Cero paquetes de ataque llegan a tu servidor.
Webs, DNS, correo, acceso remoto, juegos o tu red entera. Filtramos en una red anycast con nodos en Argentina, Chile, Brasil, Miami y Dallas, con un perfil para cada servicio: el ataque se descarta cerca de donde nace y te llega solo lo legítimo.
Un servicio de inetHost · red propia AS266777
Argentina, Chile, Brasil, Miami y Dallas, todos anunciando tus IPs a la vez.
Medimos cada IP en el borde de la red, segundo a segundo.
Los filtros corren en XDP, antes de que el paquete toque el sistema.
Anunciamos y desviamos con nuestro ASN, sin esperar a un tercero.
Cada servicio tiene su filtro.
Un ataque a una web no se frena igual que uno a un DNS o a un SSH. Cada puerto que protegemos lleva el perfil de lo que corre ahí: sabe cómo habla ese protocolo y deja pasar solo lo que habla así.
Web y APIs
Páginas, tiendas, paneles y APIs. Abajo, en la placa, frenamos lo volumétrico; arriba, miramos pedido por pedido, que es donde un ataque a una web hace daño de verdad.
Pasa
- Navegadores y clientes que completan la conexión
- Tu CDN adelante: si usás Cloudflare, sus rangos pasan
- Descargas y subidas grandes, sin cortes
Se descarta
- Floods de SYN y conexiones a medio abrir
- Floods de pedidos válidos: tope de pedidos por segundo por origen
- Slowloris y conexiones que nunca terminan
- Métodos raros y bots
En HTTPS, para mirar cada pedido terminamos el TLS en el nodo con tu certificado. Sin certificado, filtramos por conexión y el contenido pasa cifrado.
DNS
Tu servidor autoritativo o tus resolvers. Cada paquete se lee contra el formato de DNS: lo que no es una consulta bien armada, no llega.
Pasa
- Consultas bien armadas, de una pregunta
- Resolvers reales aunque haya ataque: les pedimos que repitan por TCP y el que lo hace, pasa
- Tus secundarios y resolvers conocidos, en lista
Se descarta
- Respuestas que nadie pidió (la reflexión contra vos)
- Consultas ANY y paquetes mal armados
- Nombres malformados
- Más de 1.000 consultas por segundo de un mismo origen
Acceso remoto
Para administrar tus servidores sin dejarle el puerto a cualquiera. Para tocarlo hay que hablar el protocolo desde el primer paquete.
Pasa
- Clientes que hablan SSH o RDP de verdad
- Tu sesión, aunque haya ataque: una vez adentro, fluye
- Tus IPs fijas, en lista blanca
Se descarta
- TCP con basura: sin la firma del protocolo, no toca el puerto
- Más de 10 conexiones nuevas por segundo de un origen en SSH, más de 4 en RDP
- Todo el resto del mundo, si cerrás el puerto y dejás solo tu lista
Correo y TCP propio
Correo, bases de datos, APIs propias y cualquier servicio TCP sin perfil propio. Limitamos la apertura de conexiones, no los paquetes: lo que pasa adentro de una conexión, fluye.
Pasa
- Conexiones completas, con tráfico libre adentro
- Transferencias grandes sin cortes
- Clientes que reintentan, aunque haya ataque
Se descarta
- SYN falsificado: contestamos por vos y solo pasa el que completa la conexión
- Más de 20 conexiones nuevas por segundo de un mismo origen
- Con seguimiento de conexiones: todo ACK, RST o FIN que no es de una conexión abierta
UDP propio
Telefonía, VPN, streaming y protocolos de tu aplicación. Arranca con techo por origen; si nos contás cómo es tu protocolo, filtramos también por su forma.
Pasa
- El tráfico de tus usuarios, con techo por origen
- Los paquetes con la forma de tu protocolo: el largo y los primeros bytes que nos indicás
Se descarta
- UDP vacío y reflexión de DNS, NTP, memcached y compañía
- Más de 5.000 paquetes por segundo de un mismo origen
- Lo que no tiene el largo o la firma de tu protocolo, cuando la cargamos
Juegos
Perfiles por juego que validan el ingreso del jugador, no solo el volumen. Un flood con la forma del juego no alcanza: hay que completar el ingreso.
Pasa
- Jugadores que completan el ingreso al servidor
- Los que ya están jugando, aunque el ataque siga
- Las consultas de la lista de servidores, con tope
Se descarta
- Lo que no es del juego en el puerto del juego
- Ingresos falsos que no completan el saludo
- Floods de consultas de estado
Abonados de un ISP
Para redes con abonados: el ataque a uno no deja sin internet al resto, y al atacado le cerramos solo lo que le están pegando.
