Wprowadzenie

Przewodnik po panelu klienta i referencja REST API usługi tranzytu IP z ochroną przed atakami DDoS.

Działanie ochrony

Klient ogłasza nam prefiksy w sesji BGP, a ruch z internetu do tych prefiksów przekazujemy na jego port. System wykrywania mierzy ruch do każdego adresu w chronionych prefiksach i porównuje go z progami dla klas ruchu oraz z profilem ruchu konta.

Po wykryciu ataku system wykrywania kieruje ruch atakowanych prefiksów na system oczyszczający. Ten odrzuca ruch ataku, a ruch prawidłowy przekazuje do sieci klienta.

Ochrona obejmuje każdy zweryfikowany prefiks i działa stale, bez włączania na czas ataku.

Wymagania

Usługa wymaga:

• własnego numeru AS,
• prefiksów IPv4 o długości do /24 włącznie, ogłaszanych do nas w sesji BGP,
• obiektów route na te prefiksy pod numerem AS albo AS-SET-em konta, w bazie IRR jednego z RIR-ów.

Weryfikację prefiksów w RPKI i IRR opisuje rozdział Prefiksy i weryfikacja.

Role w koncie

Pierwsze kroki

Od założenia konta do pierwszego chronionego prefiksu.

1. Załóż kontoFormularz rejestracji pyta o dane rejestrowe firmy, osobę reprezentującą firmę, adres e-mail i hasło. Na podany adres wysyłamy link potwierdzający, ważny przez dobę. Do potwierdzenia adresu logowanie jest zablokowane.
2. Złóż zamówienieKreator na ekranie Zamówienie prowadzi przez kroki Styk, Okres, Taryfa, Sieć i Podsumowanie. Na krokach przed podsumowaniem karta Twoje zamówienie po prawej podaje cenę, gdy tylko da się ją policzyć. W kroku Sieć podajesz numer AS i AS-SET. Prefiksy można zaznaczyć na liście pobranej z IRR dla tego numeru, ale nie jest to wymagane. Do podpisania umowy każdą odpowiedź można zmienić.
3. Podpisz umowęPrzycisk Wystaw umowę do podpisu w podsumowaniu kreatora wystawia Umowę z Zamówieniem w PDF. Zamówienie zawiera numer AS i określa pulę chronioną regułą: prefiksy IPv4 do /24 włącznie, ogłaszane do nas przez BGP, objęte obiektami route pod AS-SET-em albo numerem AS i zgodne z ROA. Prefiksy znane w dniu wystawienia Zamówienie wypisuje jako stan na ten dzień. Umowa zawiera oświadczenie o prawie do posługiwania się numerem AS. Podpisany egzemplarz wgrywasz na ekranie Zamówienie, w karcie Dokumenty, jako PDF albo zdjęcie, do 16 MB.
4. KontrasygnataOdczytujemy z dokumentu numer AS i datę podpisu, kontrasygnujemy umowę i ustalamy dzień uruchomienia usługi. Od kontrasygnaty numer AS konta jest potwierdzony, a od dnia uruchomienia liczą się okresy rozliczeniowe.
5. Ogłoś prefiksyPrefiksy ogłoszone w sesji BGP pojawiają się w panelu, a zweryfikowane w RPKI albo w IRR obejmujemy ochroną. Zasady opisuje rozdział Prefiksy i weryfikacja.

LOA dla numeru AS

Przy zamówieniu wystarcza oświadczenie o numerze AS zawarte w umowie. Dokument LOA dostarczasz wyłącznie na nasze żądanie, zgodnie z umową.

Konto bez umowy

Samo konto nie uruchamia ochrony ani naliczania opłat. Dopóki umowa nie jest w mocy, nad ekranami panelu stoi pasek ze stanem zamówienia i odnośnikiem do ekranu Zamówienie.

Pytania przed zamówieniem

Pytania o ofertę, styk albo warunki umowy przyjmujemy przez formularz kontaktowy.

Przewodnik po panelu

Układ panelu klienta i jego ekrany w kolejności menu bocznego.

Pasek boczny

Menu ma trzy grupy:

• Przegląd: Pulpit, Historia ataków, Analiza ruchu, Raporty,
• Ochrona: Prefiksy, Alerty, Bezpieczeństwo, Webhooki,
• Konto: Zamówienie, Rozliczenia, Dane firmy, API i użytkownicy.

Pozycję Dane firmy widzi wyłącznie właściciel konta. W trakcie ataku przy Historii ataków stoi liczba trwających ataków.

Przycisk Zwiń menu zwija pasek do samych ikon, a ten sam przycisk rozwija go z powrotem. Przy zwiniętym pasku nazwa pozycji pojawia się po najechaniu na ikonę, a liczba trwających ataków stoi na ikonie historii. Przeglądarka zapamiętuje ten wybór.

Na dole paska stoją login i rola zalogowanej osoby z przyciskiem wylogowania. Przy zwiniętym pasku konto jest awatarem z inicjałami, który otwiera menu z wylogowaniem.

