DDoS-geschützter IP-Transit
Für Netzbetreiber mit eigener ASN und Gameserver-Hoster ohne. VexSHIELD filtert Angriffe per XDP im Netzwerktreiber eigener Nodes und liefert sauberen Traffic per BGP, Tunnel oder Cross-Connect.
Preise folgen. Konditionen im Early Access stimmen wir einzeln ab.
| Netz | AS201028, IPv4 und IPv6 |
|---|---|
| Filter | XDP/eBPF in Rust, im Netzwerktreiber |
| Anbindung | BGP, GRE/IPIP, WireGuard, L2-Cross-Connect |
| Routing | RPKI ROV, ASPA, IRR, BCP38 |
| Stand | Early Access, Laborbetrieb |
Schutz für jedes Netz-Setup
Mit eigener ASN oder ohne: Du entscheidest, wie der Traffic zu dir kommt und welche Regeln davor greifen.
| Produkt | Für | Anbindung |
|---|---|---|
| Geschützter IP-Transit Du sprichst BGP mit AS201028 und kündigst deine Prefixe über uns an. Eingehender Traffic wird gefiltert, bevor er deine Router erreicht. Ablauf ansehen: Geschützter IP-Transit | FürNetze mit eigener ASN | Anbindung BGP-Session, dazu Tunnel oder Cross-Connect Early Access |
| Geschützte IPs & Subnetze Du mietest geschützte IPv4- und IPv6-Adressen oder ganze Subnetze. AS201028 kündigt sie an, der saubere Traffic kommt über deine Anbindung. Fragen zur ASN: Geschützte IPs & Subnetze | FürHoster und Gameserver ohne ASN | Anbindung Tunnel oder Cross-Connect Early Access |
| Tunnel & Cross-Connect Sauberer Traffic erreicht dich per GRE/IPIP, WireGuard oder L2-Cross-Connect. Die Konfiguration für Tunnel erzeugt das Portal. Anbindungen ansehen: Tunnel & Cross-Connect | FürAlle Produkte | Anbindung GRE/IPIP, WireGuard, L2-Cross-Connect VM im Netz geplant |
| Filter & Regeln Jedes Prefix bekommt eine geordnete Regelliste, dazu Blocklisten, Amplification- und Fragment-Filter. Jeder Verwurf wird mit Grund gezählt. Filter ausprobieren: Filter & Regeln | FürAlle Produkte | Anbindung Portal und REST-API Game-Profile in Entwicklung |
Gefiltert vor deinem Netz
Eingehender Traffic für geschützte Prefixe läuft zuerst durch das Netz von AS201028. Dort entscheidet der XDP-Filter über jedes Paket, sauberer Traffic geht über deine Anbindung weiter.
-
Ankündigen
Deine Prefixe oder gemieteten IPs werden über AS201028 angekündigt. Eingehender Traffic läuft dadurch zuerst durch unser Netz.
-
Filtern
Auf dem Edge prüft ein XDP-Programm jedes Paket gegen deine Regeln, noch im Netzwerktreiber. Ein Vorfilter beim Upstream kommt mit dem Produktions-PoP.
-
Ausliefern
Sauberer Traffic erreicht dich per GRE/IPIP, WireGuard oder L2-Cross-Connect, mit eigener ASN zusätzlich über eine BGP-Session.
Prefix aus dem Dokumentationsnetz (RFC 5737)
Regeln, die du selbst schreibst
Jedes Prefix hat eine geordnete Regelliste, die erste passende Regel entscheidet. Ausgeführt wird sie als XDP-Programm in Rust, bevor das Paket den Netzwerkstack des Kernels erreicht.
1.692 von 2.000 Paketen verworfen
| Abgleich | Quelle, Ports, Protokoll und Paketlänge |
|---|---|
| Aktionen | verwerfen, akzeptieren oder Rate-Limit je Quelle und Ziel |
| Gruppen | Policy-Gruppen und Prefix-Listen für viele Prefixe auf einmal |
| Zähler | je Regel, jeder Verwurf mit Grund im Portal |
Game-Profile für FiveM/RedM, Minecraft, Rust, Steam A2S und TeamSpeak sind in Entwicklung.
Ein Paket durch den Filter schicken
- Blocklist Quelle auf der Blocklist? weiter
- Regeln Erste passende Regel entscheidet weiter
- Fragmente IP-Fragment? weiter
- Amplification UDP-Quellport eines Reflexionsdienstes? Verworfen Quellport 11211 (memcached) steht auf der Amplification-Liste.
- Port-Freigabe Zielport freigegeben? nicht erreicht
- Limit je Ziel Gesamtrate des Ziels nicht erreicht
- Limit je Quelle Rate dieser Quelle nicht erreicht
Verworfen: Amplification Quellport 11211 (memcached) steht auf der Amplification-Liste. im Labortest bestätigt
Beispielprofil „gameserver-basis“: Fragmente verwerfen, Amplification-Filter an, TCP nur auf 22 und 443, höchstens 100 pps je Quelle. Regel 1 akzeptiert SSH aus der Prefix-Liste „admin-netze“. Beispieladressen aus Dokumentationsnetzen.
Alles im Self-Service-Portal
Prefixe, Tunnel, BGP-Sessions und Regeln verwaltest du selbst, im Portal oder über die REST-API. Routineänderungen brauchen kein Ticket.
- Prefixe
- Prüfung gegen RPKI und IRR, LOA direkt hochladen.
- Tunnel
- GRE/IPIP oder WireGuard anlegen, Konfiguration kopieren.
- BGP-Sessions
- Status, empfangene Prefixe, Max-Prefix je Session.
