Internetprovider Tweak kampte met storingen vanwege ddos-aanval

De kleine internetprovider Tweak kampte vandaag met drie kortdurende internet- en telefoniestoringen als gevolg van een ddos-aanval. Daardoor waren internetverbindingen van klanten vertraagd en konden ze time-outs te verduren krijgen.

Volgens Randal Peelen, manager product & marketing bij Tweak, heeft de provider de afgelopen twee weken al te maken met pogingen om de dienstverlening van het bedrijf te onderbreken door middel van ddos-aanvallen. Dat vertelt hij aan Tweakers. De tijdelijke hinder en onderbrekingen die klanten ervaarden, vonden plaats tussen 4 uur 's middags en 6 uur 's avonds. Alleen de internet- en telefoniediensten van de provider werden onderbroken door de storingen. Het televisie-aanbod bleef buiten schot.

De eerste storing was beperkt tot het eigen netwerk van Tweak, dat onder andere de steden Almere, Enschede en Leeuwarden voorziet van gigabit-glasvezel. De twee daaropvolgende storingen deden zich bij alle ongeveer 10.000 Tweak-klanten door het land voor. Inmiddels zijn de storingen voorbij en Tweak verwacht geen verdere onderbreking van de diensten.

Reacties (64)

[_-= Erikje =-_]

Mensen, 4Gbit/s zegt niet zo heel veel, als dat 9000Byte jumbo frames zijn is het aantal pakketjes per seconde (pps) laag.

Routers worden per pakketje belast, of dat pakket 10 bytes of 9000 bytes data bevat maakt voor de belasting van de router zelf niet zo veel uit (wel voor de fysieke verbindingen). Je moet immers per pakketje kijken wat je er mee wilt (waar moet het heen, eventueel waar komt het vandaan enz), grotendeels gaat dat in hardware maar het kost hoe dan ook CPU kracht. Daarom zul je bij de wat grotere routers niet direct een capaciteit in gigabit/s vinden (dat is meestal marketing) maar vooral in packets/s, denk aan ettelijke mega packets per seconde (paar miljoen dus) tot zelfs Tpps etc.

Bandbreedte is tegenwoordig niet zo'n heel groot probleem meer, veel ISPs hebben etterlijke gigabits liggen en waar je vroeger een DSL lijntje met een paar mbit verkeer nog over de zeik kreeg hebben mensen nu 500MBit liggen. De aanvallen zijn dus ook in de loop der tijd veel meer verplaats naar van veel grote data sturen naar juist enorm veel kleine pakketjes om zo de routers zelf te overbelasten. De vatbaarheid van sommige protocollen (denk aan DNS amplification) helpen daar ook niet direct bij.

Natuurlijk klinkt voor de meeste 4 Gbit behapbaarder als we hadden een DDOS van 6 Gpps

[Lupusceleri]

Dat was misschien vroeger zo maar tegenwoordig hebben zo ongeveer alle carrier-grade routers en zelfs layer3 switches line-rate forwarding, of dat nu met 64-byte pakketjes of 1500-byte pakketjes gebeurt. Zo'n 10 Gbps poort kan je dus gewoon zonder problemen opvullen. 9000-byte jumbo frames die over het publieke Internet gestuurd worden zullen trouwens bijna altijd naar meerdere 1500-byte pakketjes fragmenteren.

Maar: als je state bij wil houden is het een heel ander verhaal. Een last-mile ISP die te weinig IPv4 addressen heeft en dus CGNAT (carrier-grade NAT) moet implementeren is juist wel kwetsbaar voor aanvallen die state opvullen. Meer kun je hier lezen:

http://www.ausnog.net/sit...-roland-dobbins-arbor.pdf

[Reactie gewijzigd door Lupusceleri op 30 juli 2024 20:32]

[Gillie]

Als reactie op router overbelasten. Forwarding met carrier grade routers/switches is zelden een probleem. Wij hebben wel grotere DDOS aanvallen gezien. Tot congestie aan toe.

[Eagle Creek]

Kun je jouw post toelichten a.u.b? Ik heb de indruk dat ik iets over het hoofd zie.