Górny pasek

Prawa strona górnego paska dotyczy całego konta:

• Trwa atak albo Trwają 2 ataki, wyłącznie w trakcie ataku. Kliknięcie otwiera historię ataków. Na pulpicie i w historii ataków tej pozycji nie ma, bo trwające ataki stoją tam na górze treści.
• Stan ochrony: Ochrona włączona, gdy ochrona obejmuje wszystkie prefiksy, Pod ochroną 2 z 4 prefiksów, gdy obejmuje część, Ochrona nie obejmuje żadnego prefiksu albo Brak prefiksów. Liczą się wyłącznie prefiksy z potwierdzoną ochroną. Kliknięcie otwiera ekran Prefiksy.
• Saldo rozliczeniowe: kliknięcie otwiera okno z saldem, jego oceną (W normie albo Niskie), obciążeniami z ostatnich 30 dni i progiem ostrzeżenia. Płatność online nie jest dostępna, należność opłaca się przelewem na rachunek z faktury.

Na ekranie drugiego poziomu lewa strona paska podaje ścieżkę, na przykład Historia ataków / Szczegóły ataku na stronie ataku.

Nad treścią ekranu stoi pasek stanu usługi, gdy umowa nie jest w mocy, i pasek zaległości z saldem, gdy za brak wpłaty grozi wyłączenie ochrony albo ochrona jest już wyłączona. Przy działającej usłudze bez zaległości żadnego z nich nie ma.

Budowa ekranu

Każdy ekran zaczyna się tytułem i linią faktów pod nim, na przykład numerem AS, AS-SET-em i portem na pulpicie. Przełącznik zakresu czasu i przycisk głównej czynności stoją po prawej stronie tytułu, a gdy się tam nie mieszczą, pod linią faktów. Wiersz ze strzałką na końcu otwiera po kliknięciu szczegóły albo rozwija się w miejscu.

Na telefonie pasek boczny otwiera się przyciskiem menu w lewym górnym rogu. Górny pasek pokazuje wtedy liczbę trwających ataków i saldo, a tabele zamieniają się w listy, w których każdy wiersz jest blokiem z podpisanymi wartościami.

Pulpit

Linia faktów podaje numer AS, AS-SET i port konta. Przełącznik 24 godz., 7 dni i 30 dni zmienia okres wykresów oraz kafli Przesłane i Szczyt przychodzący.

W trakcie ataku na górze stoi czerwona karta trwających ataków. Jeden wiersz to jeden atakowany prefiks albo adres: czas trwania, etap ataku, klasy ruchu, natężenie w tej chwili (Teraz) i najwyższe od początku ataku (Szczyt), w bitach i w pakietach na sekundę. Nagłówek karty podaje wiek odczytu. Kliknięcie wiersza otwiera stronę ataku. Etapy opisuje rozdział Ataki i raporty.

Wykresy Ruch na porcie i Pakiety pokazują port konta w obu kierunkach, przychodzącym i wychodzącym, w bitach i w pakietach na sekundę. Dane pochodzą z liczników interfejsu na naszym routerze. Przy taryfie percentylowej są podstawą rachunku, a wykres ruchu ma linię zobowiązania i linię 95. percentyla bieżącego okresu. Czerwone pasy oznaczają czas ataków. Pod wykresem stoją wartości z punktu wskazanego kursorem, a bez kursora z ostatniego odczytu.

Gdy port nie jest mierzony, linia wykresu biegnie po zerze, a podpis karty podaje stan: Port nieprzypisany albo Brak odczytu z portu. Kreska w miejscu liczby oznacza brak odczytu.

Karta Rozliczenia podaje taryfę, saldo rozliczeniowe i bieżący okres z dniem okresu i datą zamknięcia. Przy taryfie percentylowej pokazuje 95. percentyl do tej chwili na tle zobowiązania i portu, opłatę za zobowiązanie i prognozowaną nadwyżkę, a przy stałej opłacie opłatę za okres i termin płatności. Niżej są trzy ostatnie pozycje rozliczeń, obciążenia i wpłaty, w kwotach brutto, z odnośnikiem do wszystkich pozycji.

Historia ataków

Przełącznik 7 dni, 30 dni i 90 dni wybiera okres. Nad historią stoi karta trwających ataków, taka sama jak na pulpicie.

Karta podsumowania podaje liczbę ataków w okresie z liczbą prefiksów i dób, największy szczyt z datą i prefiksem oraz łączny czas ataków z czasem najdłuższego. Pod liczbami stoi wykres największego szczytu: przy 30 i 90 dniach słupek to doba, a przy 7 dniach sześć godzin. Kliknięcie słupka otwiera największy atak z tego przedziału.

Tabela Zdarzenia wymienia ataki od najnowszego. Jeden wiersz to jeden atak na jeden prefiks: stan (Trwa albo Zakończony), prefiks, klasy ruchu, początek, czas trwania i szczyt w bitach i w pakietach na sekundę. Pasek obok pakietów na sekundę porównuje szczyt z największym szczytem w okresie. Wiersz trwającego ataku ma czerwoną kreskę z lewej strony i różowe tło. Kliknięcie wiersza otwiera stronę ataku, opisaną w rozdziale Ataki i raporty.

Analiza ruchu

Ekran pokazuje ruch prefiksów konta według strony zdalnej. Dane pochodzą z próbek sFlow z naszych routerów brzegowych, więc wartości są szacunkowe. Próbki przypisujemy wyłącznie do zweryfikowanych prefiksów. Ruch rozliczany jest mierzony na porcie i pokazuje go pulpit.

Przełącznik zakresu obejmuje 15 minut, 1, 6 i 24 godziny oraz 7 dni, a przełącznik kierunku ruch przychodzący i wychodzący. Pole wyszukiwania zawęża ekran do adresu IP, prefiksu, AS, kraju, miasta albo portu. Aktywne filtry stoją pod polem, każdy z przyciskiem usunięcia, a przy kilku także Wyczyść filtry. Filtry łączą się ze sobą. Ekran odświeża się co 10 sekund.

