od początku do końca.

---

Czego potrzebujesz, aby zainstalować WanGuard?

WanGuard to oprogramowanie hostowane we własnym zakresie (self-hosted), więc zanim rozpakujesz jakikolwiek pakiet, musisz mieć na miejscu trzy rzeczy: router z obsługą BGP, sposób na zobaczenie swojego ruchu oraz serwer dobrany do prędkości portu. Zrób te warunki wstępne dobrze, a instalacja będzie rutynowa. Zrób je źle, a żadna konfiguracja nie zapewni Ci dokładnego wykrywania ani filtrowania z prędkością łącza. WanGuard to system anty-DDoS chroniący przed atakami wolumetrycznymi na warstwach L3/L4 — pełny opis architektury znajdziesz tutaj — więc zaplanuj środowisko pod ten zakres.

Router z obsługą BGP

Odfiltrowanie ataku odbywa się na Twoim routerze, a nie na serwerze WanGuard. WanGuard wykrywa atak, a następnie poleca brzegowi sieci go odrzucić, więc potrzebujesz routera, który mówi w BGP FlowSpec (do chirurgicznego filtrowania po 5-tuple) lub co najmniej w RTBH (do trasowania do czarnej dziury, null-route). Platformy operatorskie Juniper, Cisco, Arista i Nokia obsługują FlowSpec, choć skala reguł zależy od karty liniowej. Dedykowana sesja iBGP między WanGuardem a routerem przenosi te rozgłoszenia, więc zaplanuj peering i wspólnotę blackhole (RFC 7999 używa 65535:666) przed dniem instalacji.

Widoczność ruchu: port-mirror lub flow

WanGuard może wykryć tylko to, co widzi, a wybrana metoda zbierania danych ustala zarówno szybkość wykrywania, jak i koszt. Są dwie opcje, a większość operatorów łączy obie:

• Port-mirror / SPAN (DPDK): kopia Twojego ruchu trafia do Packet Sensora przy użyciu szybkiego przechwytywania DPDK. Analizuje 100% pakietów z prędkością łącza i reaguje w poniżej 5 sekund — idealnie do brzegów 100/400GE. Wymaga to karty sieciowej (NIC) zgodnej z DPDK oraz portu mirror na przełączniku lub routerze.
• Flow (NetFlow / sFlow / IPFIX): Twoje routery eksportują próbkowane rekordy przepływów do Flow Sensora. Jest niezależny od pasma, obejmuje wiele POP-ów z jednego serwera i skaluje się tanio do wolumenów terabitowych, ale ponieważ próbkuje, wykrywanie trwa zwykle 35 do 95 sekund i jest zgrubniejsze.

Dobór serwera do prędkości portu

Dobierz sprzęt do ruchu, który zamierzasz analizować, a nie do ogólnej specyfikacji. Sensor działający wyłącznie na flow jest lekki i komfortowo działa na skromnym serwerze. Packet Sensor z DPDK przy 100GE to zupełnie inna bestia: potrzebuje wystarczającej liczby fizycznych rdzeni CPU dedykowanych przetwarzaniu pakietów, dużo pamięci RAM, szybkiego magazynu na bazę rekordów ruchu i, co kluczowe, obsługiwanej karty NIC zgodnej z DPDK (zwykle wybiera się rodziny Intel i Mellanox). Dokładne wartości liczby rdzeni, RAM i modelu NIC skalują się z prędkością łącza i należy je potwierdzić względem aktualnych tabel doboru.

Jak zainstalować WanGuard krok po kroku?

Oprogramowanie instaluje się z repozytorium Andrisoft na czystym 64-bitowym hoście Linux w kilka minut; to wdrożenie wokół niego wymaga prawdziwej pracy. Z naszego doświadczenia pierwsze produkcyjne wdrożenie liczy się w dniach strojenia, a nie godzinach instalowania. Poniżej znajdziesz sekwencję, którą ITORO stosuje przy każdym wdrożeniu WanGuard anty-DDoS, uporządkowaną tak, by każdy krok zmniejszał ryzyko następnego.