In de replies hieronder kraakt men Tweak af omdat wordt gezegd "Jeetje, 4 Gbit-aanval is niets, dat moeten ze aankunnen". Jij antwoordt hier vervolgens op dat 4 Gbit ook kan betekenen dat het aantal pps erg laag is en dat routers vooral worden ingeschaald op het aantal pps dat ze kunnen verwerken.

M.a.w: het aantal Gbit is niet per se behoorlijk, het aantal packets is niet per se behoorlijk en beide zouden dus goed verwerkt moeten kunnen worden. Maar .... ik mis een stukje conclusie. Waarom zouden ze dan wel onderuit zijn gegaan?

In jouw redenering zou ik dan een aanval verwachten dat juist de bandbreedte gemiddeld was maar het aantal pps zeer hoog. En dat het daarom onderuit is gegaan.

]M.a.w: je komt dan in het domein van de verschillende typen DDoS-aanvallen: bandbreedte versus applicatief (sessies of packets in geval van netwerkdevices).

Is dat correct?

[Reactie gewijzigd door Eagle Creek op 30 juli 2024 20:32]

[Verwijderd]

Tweak, de enige provider die 1 Gb glasvezel pretendeert aan te bieden. De verhalen die ik erover heb gehoord zijn niet positief, voor zover het gaat om met name de service verlening.

[Peetz0r]

Ik heb er juist alleen positieve dingen over gehoord. De 1GB haal je ook daadwerkelijk, zelfs met de meegeleverde router. Natuurlijk enkel als de 'andere kant' het ook kan hebben, maar als je weet waar je test zie je wat je haalt.

Hun service is imho ook perfect. Tweak heeft een IRC-kanaal die betere hulp geeft dan welke telefonische helpdesk dan ook. Maar ook die ene keer dat ik telefonisch contact met ze had ging dat prima.

Verder is het een ISP die zonder moeilijke vragen vertelt hoe je je router root, waar je reverse DNS kan instellen, een statisch ip krijgt, ipv6 (via 6rd) levert (helaas default uit, maar aanzetten is fluitje van een cent).

Ook belangrijk is dat het een provider is keihard z'n best doet om onafhankelijk te zijn van partijën zoals KPN en Ziggo. Die twee bedrijven domineren de ISP-markt nu, en Tweak is de enige die echt daar beweging in probeert te krijgen.

[Prosje]

Precies, het is de enige provider die niet gedomineerd wordt door reus KPN aan de ene kant en Ziggo aan de andere kant.

Zoals ik al eerder zei, het internet is superstabiel. Telefonie en tv, daar ben ik minder over te spreken, maar is voor mij als power-user ook totaal niet interessant.

(Mijn kinderen en vrouw kijken allemaal alleen maar netflix. de Sparql ontvanger staat al 2 maanden uit.. Ik heb niemand horen klagen )

[Reactie gewijzigd door Prosje op 30 juli 2024 20:32]

[maartenvdezz]

Mag ik vragen waarom TV en telefonie kwalitatief minder is?

[Prosje]

De introductie van het Sparql platform verliep alles behalve soepel. Daarnaast was er toch best wat uitval nadat de migratie had plaatsgevonden. Nu moet ik bekennen dat ik, zoals gezegd, al 2 maanden geen TV meer heb gekeken en het nu dus best stabiel kan zijn.

Telefonie heeft altijd problemen gegeven. We kregen regelmatig berichten ( van mijn ouders bv ) dat men een ingespreks-toon krijgen als ze ons proberen te bellen. Of dat tijdens de gesprekken de verbinding ineens verbreekt.

[Verwijderd]

Klopt het dat ze geen DSL internet only abo's bieden? "Baas over eigen bits" klinkt leuk, maar dat ben ik pas echt als ik helemaal bepaal hoe ik mijn tv/bellen inricht. (Netflix, voip etc). Helaas woon ik in een gebied waar nog geen glasvezel is.

