Blad 2 · Stationsuitrusting · Editie 2026.1
Wat er in een station zit.
Alle zestien zijn volgens dezelfde uitrusting gebouwd, zodat een verzoek zich in Dublin net zo gedraagt als in Tallinn. Dit is wat dat betekent wanneer u ermee moet werken.
Uitrusting 01
Eigen hardware, per locatie afgestemd
Debian stable op hardware die van ons is. Niemand anders deelt het doorstuurpad — geen verkeer van een andere klant, geen hypervisor tussen de netwerkkaart en de cache.
De kernel-netwerkstack is afgestemd op het verkeer dat de locatie werkelijk draagt: een station voor een mediabibliotheek wil andere socketbuffers dan een station voor een JSON-API. Wij publiceren de sysctl-set waarmee wij draaien, en draaien de uwe als u daar reden voor heeft.
- Besturingssysteem
- Debian 13, automatische beveiligingsupdates
- Cachelaag
- NVMe, 24–96 TB per station
- Uplink
- minimaal 2 × 100 GbE, 4 × op kernlocaties
- Peering
- Aanwezig op de lokale IX bij elk station
Uitrusting 02
Certificaten die zichzelf vernieuwen
Een SAN-certificaat wordt uitgegeven zodra uw domein is gevalideerd, en dertig dagen voor het verloopt op alle stations tegelijk vernieuwd. Niemand hoeft een herinnering in de agenda te zetten.
TLS 1.3 is de standaard en 1.2 blijft beschikbaar tot u het uitzet. Vraagt uw beleid om een bepaalde keten, upload dan de PEM-bundel — die bereikt alle zestien stations binnen een minuut, en het dashboard laat zien welke hem al hebben.
- Protocollen
- TLS 1.3, 1.2 optioneel
- Vernieuwing
- Automatisch, 30 dagen voor verloop
- Eigen keten
- PEM-upload, < 60 s tot verspreiding
- Stapling
- OCSP-stapling, elk uur ververst
Uitrusting 03
Opgevangen aan de kust
Volumetrische aanvallen worden verworpen door het station dat ze ontvangt. Dat is het nuttige neveneffect van anycast: een aanval op één adres komt verspreid over zestien locaties aan in plaats van geconcentreerd op één, en elke locatie hoeft alleen haar eigen deel te doorstaan.
Layer 7-filtering draait inline op dezelfde machine. Echte verzoeken staan nooit in een wachtrij terwijl verkeer naar een scrubbingcentrum elders wordt omgeleid en daar over hen wordt beslist.
- L3/L4-capaciteit
- 11,2 Tbit/s, netwerkbreed
- Reactietijd
- Automatisch, geen ticket nodig
- Layer 7
- Inline regels, ratelimieten per route
- Na het incident
- Rapport per aanval binnen het uur
Uitrusting 04
Origins, gewogen en bewaakt
Health checks draaien vanaf elk station in plaats van vanaf één centrale prober. Een regio die uw origin niet bereikt, stuurt er niets meer heen terwijl de rest van het netwerk gewoon doorgaat — meestal precies wat u wilt, want de fout zit vaker in het pad dan in de server.
De weging is standaard geografisch en kan handmatig worden vastgezet. Een origin uit de rotatie halen is één wijziging en werkt binnen seconden aan de rand, dus u kunt overdag een machine patchen.
- Controle-interval
- 5 s vanaf elk station
- Failover
- Na 2 opeenvolgende fouten
- Algoritmen
- Geografisch, round-robin, gewogen
- Leeglopen
- Direct, zonder afgebroken verbindingen
Standaarduitrusting
Op elk station hetzelfde.
Wijkt een station af, dan naar boven: kernlocaties dragen meer uplink en meer cache, van niets hieronder minder.
| Onderdeel | Standaard | Kernlocaties |
|---|---|---|
| Uplink | 2 × 100 GbE | 4 × 100 GbE |
| Cachelaag | 24 TB NVMe | 96 TB NVMe |
| Uitgaande capaciteit | 400 Gbit/s | 1600 Gbit/s |
| HTTP | HTTP/2, HTTP/3 (QUIC) | HTTP/2, HTTP/3 (QUIC) |
| Compressie | Brotli, gzip, on the fly | Brotli, gzip, on the fly |
| Purge | Op URL, prefix of tag | Op URL, prefix of tag |
| Purge-verspreiding | < 3 s | < 3 s |
| Logs | Realtime stream of levering naar S3 | Realtime stream of levering naar S3 |
Langszij komen
Zie hem uw eigen verkeer dragen.
Een proef draait op dezelfde uitrusting als alles hierboven. Er wordt niets achtergehouden voor betalende accounts.