Pasa
- Navegación, video y juegos de los abonados, como siempre
- Las respuestas a lo que el abonado pidió
- Con CGNAT: un ataque a una IP compartida no tira a todos los que la usan
Se descarta
- El IP:puerto atacado, mientras dura el ataque, y nada más
- Reflexión y amplificación hacia el bloque
¿Tu servicio no está? Entra con el perfil genérico de TCP o UDP y, mirando el tráfico real, le sumamos la firma de tu protocolo. Además detectamos solos qué corre en cada puerto y te proponemos el perfil.
Bloqueo por país
Dejás entrar solo de los países o regiones que te interesan.
Listas blancas y negras
Por IP, por red y por puerto. Tus IPs pasan siempre.
Reglas por puerto
Hasta el puerto exacto: abierto, con perfil o cerrado.
Límite por conexión
Ningún origen se lleva todo: el que se pasa, queda afuera.
Control de ICMP
Ping permitido, limitado o cerrado, por IP.
API
Reglas, listas y ataques, desde tu sistema.
El ataque se frena cerca de donde nace.
Nuestra red es anycast: los cinco nodos anuncian tus IPs protegidas al mismo tiempo, e internet lleva cada paquete al nodo más cercano a su origen. Un ataque que sale de Estados Unidos se descarta en Miami o Dallas; uno que sale de Brasil, en Brasil. Ninguno viaja hasta tu servidor y ningún nodo carga con todo: el ataque se mitiga repartido. Probá el mismo ataque sin anycast.
Argentina
Un filtro en cada POP. El ataque se frena en el punto por donde entra al país.
Presencia · cruzada o IXChile
Frena lo que nace del otro lado de la cordillera y en el Pacífico sur, antes de que cruce.
Presencia · cruzada o IXBrasil
El ataque que sale de Brasil se descarta en Brasil y no viaja hasta tu servidor.
Presencia · cruzada o IXMiami
Recibe lo que llega desde la costa este de Norteamérica y desde Europa, antes de que baje al sur.
Presencia · cruzada o IXDallas
Cubre el centro y el oeste de Estados Unidos y lo que entra desde Asia por el Pacífico.
Presencia · cruzada o IXEstamos adentro de cada POP.
En cada uno de estos puntos tenemos presencia física. Si tu red también está ahí, te conectás directo con nosotros, sin pasar por internet, y lo que entra por ese punto se filtra ahí mismo.
Detectar, desviar, filtrar, entregar.
Desde que empieza el ataque hasta que a tu servidor le llega solo lo legítimo. Con la protección siempre activa, el tráfico ya pasa por el filtro y el desvío no hace falta.
Vemos el ataque en el borde
Medimos el tráfico de cada IP segundo a segundo y comparamos contra lo normal de esa IP.
en segundosAnunciamos la IP desde los 5 nodos
La IP o el prefijo atacado pasa a la red anycast por BGP: el ataque se reparte entre todos.
automáticoCapas de filtros en la placa
Firmas de ataque, el perfil de cada servicio y límites por origen, en XDP.
microsegundosTe llega lo legítimo
Te devolvemos el tráfico limpio por nuestra red o por un túnel GRE hasta tu equipo.
siempreLo que nunca es legítimo
Fragmentos sueltos, puertos cero, paquetes mal armados y orígenes imposibles.
Reflexión y amplificación
Respuestas de DNS, NTP, memcached y compañía que nadie pidió.
El perfil de tu servicio
El filtro sabe cómo habla lo que corre en cada puerto, sea una web, un DNS, un SSH o un juego: lo que no habla así, no pasa.
Límites por origen y por conexión
Ningún origen puede llevarse todo: el que se pasa, queda afuera; los demás siguen.
Desde una IP hasta tu red entera.
El mismo filtro en todos los casos: en nuestra red o en una caja en tu propio datacenter. Cambia qué entra por PacketZero y cómo te devolvemos el tráfico limpio. Contanos qué tenés y te pasamos una cotización.
IP protegida
Tu servidor con IPs nuestras, que ya entran por la red anycast. No hay nada que configurar de tu lado.
- Un perfil por puerto
- Reglas y listas desde el panel
- Siempre en el filtro
Túnel GRE + BGP
Anunciamos tu prefijo desde los cinco nodos y te devolvemos el tráfico limpio por un túnel GRE, estés donde estés.
- Tu /24 o más, con tu ASN o el nuestro
- Un túnel por router de borde
- Desvío automático o permanente
Cruzada o IX
Si tu red está en alguno de nuestros POP, te conectás con una cruzada o por el IX y te entregamos limpio ahí mismo, sin túnel por internet.
- CABASE, Cirion, Telxius, PIT Chile, PIT Perú, Equinix São Paulo, IX.br, FL-IX, DE-CIX Dallas y DFW-IX
- Lo que entra por ahí también se filtra
- Para ISPs: modo abonados, compatible con CGNAT
Reventa
Protegé tu infraestructura y la de cada cliente tuyo, con su propio acceso.