Pod kaflami ruchu, pakietów na sekundę, liczby krajów i liczby systemów autonomicznych stoją karty:

• Geolokalizacja: mapa krajów i miast z przełącznikiem Europa, Ameryki, Azja i Świat,
• Lokalizacje: kraje albo miasta z ruchem i udziałem,
• Ruch w czasie: oba kierunki w bitach na sekundę, z pasami ataków,
• Protokoły i porty: usługi według protokołu i portu,
• Systemy autonomiczne i Adresy w Twojej sieci, z ruchem i udziałem,
• Przepływy: źródło i cel z portami, protokół z flagami TCP, AS, lokalizacja, ruch i pakiety, w zestawieniu 20, 50, 100 albo 200 pozycji.

Przepływy przechowujemy przez 7 dni.

Raporty

Ekran zestawia ataki z 7, 30 albo 90 dni, a po wybraniu Inny z dowolnej liczby dni od 1 do 365. Kafle podają liczbę ataków, w tym trwających, łączny czas pod atakiem, największy szczyt z datą i prefiksem oraz najczęstszą klasę ruchu. Pod nimi stoją karty:

• Godziny ataków: łączny czas pod atakiem w każdej godzinie doby, w czasie lokalnym,
• Prefiksy: liczba ataków, czas pod atakiem i największy szczyt dla każdego prefiksu,
• Klasy ruchu: liczba ataków z daną klasą i największy szczyt,
• Najnowsze zdarzenia: pięć ostatnich ataków z okresu.

Eksportuj PDF otwiera okno drukowania przeglądarki z zestawieniem w układzie dokumentu. Żeby zapisać je w pliku PDF, wybierz w tym oknie zapis do PDF zamiast drukarki.

Prefiksy

Linia faktów podaje liczbę prefiksów i adresów, numer AS i AS-SET konta. Przycisk Progi wykrywania otwiera okno opisane w rozdziale Progi wykrywania.

Kafle podają liczbę adresów pod potwierdzoną ochroną i prefiksy bez niej, trwające ataki na prefiksy konta, liczbę zweryfikowanych prefiksów z liczbą czekających na wpis w rejestrze, czekających po naszej stronie i z zastrzeżeniem oraz liczbę prefiksów, na które router przyjął trasę.

Tabela Twoje prefiksy ma kolumny Prefiks z liczbą adresów i pochodzeniem sieci, Trasa, Ochrona, Weryfikacja i Dodano. Wiersz prefiksu pod atakiem ma czerwoną kreskę z lewej strony i różowe tło. Przyciski na końcu wiersza sprawdzają prefiks w RPKI i IRR, zmieniają jego zakres albo go usuwają. W oknie węższym niż 1360 px tabela zamienia się w listę. Znaczenie kolumn opisuje rozdział Prefiksy i weryfikacja.

Alerty

Linia faktów podaje liczbę adresów e-mail, liczbę objętych tematów i szczyt ataku, od którego wysyłamy wiadomość o ataku. Karta Kanały wymienia adresy z tematami i progiem, a kliknięcie adresu otwiera okno jego zmiany. Karta Odbiorcy według tematu zestawia tematy z adresami. Karta Wysłane powiadomienia pokazuje 50 ostatnich powiadomień konta, od najnowszego: osiem od razu, pozostałe po kliknięciu Pokaż starsze. Są tam także te, które na ekranie panelu znikają po 15 sekundach. Wiersz ze strzałką otwiera ekran, którego dotyczy powiadomienie. Ustawienia opisuje rozdział Alerty.

Bezpieczeństwo

Ekran Centrum bezpieczeństwa wskazuje adresy w sieci klienta, które są zainfekowane albo były źródłem ataku DDoS na inną sieć. Przełącznik wybiera okres 7, 30 albo 90 dni. Kafle podają liczbę zainfekowanych hostów, liczbę źródeł ataków DDoS i stan monitorowania.

Tabela Ustalenia ma kolumny Adres, Zagrożenie, Serwer C2, Pewność, Ostatnio i Wystąpienia. Przełącznik Wszystkie, Zainfekowane hosty i Źródła ataków zawęża listę, a Eksport CSV zapisuje ją w pliku. Kliknięcie wiersza rozwija listę wystąpień.

Każde ustalenie ma poziom pewności, Wysoka albo Średnia, i listę wystąpień. Operator dostępowy z CGNAT odnajduje abonenta w dzienniku translacji adresów po czasie, adresie i porcie wystąpienia. Kafel Monitorowanie podaje stan danych: Aktywne, Częściowe albo Niedostępne. Przy stanie innym niż Aktywne nad listą stoi komunikat, a pusta lista nie świadczy o braku zagrożeń.

Webhooki

Karta Punkty końcowe wymienia adresy HTTPS ze stanem, opisem i zdarzeniami, z przyciskami Wyślij test i Edytuj. Karta Dziennik dostaw podaje dostawy punktu końcowego, a przy kilku punktach kliknięcie punktu wybiera jego dziennik. Karta Specyfikacja opisuje zdarzenia, treść, podpis i doręczanie. Konfigurację i weryfikację podpisu opisuje rozdział Webhooki.