[Peetz0r]

Ja en nee. Ze geven je altijd een telefonie-abbo, maar als je simpelweg niet belt kost het je niks. Je kan natuurlijk ook kiezen om het niet aan te sluiten, dan weet je zeker dat je niet per ongeluk iemand belt. Bij ons thuis hebben we al jaren geen vaste telefoon meer. Nergens voor nodig.

Daarnaast kan je altijd je eigen voip-dienst gebruiken over de internetverbinding. Dit kan gewoon altijd. Je kan zelfs de voip-gegevens van een andere telefonie-provider instellen in de meegeleverde modem/router/switch/accesspoint/telefonieadapter zodat je nog steeds maar 1 apparaat hoeft neer te zetten.

Bovenstaande tekst is van toepassing op zowel glasvezel als dsl.

[Verwijderd]

Ik heb het ook alleen maar gehoord van 2 mensen die daar klant waren, daarom beweer ik het niet glashard. Jouw ervaring trekt dat weer helemaal recht, er is dus geen reden voor Tweakers om mijn tegel als negatief koopadvies voor de diensten van Tweak aan te zien.

[Peetz0r]

Als ik kijk naar de reacties op jouw post zijn die ook nogal gemengd. Best interesant eigenlijk.

Ik lees vooral negatieve dingen over tv/sparql en telefonie en positieve dingen over 'gewoon internet' en ook usenet, statisch ip, 6rd, etc.

Conclusie: iedereen mag z'n eigen beslissing maken. 't is maar net wat jij belangrijk vind.

[Quinto_nl]

Ik heb Tweak en als je met 30MB/s aan het downloaden bent word je best blij. Een speedtest komt structureel op 850mb/s.

De tv van Sparql is wel oké maar niet super. Met name de software is niet gemaakt door liefhebbers. Maar goed, er is altijd wel iets te zeuren. De service bij een kapotte Sparqlbox was overigens wel top.

[DJSmiley]

4Gbit zegt niet veel zonder details te weten. Op zich is 4Gbit niet het probleem, het is meer de opbouw van de pakketjes.

Ik heb zelf ook al wel eens een switch onderuit zien gaan tijdens een ddos op ons eigen netwerk. DDOS was maar 6Gbit (uplinks waren toen iets van 20Gbit) maar toch ging die mooi plat.

En zonder verder details te weten kun je ook niet stellen dat hun netwerk brak is.. Je hebt, zeker bij grotere aantallen klanten, een enorme overboeking. Een jaar of 3 geleden had een netwerk met zo'n 1000 klanten (verdeeld over docsis en ftth, tussen de 20 en 250Mbit per klant) via een kabelaar in Brabant) een uplink van 1Gbit, die nooit >300Mbit kwam..

[mkools24]

Ik heb gameservers gedraaid die constant onder vuur lagen en inderdaad soms was een ddos bijv. 30 gbit met max 500.000 pps en vervolgens kreeg je 5 gbit binnen maar dan was het ineens 5 miljoen pps.

Ook bij een ddos aanval kun je verschillende strategieen inzetten. Bamdbreedte zegt niets over hoeveel pps je switches kunnen verwerken, als die aan hun max zitten is het gewoon klaar.

[NLsandman]

idem, We hebben een bf3 server die van april tot september onder vuur heeft gelegen.
We hebben alle soorten ddos aanvallen gehad, van smal rate attacks, 100mbit met heel veel
pps tot 150 gbit data attack toen we naar nfo verhuisden, niet leuk als je server dan elke
keer voor 4 uur genulled wordt.

Ik krijg ook het gevoel dat dit op een klant van tweakdsl gericht is met iets te veel pps
zodat een groot deel van tweak onderuit ging.

[Soldaatje]

Blijkbaar is die switch dan niet bestand tegen zoveel kleine pakketjes, en de maximale doorvoer wordt dan alleen bij de volle 1500 byte mtu gegeven, vermoed ik.

[Goldwing1973]

Ah, ik dacht eerst dat het een DNS storing was.
IP adressen waren direct wel te benaderen, alleen wel traag.
Hostnames timde out, maar omdat ik zelf een DNS server draai waren alle gecachede resolvs wel bereikbaar.

