NBIP werkt hard aan een “distributed network architecture” die in zoveel mogelijk Europese landen beschikbaar is. Bij de NaWas kun je een overzicht opvragen met alle beschikbare locaties. Binnenkort is de distributed network architecture ook buiten Europa actief. 

Alle partijen met een eigen AS-nummer kunnen zich aansluiten bij de NaWas.

Om aan te sluiten op de NaWas moet bij een van de volgende partijen een poort beschikbaar zijn: AMS-IX, ERA-IX (Amsterdam/Frankfurt/Wenen), NL-ix, LINX, Top-IX, MIX, VIX. Met een cloud interconnect van DCspine of Equinix Fabric kun je ook aansluiten op de NaWas. 

Heb je geen poort bij een van de aangesloten Internet Exchanges? Dan kan NaWas het schone verkeer via een GRE tunnel terugleveren. 

NaWas is onderdeel van NBIP; een non-profit stichting die is opgericht door de internetgemeenschap en technische vakspecialisten. Dit betekent dat de werking en aansluiting gemakkelijk door de doelgroep te begrijpen zijn. Het doel is om het internet veiliger te maken. Door je aan te sluiten bij de NaWas maakt u het internet een stukje veiliger. 

NaWas participeert in meerdere initiatieven, zoals bijvoorbeeld de Anti-DDoS-Coalitie en deelt kennis met eigen deelnemers en meerdere universiteiten, zoals de Universiteit Twente (UT). Daarnaast levert NaWas ook een bijdrage aan de ontwikkeling van non-profit instituten als het DDoS ClearingHouse. 

De NaWas infrastructuur is ontwikkeld als een on-demand service. Na detectie van een aanval wordt het verkeer via BGP naar de hardware van NaWas geleid en daarna start het mitigatieproces. We leiden het verkeer om via onze eigen verbindingen. Dat betekent dat u zelf niet hoeft te investeren in extra capaciteit, waardoor u kosten zult besparen. Na de aanval wordt het verkeer weer teruggeleid, zodat het niet meer via de NaWas loopt. De NaWas hoeft hierdoor alleen ingericht te worden op basis van aanvalsverkeer, waardoor de kosten laag blijven. Momenteel onderzoekt NaWas de mogelijkheden van het aanbieden van een always-on oplossing.

Het mitigeren start direct tot enkele minuten na het omleiden. Er treedt geen of nagenoeg geen packet loss op.

Het detecteren van aanvallen kan handmatig of via een automatische tool plaatsvinden. NaWas adviseert tooling te installeren omdat aanvallen 24 uur per dag plaatsvinden. NaWas heeft goede kennis van tooling van Fastnetmon en GENIE ATM en kan helpen bij het leveren en implementeren van detectie tooling

Via het contactformulier op de website, via een email naar bureau@nbip.nl of bij een direct aanval middels een mail naar support@nbip.nl om direct deelnemer te worden.

NaWas behoort tot de grootste anti-DDoS-scrubbingcenters van Europa. Maar belangrijker is hoe groot en talrijk de connecties van onze deelnemers en het netwerk zijn. Dit bepaalt namelijk hoe efficiënt NaWas de aanvallen kan verwerken.

NaWas beschikt over drie mitigatie platforms waarvan twee in een redundante set-up in Amsterdam en een in Denemarken. NaWas werkt aan een “distributed – architectuur” waarbij het verkeer mondiaal kan worden gemitigeerd.

Afgezet tegen het OSI-model kan NaWas DDoS-verkeer op alle lagen mitigeren. Laag 7 (application layer) zal NaWas mitigeren op basis van header fields en niet door (deep) packet inspection.

NaWas gebruikt een multi-vendor set-up waarbij meerdere Triple A vendor devices in lijn (trechter) staan opgesteld. De werking is vergelijkbaar met een carwash, waarbij meerdere apparaten achter elkaar eerst het ruwe deel en later de kleinere delen wassen, dus ontdoen van aanvalsverkeer. NaWas innoveert de anti-DDoS-oplossing voortdurend en past steeds de meest effectieve en nieuwste technieken toe.

Het prijsmodel bestaat uit een flat-fee model. De prijs wordt bepaald door het aantal prefixen (gebaseerd op /24) dat u wil beschermen. U betaalt iets meer voor grotere aantallen. De prijzen worden gefactureerd op maand,- kwartaal- of jaarbasis.

Naast de fee voor NaWas betaalt u een kleine maandelijkse bijdrage voor het NBIP-lidmaatschap en een eenmalige bijdrage voor de set-up. Vanwege het non-profit karakter van de diensten zijn de kosten laag in vergelijking met vergelijkbare services van andere aanbieders.

NaWas heeft een BGP-sessie met de deelnemers aan de schone kant (met IXP’s) op een privé VLAN. Een lid kan een specifiek prefix of / 24 omleiden door die prefix op de NaWas BGP-sessie te adverteren. NaWas adverteert de prefix op onze upstreams (transits & peering). Dus de trigger voor redirecting wordt handmatig of geautomatiseerd door de deelnemers gedaan.

Na het ontvangen van een prefix of het ontvangen van een nieuwe DDoS-aanval op een bestaande prefix, ontvangt het ondersteuningsteam van NaWas een melding van het event. Het ondersteuningsteam controleert of de aanval goed genoeg wordt gemitigeerd en of aanpassing noodzakelijk is. Als de aanval voorbij is, ontvangt het lid een e-mail met een rapport over de details van de aanval.

Als een aanval langer duurt, dan verstuurt NaWas een tussenrapport. Deelnemers kunnen op de portal het rapport inzien.

Ja, kleiner dan een /24 wordt door het internet niet geaccepteerd. Er wordt echter gewerkt aan een architectuur op basis van een /32 set-up die naast de /24 gebruikt kan worden. 

In principe is er geen packet loss. Partijen die de more specific nog niet kennen volgen de lesser specific. Het leren van de more specific gaat overigens heel snel en dat is binnen enkele seconden.

Hoe meer partijen de more specific kennen, hoe meer het aanvalsverkeer verdwijnt. We gaan ervan uit dat er nog wel steeds schoon verkeer doorheen gaat. Verder hangt het heel erg van het type aanval af in hoeverre de mitigatiesystemen het foute verkeer gelijk kunnen verminderen. De meeste aanvallen worden gelijk gemitigeerd. In sommige gevallen kan het enkele seconden duren.

In enkele gevallen kan een deel van het aanvalsverkeer onder een bepaalde drempelwaarde alsnog worden doorgelaten. Mocht dat het geval zijn, dan is het advies om zo snel mogelijk contact met NaWas op te nemen als het restverkeer overlast veroorzaakt. Na adverteren zal binnen een seconde het verkeer via de NaWas lopen en kan het enkele seconden duren voor het hele internet de route kent.