1. Najpierw zainstaluj Console. Wdróż element Console (webowe GUI, jego serwer WWW i bazę danych) na hoście zarządzającym. To Twoja płaszczyzna sterowania dla wszystkiego, co następuje potem: sensorów, filtrów, progów, pulpitów i raportów.
2. Zainstaluj Sensor(y). Dodaj Packet Sensor tam, gdzie potrzebujesz wykrywania DPDK poniżej 5 sekund, Flow Sensor tam, gdzie potrzebujesz szerokiego, taniego pokrycia, albo oba. Zarejestruj każdy Sensor w Console.
3. Zainstaluj Filter / WanFilter. Wdróż silnik filtrowania ruchu tam, gdzie będziesz czyścić ruch (scrubbing), inline lub jako off-ramp, na wypadek gdy sam FlowSpec routera nie wystarczy.
4. Nastrój BIOS, system i NIC, zanim zaufasz liczbom. Wydajność DPDK jest krucha bez tego kroku (szczegóły poniżej). Zrób to teraz, a nie po tym, jak zobaczysz utratę pakietów.
5. Połącz elementy i sesję BGP. Skieruj sensory na ich źródło ruchu (port mirror lub eksport flow), połącz Filter i sensory z Console oraz podnieś sesję iBGP do routera, który będzie przenosić FlowSpec i RTBH.
6. Dodaj podsieci IP klientów i ustaw progi. Zdefiniuj każdy chroniony prefiks, pogrupuj je per klient i ustaw per-podsieciowe linie bazowe oraz progi. To tu wygrywa się lub przegrywa dokładność wykrywania.
7. Podłącz reakcję obronną: najpierw FlowSpec, RTBH jako awaryjny. Skonfiguruj automatyczne reakcje tak, by system filtrował granularnie z FlowSpec i eskalował do RTBH tylko wtedy, gdy atak jest zbyt duży lub zbyt losowy, by go filtrować.
8. Skonfiguruj alerty, potem przeszkol operatorów, a dopiero potem przejdź na produkcję. Ustaw alerty e-mail/webhook/NOC, przeprowadź operatorów przez ćwiczenie na żywo i dopiero wtedy przenieś wdrożenie na produkcję.

Jak nastroić BIOS, system i NIC pod WanGuard?

Przechwytywanie DPDK z prędkością łącza zależy od strojenia hosta, a jego pominięcie to najszybszy sposób na zepsucie dobrego wdrożenia. Packet Sensor, który gubi pakiety z port mirror, buduje linie bazowe na niekompletnych danych, co po cichu pogarsza każdą kolejną decyzję o wykryciu. Zanim zaufasz choćby jednemu wykresowi na sensorze DPDK, przejdź przez opisane poniżej warstwy strojenia.

BIOS

Wyłącz głębokie stany C-state i agresywne oszczędzanie energii, aby rdzenie nie dławiły taktowania (throttling) w trakcie ataku, ustaw profil zasilania nastawiony na wydajność i upewnij się, że NIC siedzi w slocie PCIe z liczbą linii wystarczającą dla jego znamionowej przepustowości. Na serwerach dwuprocesorowych wiedz, który socket CPU jest właścicielem karty przechwytującej.

System operacyjny

Zarezerwuj hugepages dla DPDK, odizoluj rdzenie CPU używane do przetwarzania pakietów od ogólnego planisty (scheduler) i przypnij wątki przechwytujące sensora do rdzeni na tym samym węźle NUMA co NIC. Przekraczanie granicy NUMA dla każdego pakietu to dobrze znany zabójca przepustowości. Utrzymuj system w rodzinie RHEL/AlmaLinux/Rocky, pod którą WanGuard jest przygotowany.

