BNG/BRAS Session Issues: Warum Mass-Reauth passiert und Mitigation

BNG/BRAS Session Issues gehören zu den kritischsten Störungsbildern in Access-Netzen, weil sie nicht „nur“ einzelne Kunden betreffen, sondern sehr schnell in eine Mass-Reauth-Situation kippen können: Tausende bis Millionen Teilnehmer verlieren gleichzeitig ihre Session, starten eine Neuautorisierung (PPPoE/PPP oder IPoE/DHCP), und erzeugen dadurch eine Lastwelle, die BNG, RADIUS/AAA, DHCP, Aggregation und sogar das Backbone unter Druck…

PPPoE Session Flaps: Diagnose von Access bis Core

PPPoE Session Flaps sind im Provider-Betrieb eines der teuersten Störungsbilder, weil sie gleichzeitig technische und operative Konsequenzen haben: Kunden verlieren wiederholt die Verbindung, Anwendungen brechen, VoIP/Video friert ein, und im NOC entsteht schnell ein „Mass-Reconnect“-Effekt mit erhöhter Signalisierungslast auf BNG/BRAS, AAA/RADIUS und Aggregation. Der schwierigste Teil ist, dass PPPoE Flaps selten nur eine Ursache haben.…

CGNAT Exhaustion: Symptome, Telemetrie und schnelle Recovery

CGNAT Exhaustion ist eines der typischen „schleichenden“ Störungsbilder in Access- und Edge-Netzen: Zunächst melden einzelne Kunden „bestimmte Apps gehen nicht“, kurze Zeit später steigen Fehlerraten bei Web, Gaming und VoIP, und am Ende sieht es aus wie ein großflächiger Internet-Ausfall – obwohl Backbone und Peering gesund sind. Der Kern ist fast immer derselbe: Ein Carrier-Grade…

CGNAT-Logging: Attribution-Probleme beim Abuse Handling

CGNAT-Logging ist die Grundlage dafür, Abuse-Meldungen (Spam, DDoS, Portscans, Botnet-Kommunikation, Credential Stuffing) einem konkreten Teilnehmer zuzuordnen, wenn viele Kunden sich eine öffentliche IPv4-Adresse teilen. Genau hier entstehen in der Praxis die größten Attribution-Probleme beim Abuse Handling: Ein Abuse-Report nennt „Source IP + Zeit + Port“, aber im Provider-Backend fehlen einzelne Felder, Zeitstempel sind nicht synchron,…

SYN Flood am Edge: Detection über Flow-Daten und Telemetrie

Ein SYN Flood am Edge ist eine der häufigsten und gleichzeitig tückischsten DDoS-Formen im Provider- und Rechenzentrumsbetrieb. Der Angriff zielt nicht darauf ab, „viel Bandbreite“ zu verbrennen, sondern Zustände (State) in Firewalls, Load Balancern oder Servern zu erschöpfen: Angreifer senden massenhaft TCP-SYN-Pakete, provozieren halboffene Verbindungen und verursachen damit Ressourcenverbrauch in der Daten- oder Control Plane.…

UDP Amplification Attack: Traffic-Muster und sichere Mitigation

Eine UDP Amplification Attack gehört zu den wirkungsvollsten DDoS-Methoden, weil sie zwei Vorteile kombiniert: sehr hohe Bandbreite am Ziel und vergleichsweise wenig Aufwand beim Angreifer. Die Grundidee ist simpel: Der Angreifer fälscht (spoofed) die Quelladresse von UDP-Anfragen so, dass sie auf das Opfer zeigt. Diese Anfragen gehen an öffentlich erreichbare „Reflektoren“ (z. B. offene DNS-Resolver,…

DDoS-Scrubbing-Center: Architektur, Routing und Betrieb

Ein DDoS-Scrubbing-Center ist in vielen Provider- und Enterprise-Netzen die letzte Verteidigungslinie, wenn volumetrische Angriffe (UDP Amplification, GRE-Floods, TCP-ACK-Floods) oder state-orientierte Angriffe (SYN Floods gegen Firewalls/LBs) die Edge-Kapazität oder die Service-Perimeter überfordern. Während lokale Filter (ACLs, Policer, uRPF) am Rand schnell greifen können, stoßen sie bei Leitungssättigung oder hoher Source-Diversität an Grenzen: Der Traffic ist dann…

Anycast Scrubbing: Policy Routing und Collateral-Damage-Risiko

Anycast Scrubbing gilt als eine der elegantesten Methoden, DDoS-Traffic zu absorbieren, weil es „von selbst“ skaliert: Derselbe Service-Prefix wird von vielen Scrubbing-PoPs via BGP annonciert, und der Internet-Traffic landet automatisch am topologisch „nächsten“ Standort. Im Idealfall entsteht dadurch keine harte Umschaltkante wie beim klassischen On-Demand-Diversion – und volumetrische Angriffe verteilen sich auf viele Standorte, statt…

Traceroute „keine Antwort“ im Backbone: Ursachen & Lösungen

Traceroute „keine Antwort“ im Backbone ist eines der häufigsten Missverständnisse im Provider-Betrieb: Ein Hop zeigt Sternchen oder „no reply“, und sofort entsteht die Vermutung, genau dort sei der Fehler oder ein Blackhole. In der Realität ist „keine Antwort“ bei Traceroute in Backbone-Netzen oft völlig normal – und manchmal sogar ein bewusstes Design- oder Security-Feature. Router…

IPv6 Dual-Stack im Backbone: Häufige operative Pitfalls

IPv6 Dual-Stack im Backbone gilt in vielen Provider-Netzen als „fertig“, sobald die ersten Core-Links IPv6 sprechen und BGP/IGP für v6 „up“ ist. Operativ zeigt sich jedoch schnell: Dual-Stack ist nicht einfach „IPv4 plus IPv6“, sondern zwei parallele Netzrealitäten mit unterschiedlichen Failure Modes, anderen Abhängigkeiten und oft auch anderer Peering- und Security-Policy. Genau deshalb sind IPv6…