[Lennyz]

Bij mij lag wel degelijk de hele verbinding eruit. Geen enkel IP adres was bereikbaar.

[tweaktubbie]

Waarom moet ik verdorie altijd van Twitter of Tweakers.net vernemen dat mijn provider ergens last van had? Gooi er eens een mail uit, hoe moeilijk kan het zijn! Weet ik tenminste waarom ik haperende lijn had.

[Arokh]

Geen slapende honden wakker maken. Er zijn mensen die niets gemerkt hebben, dan wil je als provider liever niet dat die er ook achter komen. Meestal is dat de redenatie.

[MenAreStillGood]

Ik heb bijvoorbeeld niks gemerkt en heb de hele avond internet gebruikt.

[tweaktubbie]

Denk het ook ja... Nou, op hun FB en Twitter kom je er wel achter, of later als je het niet merkt, maar ongeacht de oorzaak zou ik gewoon een mail/sms/push-achtige melding willen hebben. Voor electronica die thuis draait zoals bv HomeWizard, of een servertje. Om nou een monitoringservice ergens in te regelen zou niet nodig moeten zijn. Juist van zo'n Tweak die zich als kleine moderne/makkelijke provider wil profileren zou ik iets meer verwachten.

[Quinto_nl]

Je kan gewoon hun Twitter volgen. Daar hebben ze het op gecommuniceerd.

[labmuisfrl]

Omdat vaak mensen het mail adres van hun provider gebruiken? Of misschien lag hun eigen systeem ook volledig plat omdat er geen verkeer mogelijk was.

Maar je hebt het gevonden toch?

[Justin_]

Waarom kiezen mensen voor een kleine provider (serieuze vraag)

Neem aan datzelfde niet in (voor anderen) onbereikbare gebieden opereren?

[Nyarlathotep]

Een all-in one pakket met gigabit up/down voor 55 euro. Dat kan maar in een paar plaatsen in Nederland. Dit was voor mij veel goedkoper dan UPC

[Grrrrrene]

Prijs en service Het is niet alsof je bij een kleine provider vaker storing hebt, sterker nog: ik zit toevallig bij Tweak en heb er tot deze storing nog nooit last van gehad. Bedenk goed dat een grote provider als Ziggo/UPC een high profile doelwit is en Tweak nauwelijks interessant is om aan te vallen. Ik zeg nauwelijks, niet "niet".

[MrNOnamE]

Volgens mij blinkt Tweak nu niet bepaald uit in service. Mijn eigen ervaringen zijn slecht en als ik op internet zoek zijn er veel meer mensen die net als mij denken.

Wat dingen die ik zelf meegemaakt hebt bij Tweak :
- Glasvezel verbinden worden opgeleverd met een oud ADSL modem (dan ga je die 500Mbit natuurlijk nooit halen)
- Tweak is overgestapt op een eigen TV platform. Beeld ging van full HD naar 720P, ontvangers werden warm en liepen meerdere keren per dag vast. Ook werkte veel functies niet. Je mocht toen wel blijven betalen voor een product wat niet werkte.

En het meerst rampzalige is de helpdesk bij Tweak. Als je die belde hoorde je "Het is op dit moment erg druk, om je niet onnodig lang te laten wachten verzoeken we je op een later tijdstip terug te bellen. De verbinding wordt nu verbroken." Heb toen regelmatig 50+ pogingen moeten doen om uberhaubt in de wacht te mogen staan

Geen idee of de slechte bereikbaarheid van de helpdesk opgelost is maar zeker een jaar lang zijn ze niet of extreem slecht bereikbaar geweest.

En dan is die 5 euro extra bij UPC/KPN ineens niet veel meer omdat dan de producten wel werken.

[oef!]

Ik heb ze deze week voor het eerst gebeld en werd binnen 5 minuten geholpen. Ik moet wel zeggen dat dit voor mij de meest problematische provider tot nu toe is, ik moet ongeveer een keer per maand de router aan en uit zetten omdat mijn internets het niet meer doen, had ik eerder nooit en dit is mijn derde glasvezel aanbieder.