NIC

Podepnij interfejs przechwytujący do sterownika DPDK w trybie poll-mode, sprawdź, czy karta jest na liście obsługiwanych, i obserwuj liczniki RX-drop pod prawdziwym obciążeniem. Zero odrzuconych pakietów przy szczytowym tempie ruchu z mirror to granica zdał/nie zdał. Dopiero gdy te liczniki pozostają czyste, przejdź do ustawiania progów.

Jakie są najczęstsze pułapki przy instalacji WanGuarda?

Większość nieudanych lub „kapryśnych" wdrożeń WanGuarda sprowadza się do tej samej garstki błędów i żaden z nich nie jest błędem oprogramowania. Z naszego doświadczenia skupiają się one wokół widoczności, strojenia i BGP — trzech warunków wstępnych, które operatorzy najczęściej niedoceniają. Oto te, które widzimy raz za razem:

• Brak okresu linii bazowej. Ustawianie progów pierwszego dnia, zanim Sensor nauczy się tygodnia normalnego ruchu, daje albo fałszywe alarmy, albo przeoczone ataki. Najpierw pozwól mu się nauczyć.
• Mylenie próbkowanego flow z pełnym przechwytywaniem. Oczekiwanie wykrywania poniżej 5 sekund od wdrożenia opartego na NetFlow. Flow próbkuje, więc wykrywa w dziesiątkach sekund; jeśli potrzebujesz szybciej, potrzebujesz port-mirror i DPDK.
• Ignorowanie utraty pakietów na karcie DPDK. Jak wyżej: Sensor gubiący pakiety z mirror wygląda, jakby działał, a karmi Cię błędnymi danymi.
• Niewykluczenie ciężkich klientów. Legalny klient o dużym paśmie (cache CDN, duży serwer gier) wygląda jak zalew, dopóki go nie wykluczysz lub nie pogrupujesz. To główne źródło fałszywych alarmów.
• Nieprzetestowana laboratoryjnie sesja BGP. Pierwsze uruchomienie FlowSpec lub RTBH nigdy nie powinno wypaść w trakcie prawdziwego ataku. Zweryfikuj rozgłoszenia i reakcję routera w kontrolowanym teście.
• Traktowanie WanGuarda jako obrony warstwy aplikacji. WanGuard to system wolumetryczny L3/L4; zatrzymuje zalewy, a nie ataki oparte na żądaniach z warstwy L7. Bądź uczciwy co do zakresu, żeby nikt nie oczekiwał niewłaściwej ochrony.

Dlaczego wdrażać WanGuard z ITORO?

Instalator WanGuarda jest publiczny; operacyjny osąd wokół niego już nie — i to tu wdrożenia odnoszą sukces lub upadają. Dokładna ochrona zależy od poprawnego doboru sprzętu, czystego strojenia NIC/DPDK, rozsądnych per-podsieciowych linii bazowych, przetestowanej laboratoryjnie sesji BGP oraz operatorów, którzy przećwiczyli scenariusz, zanim nadejdzie pierwszy prawdziwy atak. ITORO jest ogólnoświatowym Gold Partnerem Andrisoft zbudowanym na ponad 25 latach doświadczenia w operacjach ISP i sieciowych (ponad 20 lat z Juniperem), a my realizujemy całą budowę jako instalację, konfigurację i szkolenie WanGuard, więc dziedziczysz nastrojony, przetestowany system, a nie świeżą instalację.

Zobacz szerszy zakres naszych usług bezpieczeństwa sieci, sprawdź aktualny cennik i kalkulator albo zapytaj o wsparcie 24/7.

Najczęstsze pytania

Jakie są wymagania do instalacji WanGuarda?

WanGuard potrzebuje 64-bitowego serwera Linux (rodzina RHEL/AlmaLinux/Rocky), sposobu na zobaczenie swojego ruchu (port-mirror/SPAN do przechwytywania DPDK albo eksport NetFlow/sFlow/IPFIX) oraz routera z obsługą BGP, który odfiltruje atak przez FlowSpec lub RTBH. Dobór serwera skaluje się z prędkością portu; Packet Sensor z DPDK przy 100GE potrzebuje dodatkowo obsługiwanej karty NIC zgodnej z DPDK.

