안녕하세요. EOS BP 후보 EOS 노드원의 Lead Engineer 로빈슨입니다.
EOS42 의 Charles H (Telegram ID: ankh2054) 의 글 [DDOS mitigation for EOS Block producers : EOS BP를 위한 DDOS 방어 ]을 보고 홍콩의 EOS BP 후보 HK EOS의 Jae Chung(Telegram ID: jaechung)과 함께 EOS 42의 글에서는 다루지 않았던 AWS NLB (Network Load Balance)에 대한 테스트를 진행하였습니다.
이 글은 AWS NLB가 TCP 연결만을 허용하는 점을 이용하여 트래픽 분산이 아닌 필터로써 유효하지 않은 연결을 걸러내어 DDoS를 막는 방법에 대한 내용을 다룹니다.
이와 다른 구성으로 테스트를 진행한 Jae Chung의 테스트 결과도 공유해주길 기대합니다.
[테스트 환경 구성]
Full node(m5.large)와 VPC 내에서 연결된 Producer Node (t2.large) 1개
9876 및 하나의 랜덤 포트
LB와 직접연결 Full node (m5.large) 1개
JungleTestnet 의 BP peer 로서 연결됨
- DDoS 공격은 9876 포트와 하나의 랜덤포트에 대해 SSDP 공격 방식으로 진행하였습니다.
[AWS NLB DDoS 테스트 결과]
결과적으로 AWS NLB는 BotNet에서 들어오는 DDoS공격을 효과적으로 소화해냈습니다.
AWS NLB는 어떻게 유효하지 않은 UDP 패킷을 견뎌낼 수 있었을까요? (코멘트 바랍니다)
아래는 테스트 기간동안 EC2 Instance의 상태 변화에 대한 기록입니다.
테스트는 UTC 기준 5월 10일 17시 20분 즈음부터 약 1시간 가량 진행되었습니다.
특이한 점은 테스트를 시작할때즈음 부터 테스트가 종료된 이후 약 2시간 동안 평소와 다른 낮은 CPU 사용률을 보인 것입니다. 이 지표로만 보았을때 nodeos의 프로세스가 죽어버렸거나 제대로 작동하지 않았을 것으로 추측하였으나, 로그를 보았을 때 정상적으로 블록이 동기화 되었음을 알 수 있었습니다.
로드밸런서에 과도한 트래픽이 발생할 경우 이와 연결된 인스턴스의 가용성을 보장하기 위해 VM 의 컴퓨팅 자원에 대한 우선순위가 올라가는 것이 아닌가 추측을 합니다만, 이 부분에 대해 아시는 분은 코멘트 주시면 감사드리겠습니다.
- 테스트 기간을 전후하여 Network In/Out 차트에 LB를 통화여 들어온 트래픽으로 보이는 스파이크가 발생하였지만 인스턴스에서 소화할 수 있는 수준이었습니다.
- 테스트 기간을 포함하여 모든 기간 동안 인스턴스는 정상적으로 작동이 되었습니다.
- LB로 들어오는 TCP 연결 숫자를 나타내는 차트입니다.TCP를 통한 공격을 진행했는지 여부는 확인할 필요가 있으나, 테스트 기간동안 스파이크가 발생한 것으로 보아 TCP에 대한 공격도 진행한 것으로 판단이됩니다.
- LB에서 대부분의 공격이 걸러지고 대상 인스턴스까지 도달하지 않았음을 볼 수 있습니다.
소비된 LB의 용량을 확인했을때 DDoS 공격으로 인해 LB Unit의 사용량이 늘어난 것을 볼 수 있습니다.
ConsumedLBCapacityUnit(LCU) 는 LB의 과금 단위로 서울 기준 1LCU = 0.008 USD로 매우 저렴합니다.
- fullnode와 가상 서설망으로 연결된 producer node 가 정상적으로 블록을 생산한 것을 확인하였습니다.
[DDoS 방어 테스트 결론]
Charles H의 벤치마킹 결과에서 Google Network Load Balancer가 효과적으로 DDoS 공격을 막아 낸 것과 같이 이번 테스트에서 시간당 0.008불도 되지 않는 저렴한 비용으로 AWS의 Network Load Balance 또한 효과적으로 공격을 막아내었습니다.
이로써 BP p2p network의 연결에 있어서도 AWS NLB를 거쳐가는 구성을 고려해볼 수 있습니다.
[예정 테스트]
- 다음 테스트로는 LB가 노드의 응답 속도에 어느정도 영향을 주는지, 그리고 베어메탈 환경에서 AWS NLB을 사용시 성능을 보장하는지 테스트를 진행 할 예정입니다.
EOS BP 노드원 팀의 Lead Engineer 로빈이었습니다.
노드원 개발자 텔레그램방 : https://t.me/eosnodeone_dev