Zamówienie

Konto bez umowy ma na tym ekranie kreator zamówienia z krokami:

• Styk: cross-connect w jednym z obiektów albo styk wirtualny (Virtual PNI) przez punkt wymiany ruchu oraz prędkość styku 10G, 25G, 100G albo 400G,
• Okres: rok, dwa lata, trzy lata albo pięć lat,
• Taryfa: stała opłata albo 95. percentyl z zobowiązaniem,
• Sieć: numer AS i AS-SET oraz, nieobowiązkowo, prefiksy zaznaczone na liście pobranej z IRR,
• Podsumowanie: zamówienie z kwotami i przycisk Wystaw umowę do podpisu.

Krok Sieć znika, gdy numer AS konta jest już potwierdzony. Na krokach Styk, Okres, Taryfa i Sieć karta Twoje zamówienie po prawej podaje dotychczasowy wybór i cenę za okres, gdy tylko da się ją policzyć. W podsumowaniu jej miejsce zajmują karty Co zamawiasz i Wystawienie umowy. Podsumowanie wymienia braki przed wystawieniem umowy, osobno Do uzupełnienia przez Ciebie i Po naszej stronie.

Po wystawieniu umowy ekran nosi tytuł Umowa. Linia faktów podaje numer umowy, stan (Do podpisu, Podpisana, Usługa działa albo Zakończona) i koniec okresu oznaczonego. Etapy Wystawienie, Podpis i Uruchomienie podają daty i to, na co czeka umowa. Karta Warunki umowy powtarza styk i rozliczenie z Zamówienia, z rabatem, jeżeli umowa go ma.

Karta Dokumenty zawiera umowę w PDF. Przy umowie do podpisu stoi w niej pole na podpisany egzemplarz: plik wybiera się albo upuszcza na pole, PDF albo zdjęcie, do 16 MB. Wgranie nie zmienia stanu umowy, a nieczytelny skan można wgrać ponownie. Przy styku przez cross-connect po podpisaniu umowy w tej samej karcie jest przycisk Pobierz LOA: upoważnienie do krosowania dla operatora obiektu, wskazujące jeden przydzielony port. Kolejne pobranie wskazuje ten sam port.

Rozliczenia

Kafle podają saldo rozliczeniowe, bieżący okres z dniem okresu, 95. percentyl do tej chwili na tle zobowiązania albo, przy stałej opłacie, opłatę za okres, i liczbę faktur do zapłaty.

Tabela Faktury podaje numer z datą wystawienia, okres, za który jest faktura, z oznaczeniem z góry albo z dołu, stan płatności z terminem (Do zapłaty, Po terminie, Zapłacona albo Anulowana), stan w KSeF i kwotę brutto z kwotą netto i stawką VAT. Podgląd otwiera fakturę w panelu, a PDF pobiera dokument w postaci, w jakiej został wystawiony.

Karta Obciążenia zawiera pozycje i wpłaty jednego okresu rozliczeniowego, do wyboru z dwunastu ostatnich, z sumą obciążeń i wpłat. Karta Taryfa podaje warunki rozliczenia: zobowiązanie i opłatę za nie, stawkę nadwyżki i prognozowaną nadwyżkę albo opłatę za okres, a do tego port, stawkę VAT, termin płatności, sposób fakturowania i dzień uruchomienia usługi. Zasady naliczania opisuje rozdział Rozliczenia.

Dane firmy

Ekran zawiera dane nabywcy, które trafiają na fakturę: nazwę firmy, NIP, kraj, adres i adres e-mail do faktur. Przy pierwszym wypełnieniu ekran pyta o NIP i pobiera nazwę i adres z Białej listy VAT. Pobrane dane trafiają do formularza, a zapisuje je dopiero przycisk Zapisz dane. Gdy pobranie się nie uda, dane wpisuje się ręcznie.

Karta Na następnej fakturze pokazuje zapisane dane w układzie z faktury. Zmiana obowiązuje od następnej faktury. Karta Błąd na wystawionej fakturze przypomina, że zmiana danych nie dotyczy faktur już wystawionych, i podaje adres, na który zgłasza się błąd na takiej fakturze. Wystawiamy wtedy fakturę korygującą. Ekran jest dostępny wyłącznie dla właściciela konta.

API i użytkownicy

Linia faktów podaje numer AS i AS-SET konta oraz stan ich potwierdzenia, z numerem umowy, która je potwierdza. Ekran ma trzy karty: Osoby z dostępem do konta, Zalogowane urządzenia i Klucze API. Obsługę opisuje rozdział Konto i dostęp.

Prefiksy i weryfikacja

Weryfikacja jest automatyczna i regularnie powtarzana.

Zakres sprawdzenia

Świadczymy tranzyt, więc prefiks ogłasza nam AS klienta, a my przekazujemy ogłoszenie dalej. Sprawdzamy to samo, co nasi dostawcy sprawdzają przez ROV i filtry budowane z IRR:

• prefiks objęty wpisem ROA musi mieć w nim jako źródło AS konta albo AS należący do AS-SET-u konta i nie może być dłuższy, niż pozwala maxLength,
• prefiks, którego nie obejmuje żaden ROA, musi mieć w IRR obiekt route na ten prefiks albo na szerszy zakres, który go zawiera, pod AS-SET-em konta, a bez AS-SET-u pod numerem AS. Żaden ROA wewnątrz tego zakresu nie może wskazywać obcego AS.

Ogłoszenie, którego nie obejmuje żaden ROA, ma w RPKI stan NotFound i jest przyjmowane w internecie, więc przyjmujemy je na podstawie obiektu route. Ogłoszenie, którego ROA wskazuje inny AS, ma stan Invalid i odrzuca je każdy operator stosujący ROV. Takiego prefiksu nie chronimy.