[Grrrrrene]

Ik deel je ervaringen niet, al heb ik TV via Ziggo (ik wil geen extra kastje en kabels trekken door het huis om een TV-signaal overal te krijgen). Ik heb de helpdesk een keer nodig gehad (eind van de middag/begin van de avond) en toen waren ze goed bereikbaar. Dat is bij UPC/Ziggo wel anders, dus om te zeggen dat dat "wel gewoon werkt" gaat me te ver. Mijn ouders hebben bij UPC meerdere storingen gehad aan internet, televisie en wij nog nooit.

[bebrand]

GEWOON DE MEEST WAARDELOZE PROVIDER DIE ER BESTAAT.
Glasvezel was perfect maar telefonie hebben ze nooit goed onder controle kunnen krijgen, de door hen geleverde routers waren niet correct in te stellen, Hoe ik dat weet? Ik heb er nog een stuk of 5 liggen, steeds kreeg ik weer een ander type of een nieuwe omdat de telefoon er uit vloog. Op zich is de filosofie achter het bedrijf uitstekend, maar het management deugt van geen kanten. Zolang ze hun tv via Regge Fiber kregen werkte dit ook perfect. De service van hen: veel goedwillende medewerkers maar voor het merendeel volkomen ongeschikt EN ondeskundig. Na enkele jaren ben ik overgestapt, het TV concept werd gewijzigd, klaarblijkelijk doordat KPN het bij Reggefiber het helemaal voor het zeggen kreeg en niet meer wilde leveren aan Tweak. Dus ben ik overgestapt naar Telfort en dat werkt uitstekend. Als is dat natuurlijk ook KPN en moet je je afvragen wanneer deze monopolist (in mijn ogen) ook hier besluit de goede dingen te KPNiseren en DVB-c laten verdwijnen...

[pd0rt]

Kun je me 1 provider opnoemen waarbij je geen negatieve/ontevreden reacties op internet gaat vinden als je gaat zoeken?

[Tri Force]

Tweak schijnt een goed product en services voor een betaalbare prijs aan te bieden plus meer concurrentie is niet verkeerd toch ?

Ben erg benieuwd hoe andere providers op Tweak reageren en waar deze provider naar uitgroeit ^^ gebruik zelf weinig internet en heb al teveel aan Telfort 30MB anders zou ik ook weleens Tweak proberen.

Zeker na deze ddos aanval.. succes Tweak! jullie hebben de interesse gewekt bij deze gluiperds dus probeer hier iets positiefs uit te halen zoals Reclame

[mashell]

Waarom kiezen mensen voor een kleine provider

Omdat ik me er aan erger dat KPN alle internetproviders opkoopt heb ik bewust voor een provider gekozen die niet aan KPN verbonden is. Ik had Concepts, was daar tevreden over maar dat werd helaas ook opgeslokt door KPN, dat werd Telfort en meteen een stuk duurder, dus ben ik overgestapt.

[joepiesaus]

Ik heb nu 1000/1000 Mbit voor 40 euro met gratis usenet

[Ge Someone]

abo is inclusief uitstekende Usenet server.

[Verwijderd]

4gbit/s zou voor een degelijke ISP makkelijk te mitigaten moeten zijn. Imho slechte zaak..

Edit: tevens; al twee weken lang zie je dergelijke 'aanvallen' plaatsvinden maar je gaat alsnog onderuit bij 4gbit/s? Explain?

Edit; verkleining tekst na reactie Mark_88

[Reactie gewijzigd door Verwijderd op 30 juli 2024 20:32]

[Genetai]

Ik heb vooral medelijden met het personeel wat deze kansloze actie weer zo snel mogelijk heeft mogen zien op te oplossen. Zij hadden nu vast ook duurder en beter materiaal gehad maar dat is altijd zo achteraf gezien.

En het is maar een dagje, hebben ze nog netjes snel opgelost toch (beetje positief het weekend in )

[xelnaha]

Ik heb ook gewerkt waar er een paar honderd zakelijke klanten waren. Wij hadden ook maar paar GB aan transit beschikbaar. Doordat meeste klanten helemaal niet zo veel verkeer gebruiken kun je prima overboeken.