Jak długo trwa instalacja WanGuarda?

Pakiety oprogramowania instalują się w kilka minut z repozytorium Andrisoft. Wdrożenie produkcyjne trwa dłużej z powodu strojenia: konfiguracji NIC/DPDK, okresu uczenia linii bazowej normalnego ruchu, per-podsieciowych progów i laboratoryjnego testu sesji BGP. W praktyce zaplanuj dni strojenia, a nie godziny instalowania, zanim przejdziesz na produkcję.

Na jakim systemie operacyjnym działa WanGuard?

WanGuard to oprogramowanie dla 64-bitowego Linuksa i jest przygotowany pod rodzinę RHEL/AlmaLinux/Rocky. Jest hostowany we własnym zakresie na serwerach, które kontrolujesz, więc żaden ruch nie jest przekierowywany do podmiotu trzeciego. Element Console zawiera webowe GUI, serwer WWW i bazę danych; elementy Sensor i Filter wdraża się obok lub na osobnych hostach, zależnie od skali.

Czy do WanGuarda potrzebuję specjalnej karty NIC?

Tylko do wykrywania przez port-mirror z DPDK. Packet Sensor korzystający z przechwytywania DPDK wymaga obsługiwanej karty NIC (częste są rodziny Intel i Mellanox) plus strojenia BIOS/systemu (hugepages, przypięcie NUMA, izolowane rdzenie), by przechwytywać z prędkością łącza bez gubienia pakietów. Flow Sensor oparty na flow nie ma specjalnych wymagań co do NIC, bo czyta próbkowane eksporty z routerów.

Gdzie jest dokumentacja WanGuard?

Andrisoft publikuje oficjalną dokumentację instalacji i konfiguracji WanGuard, która obejmuje instalację pakietów i konfigurację elementów. Jest celowo zwięzła, więc nie obejmuje sekwencjonowania wdrożenia, strojenia hosta i walidacji BGP, które decydują o dokładności w realnych warunkach. Ten przewodnik uzupełnia te luki z doświadczenia operatorskiego; ITORO dodatkowo dokumentuje każde wdrożenie, które realizuje.

Czy mogę zainstalować WanGuard samodzielnie?

Tak, pakiety są samoobsługowe, a laboratorium lub mały brzeg to rozsądne miejsce, by się nauczyć. Przy produkcji na żywym brzegu ISP, hostingu lub przedsiębiorstwa ryzyko tkwi w strojeniu i ścieżce BGP, a nie w instalatorze. Źle skonfigurowana linia bazowa powoduje fałszywe alarmy; nieprzetestowana sesja FlowSpec/RTBH zawodzi w trakcie tego jednego ataku, który miała zatrzymać.

Jak zabezpieczyć serwer przed atakiem DDoS?

Zabezpieczenie pojedynczego serwera zaczyna się od utwardzenia systemu i limitów połączeń, ale realna ochrona jest po stronie sieci. Serwer nie obroni się przed atakiem, który wysyca łącze przed nim — potrzebne jest wykrywanie na poziomie przepływów i filtrowanie na routerze brzegowym lub u operatora.

---

Źródła

• Andrisoft — produkt, instalacja i dokumentacja WanGuard: https://www.andrisoft.com/software/wanguard
• IETF — RFC 7999, wspólnota BGP BLACKHOLE: https://www.rfc-editor.org/rfc/rfc7999
• DPDK — obsługiwany sprzęt i sterowniki poll-mode: https://core.dpdk.org/supported/
• Tabela wymagań sprzętowych / doboru WanGuard od Andrisoft (aktualna wersja) dla dokładnych wartości CPU/RAM/NIC na daną prędkość łącza.