Obiekty route czytamy z baz RIPE, ARIN, APNIC, AFRINIC i LACNIC. Wpisy z RADB, NTTCOM, RIPE-NONAUTH i innych baz otwartych dla każdego nie są dla nas dowodem.

Weryfikacja odnosi się do numeru AS z kontrasygnowanej umowy.

Lista prefiksów

Lista powstaje z ogłoszeń w sesjach BGP konta. Prefiks ogłoszony w sesji dodajemy do listy, jeżeli w IRR jest na niego obiekt route pod AS-SET-em konta, a bez AS-SET-u pod numerem AS. Z tej samej odpowiedzi IRR budujemy filtr ogłoszeń na naszym routerze.

Przy prefiksie panel podaje pochodzenie sieci: sieć własna, gdy obiekt route jest pod numerem AS konta, albo sieć downstream, gdy prowadzi do niego wyłącznie AS-SET.

Prefiks, którego konto przestało ogłaszać, schodzi z listy po 60 minutach bez ogłoszenia, pod warunkiem że wszystkie sesje BGP konta działają. Prefiks ogłoszony ponownie wraca jako ta sama pozycja listy i przechodzi weryfikację od nowa. Prefiksu usuniętego z listy nie dodajemy ponownie na podstawie ogłoszeń, chyba że konto ogłasza go w sesji BGP jako sieć własną: w IRR jest na niego obiekt route pod numerem AS konta, nie ma węższego obiektu route spoza tego numeru AS, prefiks przechodzi weryfikację i nie ogłasza go bezpośrednio inne konto jako swojej sieci. Taki prefiks wraca na listę w ciągu minuty i schodzi z niej na stałe dopiero wtedy, gdy konto przestanie go ogłaszać. Pozostałe usunięte prefiksy, w tym sieci downstream, przywraca dodanie przez API, POST /prefixes.

Filtr ogłoszeń na routerze przyjmuje także prefiks niezweryfikowany, na przykład taki, którego ROA wskazuje inny AS, o ile obejmuje go obiekt route w IRR. Weryfikacja dotyczy wyłącznie ochrony.

Wynik weryfikacji

Kolumna Weryfikacja podaje wynik sprawdzenia, a pod nim jego podstawę albo powód odmowy.

Przy prefiksie niezweryfikowanym albo z zastrzeżeniem wiersz ma przycisk z dwiema strzałkami. Otwiera on okno, które od razu sprawdza prefiks w RPKI i IRR i podaje wynik.

Zastrzeżenie

Gdy zweryfikowany prefiks nie przejdzie późniejszego sprawdzenia, kolumna Weryfikacja podaje pod wynikiem „Zastrzeżenie od” z datą. Ochrona działa dalej. Sprawdź ROA i obiekt route, a jeżeli są poprawne, skontaktuj się z NOC.

Stan trasy

Kolumna Trasa podaje, czy nasz router przyjął trasę na prefiks w sesji BGP konta.

Stan ochrony

Kolumna Ochrona podaje, czy ochrona faktycznie obejmuje prefiks. Prefiks liczy się jako chroniony dopiero po potwierdzeniu, że ochrona go objęła, a nie po samej weryfikacji.

W trakcie ataku na adres w prefiksie pod stanem ochrony stoi czerwona linia z etapem ataku, na przykład „atak trwa, w mitygacji”, a wiersz ma czerwoną kreskę z lewej strony i różowe tło.

Progi wykrywania

Progi określają natężenie ruchu, od którego system wykrywania zgłasza ruch danej klasy. Wartości domyślne ustalamy my, a każdą można zmienić w panelu.

Zakres progu

Progi są wspólne dla całego konta i dotyczą każdego adresu w każdym prefiksie osobno. Próg 500 Mb/s oznacza 500 Mb/s do jednego adresu. Nowy prefiks od razu ma te same progi co pozostałe.

Klasy ruchu i jednostki

Każda klasa ruchu, na przykład TCP SYN, UDP albo amplifikacja DNS, ma własny próg. Okno dzieli klasy na rozwijane sekcje: Total Traffic, Amplification, TCP, UDP, IP, User-Defined i Pozostałe. Sekcja bez klas się nie pokazuje. Własny próg klasy, której już nie mierzymy, stoi w osobnej sekcji Ustawione dla klas, które nie są już mierzone. Przy otwarciu rozwinięte są Total Traffic i sekcje z własnymi progami konta, a klasy z własnym progiem stoją na początku sekcji.

Większość klas ma próg w bitach i w pakietach na sekundę, a do wykrycia wystarcza przekroczenie jednego z nich. Część klas, na przykład UDP, ICMP i TCP SYN, mierzy się wyłącznie w pakietach na sekundę i w kolumnie bitów stoi przy nich „tylko pakiety”.

Stan progu

Linia nad tabelą podaje stan całego kompletu, na przykład „Własne progi działają”, „Obowiązują progi domyślne” albo „1 zmiana czeka na wdrożenie”, i liczbę własnych progów.

Zmiana progu

1. Otwórz okno progówPrzycisk Progi wykrywania jest w nagłówku ekranu Prefiksy.
2. Kliknij wartośćWartość zamienia się w pole. Wartości domyślne zmienia się tak samo jak własne. Przy własnej wartości pod polem jest przywróć domyślny.
3. ZapiszPrzycisk podaje liczbę zmian, na przykład Zapisz 2 zmiany. Po zapisie przy wartości stoi „czeka na wdrożenie”, a po wdrożeniu „działa”.

