Blackholing et RTBH : l'arme de dernier recours contre le DDoS

Face à une attaque DDoS volumétrique massive, il existe une parade brutale mais efficace : le blackholing. L'idée est simple — plutôt que de laisser l'attaque saturer tout votre lien (et donc affecter tous vos services), on « jette » le trafic destiné à l'adresse visée, avant qu'il n'atteigne votre réseau.

Le principe du RTBH

Le RTBH (Remote Triggered Black Hole) permet au client de déclencher lui-même ce blackhole à distance, en annonçant à son opérateur, via une communauté BGP dédiée, l'adresse (généralement un /32 IPv4 ou un /128 IPv6) à mettre en blackhole. L'opérateur défausse alors ce trafic au plus près de ses bordures, là où la capacité est énorme — bien avant votre lien d'accès.

Avantages et limite majeure

L'avantage est décisif : on préserve le reste de l'infrastructure en sacrifiant une seule cible. C'est rapide, automatisable, et ça fonctionne même contre les plus gros volumes. Mais il faut être lucide sur la contrepartie : l'IP mise en blackhole devient elle-même injoignable. Autrement dit, on termine l'attaque en réalisant volontairement le déni de service sur la cible — pour sauver tout le reste.

Blackholing ou scrubbing ?

Le blackholing est une mesure de dernier recours. La solution idéale, quand elle est disponible, reste le scrubbing : filtrer le trafic malveillant tout en laissant passer le trafic légitime vers la cible, qui reste donc en ligne. Une bonne stratégie combine les deux : scrubbing en défense principale, RTBH en soupape de sécurité pour les cas extrêmes.

Comment s'en servir

• Connaître à l'avance la communauté RTBH de son opérateur et l'avoir testée.
• Cibler finement : blackholer l'IP attaquée, pas un préfixe entier si possible.
• Automatiser le déclenchement et la levée pour réagir en secondes et rétablir vite.

Chez Connect-IX, la protection anti-DDoS repose d'abord sur du scrubbing intégré à notre réseau, et nous exposons les communautés nécessaires (dont le blackholing) dans notre liste de communautés BGP. Le tout supervisé et pilotable en temps réel.