- Un portal por cliente: sus IPs, sus ataques, sus reglas
- API para dar de alta desde tu sistema
- Módulo para WHMCS
Siempre activa
Tu tráfico pasa por el filtro todo el tiempo. No hay desvío ni segundos de espera: el ataque se encuentra con el filtro ya puesto.
Por demanda
Tu tráfico va directo y lo medimos en el borde. Cuando empieza un ataque desviamos la IP o el prefijo a la red anycast en segundos, y cuando termina, vuelve.
La caja PacketZero, en tu rack.
Instalamos un equipo PacketZero en línea con tus enlaces, dentro de tu datacenter. Corre los mismos filtros y perfiles que la red y mitiga ahí mismo, en tu sala: el tráfico no sale a ningún lado para limpiarse.
- 01Mitigación localTodos los ataques se frenan en tu sala, sin desvío y sin sumar latencia.
- 02Los mismos perfiles y el mismo panelWeb, DNS, SSH, juegos, abonados: lo que corre en la red corre en tu caja, y lo ves y lo ajustás desde el mismo panel.
- 03La operamos nosotrosMonitoreo, actualizaciones y ajustes de filtros a cargo de nuestro equipo.
- 04Con la red de respaldoSi un ataque es más grande que tu enlace, lo desviamos a la red anycast y te llega limpio igual.
Ves cada ataque, no una caja negra.
- 01Qué fueProtocolo, a qué puertos, desde qué puertos y de qué países y redes vino.
- 02Cuánto frenamosLo que llegó, lo que descartamos y lo que te entregamos, minuto a minuto.
- 03Tus reglas, al instanteSumás un puerto, cambiás un perfil, bloqueás un país o agregás una IP a la lista blanca, y rige en los cinco nodos.
- 04Un informe por ataquePara mandarle a tu cliente o guardarlo.
Lo que nos preguntan antes de contratar.
¿Agrega latencia?
El filtrado en sí agrega microsegundos. Lo que puede cambiar es el camino, y para eso es anycast: el tráfico entra por el nodo más cercano a su origen. Para tus usuarios de Argentina, el filtro está en Argentina; para los de Chile o Brasil, en su país.
¿Mis usuarios se dan cuenta del ataque?
La idea es que no. El perfil de cada servicio deja pasar a quien habla como un cliente real, sea un navegador, un resolver, un cliente de correo o un jugador, aunque el ataque siga. Si algo legítimo se frena, lo ves en el panel y lo ajustamos.
¿Protegen webs con HTTPS?
Sí, de dos formas. Con tu certificado terminamos el TLS en el nodo y miramos pedido por pedido: floods de pedidos, slowloris, bots. Sin certificado, filtramos por conexión y el contenido viaja cifrado hasta vos. Si ya tenés Cloudflare adelante, dejamos pasar sus rangos.
¿Y si mi servicio no está en la lista de perfiles?
Entra con el perfil genérico de TCP o de UDP, con límites por origen y por conexión. Mirando el tráfico real le sumamos la firma de tu protocolo, para que solo pase lo que tiene su forma.
¿Puedo tener PacketZero en mi propio datacenter?
Sí. Instalamos la caja PacketZero en línea con tus enlaces y mitiga ahí mismo, con los mismos perfiles y el mismo panel que la red. La operamos nosotros y, si un ataque supera tu enlace, lo desviamos a la red anycast.
¿Lo puedo revender a mis clientes?
Sí. Cada cliente tuyo tiene su acceso al portal, donde ve solo sus IPs, sus ataques y sus reglas. Hay API para darlos de alta desde tu sistema y un módulo para WHMCS.
¿Qué tengo que cambiar en mi servidor?
Para una IP nuestra, nada. Para tu propio prefijo, armamos el anuncio por BGP y la entrega por túnel GRE o, si estás en uno de nuestros POP, por una cruzada o el IX; te acompañamos en la configuración.
¿Qué pasa con un ataque muy grande?
Se reparte entre los cinco nodos, cada uno frena su parte. Lo más grande lo frena el borde de la red antes de llegar a los filtros. En el panel ves cuánto llegó y dónde se frenó.
¿Siempre en el filtro o solo cuando hay ataque?
Las dos. Siempre activa: tu tráfico pasa por el filtro todo el tiempo, sin desvío. Por demanda: detectamos el ataque y desviamos la IP en segundos. Te recomendamos según tu servicio.
¿Cómo se contrata?
Completás el formulario de abajo con lo que querés proteger y te mandamos una cotización. Con el alta tenés acceso al panel.
Contanos qué querés proteger.
Con estos datos armamos la propuesta: qué entra por PacketZero, con qué perfil y cómo te devolvemos el tráfico. Te respondemos por correo.