Gdy zmiana progów jest chwilowo niedostępna, okno pokazuje obowiązujące wartości i komunikat, a przycisku Zapisz nie ma.

Ataki i raporty

Przebieg ataku

1. WykrycieSystem wykrywania stwierdza ruch do adresu konta ponad próg klasy ruchu albo ponad profil ruchu konta.
2. MitygacjaSystem uruchamia mitygację i przekierowuje ruch atakowanego prefiksu na system oczyszczający. Ruchu, dla którego system nie uruchomił mitygacji, panel nie pokazuje jako ataku.
3. Szczyt od 5 Gb/sAtak jest widoczny na pulpicie i w historii ataków, webhook dostaje zdarzenie o wykryciu, a adresy z tematem Ataki wiadomość e-mail, gdy szczyt ataku osiągnie 5 Gb/s, także wtedy, gdy atak dojdzie do tej wartości później. Mniejszych ataków panel nie pokazuje.
4. KoniecGdy atak ustaje, wycofujemy przekierowanie, a historia ataków podaje czas jego zakończenia.
5. RaportRaport z ataku zastępuje wiadomość o końcu ataku i wychodzi e-mailem przy tym samym progu szczytu.

Na czas przekierowania ruch do atakowanego prefiksu ma dłuższą trasę, bo przechodzi przez system oczyszczający. Część prawidłowego ruchu może zostać odrzucona razem z ruchem ataku.

Kontakt z NOC

Wykrywanie i przekierowanie działają automatycznie. Skontaktuj się z NOC, gdy:

• usługi w sieci są niedostępne mimo trwającej mitygacji,
• atak trwa, a panel go nie pokazuje,
• stan przekierowania pozostaje nieznany dłużej niż kilka minut.

Kontakt do NOC podaje umowa.

Etapy trwającego ataku

Karta trwających ataków na pulpicie i w historii ataków pokazuje etap jako dwa punkty: Wykryto i drugi, którego stan i podpis pod spodem mówią o przekierowaniu ruchu.

Liczby przy trwającym ataku

Duża liczba to bity na sekundę, a gdy ich nie odczytaliśmy, pakiety na sekundę. Linia pod nią podaje pakiety na sekundę albo „brak odczytu w bitach/s” lub „brak odczytu w pakietach/s”. Gdy nie ma odczytu w żadnej z jednostek, w miejscu liczby stoi kreska z dopiskiem „brak odczytu”. Nagłówek karty podaje wiek odczytu, na przykład „odczyt sprzed 4 s”, a przy nieaktualnym odczycie nad kartą stoi komunikat.

Panel nie podaje liczby odrzuconych pakietów. Ruch, który dotarł do sieci klienta, pokazują wykresy portu na pulpicie.

Strona ataku

Stronę ataku otwiera wiersz w historii ataków albo w karcie trwających ataków. Tytuł podaje atakowany adres, a linia faktów stan (Trwa albo Zakończony), czas ataku, klasy ruchu, prefiks i ocenę NOC, na przykład „Atak potwierdzony przez NOC” albo „NOC: fałszywy alarm”. Kierunek ruchu linia faktów podaje tylko przy ataku innym niż przychodzący: „ruch wychodzący” albo „ruch w obu kierunkach”. Po wystawieniu raportu w nagłówku stoi przycisk Pobierz raport z numerem raportu, po prawej stronie tytułu albo pod linią faktów, gdy obok niej się nie mieści.

Przy trwającym ataku pod nagłówkiem stoi czerwona karta Atak trwa z etapem i natężeniem w tej chwili. Kafle podają szczyt w bitach i pakietach na sekundę, czas trwania, główny port docelowy z udziałem w ruchu ataku i liczbę adresów w wykazie adresów źródłowych.

Karta Przebieg ataku pokazuje średnią minutową dla atakowanego adresu, w bitach albo w pakietach na sekundę, z linią progu Total Traffic i szczytem chwilowym. Karta Przekroczone progi wymienia klasy ruchu od najwcześniejszego przekroczenia, z godziną, zmierzoną wartością i progiem.

Pod nimi stoi charakterystyka ruchu: pięć największych pozycji w każdym wymiarze, z maksimum i średnią minutową. Charakterystyka pojawia się po zakończeniu ataku.

• Źródła: kraje źródłowe i adresy o największym natężeniu zmierzonym przez system wykrywania,
• Wykaz adresów źródłowych: wszyscy nadawcy ruchu do atakowanego adresu w czasie ataku, także ruchu prawidłowego, z mapą położenia adresów, sieciami AS i miastami. Pełny wykaz otwiera się w oknie i pobiera w CSV,
• Skład ruchu: klasy ruchu, protokoły i rozkład wielkości pakietów,
• Porty i flagi: porty docelowe i źródłowe, flagi TCP i komunikaty ICMP,
• Wzorce ruchu: przepływy o największym natężeniu,
• Progi obowiązujące w chwili ataku.

Raport z ataku

Raport z ataku jest numerowanym dokumentem PDF, na przykład RA/2026/09/0007, do pobrania przyciskiem w nagłówku strony ataku. Powstaje po zakończeniu ataku, gdy przez 20 minut nie zaczął się kolejny atak na ten adres, a dane o ruchu ataku są kompletne.

Raport zawiera przebieg ataku, charakterystykę ruchu, adresy źródłowe o największym natężeniu oraz wykaz adresów źródłowych z mapą ich położenia, listą sieci i pełną listą adresów. Progów wykrywania raport nie podaje. Gdy dane ataku zmienią się po wystawieniu raportu, wystawiamy raport korygujący pod nowym numerem, ze wskazaniem raportu, który zastępuje.