- API & Webhooks
- Ereignisse wie erkannte Angriffe an deine Systeme.
- Teams
- Organisationen mit Rollen, Anmeldung mit 2FA.
- Subnetze
- Geschützte IPs direkt im Portal bestellen.
- Tickets
- Support-Anfragen mit Verlauf an einem Ort.
- Abrechnung
- Rechnungen und Zahlung über Stripe.
Routing-Hygiene, von außen prüfbar
AS201028 setzt die gängigen Standards für sicheres Routing um. Du musst uns das nicht glauben: Die Daten sind öffentlich.
AS201028 bei bgp.tools PeeringDB-Eintrag
| Standard | Umsetzung bei AS201028 | Stand |
|---|---|---|
| RPKI ROV | Routen mit RPKI-Status „invalid“ werden abgelehnt, von Kunden wie von Upstreams. | aktiv |
| ASPA | AS201028 veröffentlicht ASPA-Objekte, damit Route Leaks erkennbar werden. | aktiv |
| IRR-Filter | Kunden-Prefixe werden gegen IRR-Daten gefiltert (route-Objekte, AS-SETs). | aktiv |
| Max-Prefix | Jede BGP-Session hat ein Prefix-Limit gegen versehentliche Leaks. | aktiv |
| BCP38 | Quelladressen von Kunden werden geprüft, gespoofter Traffic verlässt das Netz nicht. | aktiv |
| RFC 9234 | BGP-Rollen erkennen Route Leaks schon beim Session-Aufbau. | aktiv |
Infrastruktur, die du nachprüfen kannst
Keine Kapazitätsversprechen, sondern Technik, die öffentlich einsehbar oder im Portal sichtbar ist.
- AS201028
- Eigenes autonomes System, BGP mit BIRD 3.
- XDP im Treiber
- Filter in Rust und eBPF, vor dem Netzwerkstack des Kernels.
- IPv4 und IPv6
- Schutz und Routing für beide Protokolle.
- Portal und API
- Jede Einstellung im Portal und über die REST-API.
Verkabelung an einem Switch. Foto: Scott Rodgerson, Unsplash
Preise folgen
VexSHIELD ist im Early Access. Konditionen stimmen wir in dieser Phase einzeln ab, öffentliche Preise veröffentlichen wir mit dem Produktions-PoP.
Antwort per E-Mail, persönlich und ohne Vertriebsautomatik.
Im Early Access enthalten
- Geschützter Transit oder gemietete, geschützte IPs
- Eigene Filterregeln je Prefix
- Anbindung per GRE/IPIP, WireGuard oder Cross-Connect
- Self-Service-Portal mit API und Webhooks
- Routing nach RPKI, ASPA, IRR und BCP38
- Direkter Kontakt zum Netzwerk-Team
Häufige Fragen
Deine Frage ist nicht dabei? Schreib uns.
kontakt@vexshield.euWas bedeutet Early Access?
VexSHIELD läuft derzeit im Laborbetrieb auf einem ersten eigenen Node. Der Produktions-PoP mit Vorfilterung beim Upstream ist in Vorbereitung. Early-Access-Kunden binden wir schrittweise an und stimmen Umfang und Konditionen einzeln ab.
Brauche ich eine eigene ASN?
Nein. Mit eigener ASN und eigenen Prefixen bekommst du eine BGP-Session zu AS201028. Ohne ASN mietest du geschützte IPv4- oder IPv6-Adressen bzw. Subnetze von uns und nutzt sie über einen Tunnel oder Cross-Connect.
Wie kommt der saubere Traffic zu mir?
Per GRE/IPIP-Tunnel, WireGuard oder L2-Cross-Connect, wenn du im selben Rechenzentrum stehst. Die Konfiguration für Tunnel erzeugt das Portal. Eine VM direkt in unserem Netz als Ziel ist geplant.
Wie arbeitet der Filter?
Als XDP/eBPF-Programm in Rust, das im Netzwerktreiber unserer Nodes läuft. Jedes Prefix hat eine geordnete Regelliste (Quelle, Ports, Protokoll, Länge; verwerfen, akzeptieren, Rate-Limit), dazu Blocklisten sowie Amplification- und Fragment-Filter. Jeder Verwurf wird mit Grund gezählt.
Wie große Angriffe kann VexSHIELD abwehren?
Das hängt von der Anbindung des Produktions-PoPs ab, für sehr große volumetrische Angriffe ist ein Vorfilter beim Upstream geplant. Wir veröffentlichen Kapazitätszahlen erst, wenn sie gemessen sind, und nennen bis dahin keine Werte.
Gibt es Profile für Gameserver?
Protokollbewusste Game-Profile (u. a. FiveM/RedM, Minecraft, Rust/RakNet, Steam A2S, TeamSpeak) sind in Entwicklung. Bis dahin lassen sich Gameserver mit eigenen Regeln, Port-Freigaben und Rate-Limits je Quelle schützen.
Gibt es eine API?
Ja. Alles, was das Portal kann, ist auch über die REST-API unter api.vexshield.eu erreichbar. API-Keys und Webhooks verwaltest du im Portal.
Was kostet VexSHIELD?
Öffentliche Preise folgen mit dem Produktions-PoP. Im Early Access stimmen wir Konditionen einzeln ab, schreib uns dafür kurz dein Setup.
Early Access für dein Netz anfragen
Eine kurze E-Mail genügt. Wir melden uns persönlich und stimmen Anbindung und Konditionen mit dir ab.
Das hilft uns bei der Antwort
- ASN, falls vorhanden
- Prefixe oder benötigte IPs
- Gewünschte Anbindung
- Standort oder Rechenzentrum
kontakt@vexshield.eu