CDN : Content Delivery Network
Réseau
CDN : Content Delivery Network. « Réseau de distribution de contenu », par analogie avec les entrepôts régionaux d'une enseigne, qui évitent de faire venir chaque colis depuis l'usine.
Principe : Des serveurs répartis dans de nombreux points de présence gardent en cache des copies des contenus et répondent depuis le site le plus proche de l'utilisateur. Le serveur d'origine ne voit plus qu'une fraction du trafic.
Aiguillage : Le choix du nœud passe par le DNS, par l'anycast annoncé en BGP, ou par les deux. L'utilisateur croit parler au site ; il parle à un voisin qui en a gardé la photocopie.
Confiance déléguée : Pour servir du HTTPS, le CDN termine la session TLS et détient donc un certificat et une clé au nom du site. On lui confie ses secrets comme on confie ses clés au gardien de l'immeuble : par commodité, et avec la foi touchante de ceux qui n'ont jamais lu un contrat jusqu'au bout.
Bouclier : Sa capacité absorbe une bonne part des attaques par déni de service distribué, et beaucoup d'offres embarquent un WAF. Encore faut-il que l'origine ne reste pas joignable en direct, sans quoi le bouclier protège une porte que personne n'emprunte.
Ce qui arrive si on s'en passe
Sans réseau de distribution de contenu, le serveur d'origine encaisse seul tout le trafic légitime et toute l'attaque : une inondation par déni de service distribué vise directement son lien et ses ressources, et un simple pic d'audience peut suffire à le rendre indisponible. Son adresse est publique, donc la protection se limite à ce que fournit l'hébergeur. Un réseau de distribution mal configuré n'apporte d'ailleurs pas ce bénéfice si l'origine reste accessible en direct : l'accès à l'origine doit alors être restreint aux seules adresses du fournisseur. Enfin, ce réseau terminant le chiffrement, le tronçon entre lui et l'origine doit lui aussi être chiffré et authentifié, faute de quoi le trafic y circule en clair.
Explication de la marmotte
Quand on regarde une vidéo ou qu'on ouvre un site très connu, les fichiers ne viennent pas forcément de l'autre bout du monde. Des copies sont rangées à l'avance dans des ordinateurs installés un peu partout, près des gens. On reçoit donc la copie la plus proche, ce qui va plus vite et évite d'embouteiller l'ordinateur principal du site. C'est comme une chaîne de boulangeries : au lieu que tout le monde fasse la queue devant le fournil central, chaque quartier a sa boutique, livrée le matin.
Où ce terme est utilisé
- Attaque cache deception CDN et contre-mesures (16 occurrences)
- QUIC, HTTP moderne, TLS et proxys applicatifs (14 occurrences)
- Cloud networking, VPC/VNet, CDN et équilibrage (7 occurrences)
- Suivre un flux de bout en bout (6 occurrences)
- Cross-site scripting (XSS) : mécanisme, variantes et défenses (4 occurrences)
- Edge, MEC, Fog, Cloud-RAN et infrastructures distribuées (4 occurrences)
- Performance, QoS, capacité et sobriété énergétique (4 occurrences)
- Mettre en place un rate limiting anti-DDoS L7 (3 occurrences)
- BGP, Internet, anycast et sécurité des annonces (2 occurrences)
- Défendre un DDoS volumétrique et applicatif (2 occurrences)