Alerty

Dodanie adresu

1. Kliknij Dodaj kanałPrzycisk jest w nagłówku ekranu Alerty i otwiera okno Nowy kanał powiadomień.
2. Podaj adres e-mailNajlepiej sprawdza się adres skrzynki zespołu.
3. Wybierz tematyW polu O czym powiadamiać są tematy Ataki (wykrycie ataku i raport z ataku), Prefiksy (weryfikacja prefiksów), Rozliczenia (faktury, zaległości, zawieszenie i przywrócenie usługi) i System (prace serwisowe i komunikaty od nas). Adresy mogą mieć różne tematy, na przykład ataki dla zespołu sieciowego i rozliczenia dla księgowości.
4. Ustaw próg atakówPole Powiadamiaj o atakach pojawia się przy temacie Ataki i określa najniższy szczyt ataku, o którym wysyłamy wiadomość na ten adres. Najniższa dostępna wartość to 5 Gb/s.
5. ZapiszAdres pojawia się w karcie Kanały.

Kliknięcie adresu w karcie Kanały otwiera to samo okno, w którym można zmienić tematy i próg albo usunąć adres przyciskiem Usuń.

Wiadomości e-mail

Wiadomości wysyłamy o:

• wykryciu ataku i raporcie z ataku,
• wystawieniu faktury,
• niskim saldzie i zaległej płatności,
• wyłączeniu i przywróceniu ochrony.

Faktura, zaległość, wyłączenie i przywrócenie ochrony trafiają na wszystkie adresy, gdy żaden adres nie ma wybranego tematu Rozliczenia. Pozostałe powiadomienia, na przykład o weryfikacji prefiksu, są widoczne w panelu.

Adres z rejestracji

Adres podany przy rejestracji jest kanałem powiadomień od założenia konta i dostaje wszystkie tematy. Nowy adres dostaje powiadomienia o zdarzeniach od chwili jego dodania.

Webhooki

Zdarzenia o atakach wysyłane żądaniem HTTPS, podpisane według specyfikacji Standard Webhooks.

Dodanie punktu końcowego

1. Kliknij Dodaj punkt końcowyPrzycisk jest w nagłówku ekranu Webhooki i otwiera okno Nowy punkt końcowy. Pole Adres URL przyjmuje wyłącznie adres zaczynający się od https:// i wskazujący adres publiczny. Opis jest nieobowiązkowy.
2. Wybierz zdarzeniaDo wyboru są Wykryto atak (attack.detected), Atak zakończony (attack.ended) albo oba.
3. Zapisz sekretOkno Sekret podpisu pokazuje sekret w postaci whsec_… raz, zaraz po utworzeniu punktu końcowego, z przyciskiem Kopiuj. Po zamknięciu okna sekret można wyłącznie wymienić na nowy.
4. Wyślij testPrzycisk Wyślij test przy punkcie końcowym wysyła zdarzenie webhook.test, które sprawdza odbiór i weryfikację podpisu.

Przycisk Edytuj otwiera okno z adresem, opisem i zdarzeniami punktu końcowego oraz z przełącznikiem Punkt końcowy włączony, przyciskiem Wymień sekret i przyciskiem Usuń punkt końcowy. Wyłączony punkt końcowy nie dostaje zdarzeń ani zdarzenia testowego. Wymiana sekretu wystawia nowy i od razu unieważnia poprzedni.

Konto może mieć do 10 punktów końcowych.

Zdarzenia

Webhooki nie mają własnego progu szczytu ataku i obejmują dokładnie ataki widoczne w panelu, czyli od 5 Gb/s szczytu.

Treść

Podpis

Podpisywany ciąg to {webhook-id}.{webhook-timestamp}.{treść}. Kluczem jest sekret bez prefiksu whsec_, zdekodowany z base64. Podpis weryfikuje się na surowej treści żądania, przed parsowaniem JSON, z tolerancją 5 minut względem webhook-timestamp.

// biblioteka standardwebhooks
import { Webhook } from "standardwebhooks";

const wh = new Webhook(process.env.NERA_WEBHOOK_SECRET); // whsec_…
const zdarzenie = wh.verify(surowaTresc, {
  "webhook-id": req.headers["webhook-id"],
  "webhook-timestamp": req.headers["webhook-timestamp"],
  "webhook-signature": req.headers["webhook-signature"],
});

Doręczanie

Karta Dziennik dostaw podaje dla każdej dostawy stan (Oczekuje, Ponawiana, Dostarczona albo Nieudana), zdarzenie, chwilę utworzenia, kod HTTP, czas odpowiedzi, liczbę prób z 8 i uwagi, na przykład kod błędu odbiorcy. Linia nad tabelą podaje liczbę dostaw dostarczonych, czekających w kolejce z czasem kolejnej próby i nieudanych oraz medianę czasu odpowiedzi. Kliknięcie dostawy rozwija ostatnią próbę: wysłane żądanie z adresem, nagłówkami i treścią oraz odpowiedź odbiorcy, do 4 KiB.

Rozliczenia

Taryfy

Tranzyt IP ze stałą ochroną rozliczamy według jednej z dwóch taryf określonych w umowie:

• stała opłata: jedna kwota netto za okres rozliczeniowy, niezależna od ruchu i od liczby ataków,
• 95. percentyl z zobowiązaniem: zobowiązanie płatne w każdym okresie i nadwyżka ponad nie za każdy rozpoczęty Mb/s.