Groot verbruikers hadden dan ook een overboeken van 1:1 met een dito maandelijkse rekening ( denk in honderden en duizenden ipv tientjes werk) en dat ging altijd goed.

Ook al heb je nog zoveel bandbreedte, een DDos kun je wijzig tegen doen, al helemaal niet als kleine speler. 10-100g transit is zo goedkoop nog niet en infrastructuur kost een hoop.

[Mark_88]

Dat was verkeer naar een enkele server. Het totaal op alle servers was groter, maar daar heeft Peelen zo gauw even geen cijfer van. Het is dan ook vrijdagavond laat. Ik heb de zin in zijn geheel weggehaald want het leidt duidelijk tot te veel verwarring.

[Umbrah]

Klopt, ziggo is een pruts ISP.

Waar haal je Ziggo uit de tekst hier?

[Reactie gewijzigd door Umbrah op 30 juli 2024 20:32]

[Goldwing1973]

Uhhhhh.??? Ziggo? We hebben het hier over Tweak hoor.

[Juice.]

4Gbps, dat is enorm weinig. Heb zelf netwerken gezien met een totale capaciteit van 200Gbps verdeeld over een aantal servers. Dat een provider (deze is dan wel klein) deze "kleine" aanvallen niet tegen kan houden zegt veel over het netwerk dat ze beheren.

[Reactie gewijzigd door Juice. op 30 juli 2024 20:32]

[TomPlant0]

Lees kleine provider. Maar ben benieuwd wat de totale capaciteit is van het netwerk.

[HaterFrame]

Maar 4Gbps aan hele kleine pakketjes die niet gerouteerd kunnen worden waardoor je apparatuur in war raakt... Dat is het hem nou net. Een constante stroom van 4 gbps aan data zou echt geen probleem zijn, maar doe eens 4 gb/s aan pakketjes van een paar bit die niet af te leveren zijn.

[kmichael]

Waar zie jij 4 Gbps staan?
Ik heb een gigabit verbinding van hun, ik haal altijd de gigabit met bijvoorbeeld usenet of torrents of servers die het aan kunnen.
Ik heb al ruim een jaar een gigabit verbinding.
Een jaar geleden hadden de Area PoP's al een 10gigabit verbinding.

[slijkie]

Dus als er vier klanten in hun eigen netwerk 4 gbit pompen ligt het dus al plat? Ik snap dat dit niet een mega ISP is, maar dat zou je aan moeten kunnen als internet provider. Maargoed er zullen wel vele andere factoren spelen wat in de volgende comments nauwkeurig uitgelegd zal worden.

[kritischelezer]

nee, dit heeft niets te maken met 4 Gb aan data, een ddos werkt anders. Juist niet door hoge constante data te sturen, maar hele kleine of "verkeerde".
https://blog.radware.com/...re-difficult-to-mitigate/

[aadje93]

DDOS kent vele mogelijkheden, één daarvan is ook gewoon "veel" data versturen, echter is de groote nu verschoven naar aantal (ontzettend veel kleine pakketjes ipv enkele grote met amplification attacks). Hierdoor gaat een router met enkele gigabits al door zijn knietjes. Bij non-consumer spul word al niet meer in gbits maar in PPS (packets per second) geadverteerd gezien dat veel belangrijker geworden is bij routers en switches.

DDOS kan ook gewoon constante data (LOIC? anyone?) zijn echter is dat zeer makkelijk af te wenden gezien het een herkenbaar patroon/source heeft. Door botnets (met dus vele source ip's) en vele kleine pakketjes zal een router wel echt gaan zweten gezien hij moeilijk kan detecteren of het legitiem of DDOS verkeer betreft.

Wat ik echter wel merk, vaak word een configuratie foutje oid gelijk op een DDOS aanval afgewend. DDOS op een nameserver lijkt me namelijk niet echt logisch (ziggo), gewoon enkele servers te weinig aan hebben tijdens onderhoud lijkt me een logischere verklaring waardoor load balancing niet meer lekker werkt.

[Van der Berg]

Dat is vervelend! Dat dit wordt gedaan