Percentyl

Percentyl liczymy z pięciominutowych próbek ruchu na porcie klienta w całym okresie. W każdej próbce bierzemy większy z dwóch kierunków, próbki ustawiamy rosnąco i bierzemy tę na pozycji odpowiadającej percentylowi.

Próbka, której nie zmierzyliśmy, wypada z obliczeń i nie liczy się jako zero. Konto bez przypisanego portu płaci samo zobowiązanie.

Okres rozliczeniowy i faktury

Okres trwa 30 dni od dnia uruchomienia usługi i nie pokrywa się z miesiącami kalendarzowymi.

Przy stałej opłacie fakturę wystawiamy z góry, na początku każdego okresu. Pierwsza faktura powstaje w dniu uruchomienia usługi.

Przy taryfie percentylowej fakturę wystawiamy z dołu, po zakończeniu każdego okresu. Obejmuje zobowiązanie za ten okres i nadwyżkę, gdy percentyl przekroczył zobowiązanie. Pierwsza faktura powstaje po pierwszym okresie, a datą sprzedaży jest ostatni dzień okresu. Okres, w którym umowa się kończy, rozliczamy w całości fakturą wystawioną po jego zakończeniu.

Termin płatności liczy się od dnia wystawienia faktury i wynosi tyle, ile ustalono w umowie, domyślnie 30 dni. Należność opłaca się przelewem na rachunek podany na fakturze.

VAT

Ceny są netto. VAT liczymy raz, od sumy netto faktury. Saldo zmienia się o kwoty brutto pozycji, a różnicę zaokrągleń wyrównuje jedna pozycja przy fakturze.

Saldo rozliczeniowe

Saldo w górnym pasku panelu jest saldem rozrachunków. Opłata obciąża je w chwili naliczenia: stała opłata na początku okresu, zobowiązanie i nadwyżka przy zamknięciu okresu. Do zaksięgowania wpłaty saldo bywa więc ujemne. Wpłaty rozliczamy z fakturami od najstarszej.

Brak wpłaty

Terminem jest termin płatności najstarszej nieopłaconej faktury. Po nim wysyłamy powiadomienie o zaległości i zaczyna biec karencja ustalona w umowie, domyślnie 24 godziny. Gdy powiadomienie wyszło po terminie, karencja liczy się od powiadomienia.

Gdy grozi wyłączenie ochrony, nad ekranami panelu stoi pasek Nieopłacona faktura z saldem i terminem, po którym ochrona zostanie wyłączona. Po karencji wyłączamy ochronę. Dostęp do panelu zostaje, a pasek zmienia się na Ochrona wyłączona. Po zaksięgowaniu wpłaty ochrona wraca na te same prefiksy co wcześniej.

Konto i dostęp

Użytkownicy

Przycisk Dodaj osobę w karcie Osoby na ekranie API i użytkownicy otwiera okno, które przyjmuje adres e-mail i rolę. Na ten adres wysyłamy link, którym nowa osoba sama ustawia hasło. Link jest ważny przez 7 dni. Adres e-mail jest loginem. Uprawnienia ról opisuje Wprowadzenie.

Kliknięcie osoby na liście otwiera okno, w którym można zmienić jej rolę, odebrać jej dostęp przyciskiem Usuń dostęp albo, dopóki hasło nie jest ustawione, wysłać zaproszenie ponownie przyciskiem Wyślij zaproszenie ponownie. Ponowna wysyłka unieważnia poprzedni link. Ostatniemu właścicielowi konta nie można odebrać dostępu ani zmienić roli.

Zalogowane urządzenia

Karta Zalogowane urządzenia wymienia sesje zalogowanego użytkownika z przeglądarką i systemem, adresem IP, czasem ostatniego użycia i czasem zalogowania. Bieżąca sesja ma dopisek „to urządzenie”. Wyloguj kończy wybraną sesję natychmiast. Wyloguj wszędzie indziej zostawia tylko bieżącą. Klucze API nie tworzą sesji i nie ma ich na tej liście.

Klucze API

1. Kliknij Nowy kluczPrzycisk jest w karcie Klucze API. Nazwa pozwala rozpoznać integrację na liście kluczy.
2. Zaznacz uprawnieniaOkno oferuje Prefiksy (odczyt), Prefiksy (zapis), Historia ataków, Statystyki oraz Alerty i webhooki (zapis). Klucz powinien mieć tylko uprawnienia, których integracja potrzebuje. Zakres billing:read można nadać wyłącznie kluczowi utworzonemu przez API, trasą POST /apikeys. Zakresy opisuje rozdział Uwierzytelnianie.
3. Wybierz ważnośćKlucz może być ważny 30 dni, 90 dni, rok albo bez terminu.
4. Zapisz sekretOkno Klucz utworzony pokazuje sekret raz, z przyciskiem Kopiuj do schowka. Zgubionego sekretu nie da się odczytać, więc klucz trzeba unieważnić i wydać nowy.

Lista kluczy podaje uprawnienia, ostatnie użycie i termin ważności oraz oznacza klucze wygasłe, wygasające w ciągu 14 dni i nigdy nieużywane. Przycisk Unieważnij wyłącza klucz.

Sesja w panelu

Logowanie wystarcza na 8 godzin pracy albo na 7 dni, gdy przy logowaniu zaznaczysz Nie wylogowuj mnie na tym urządzeniu. W trakcie pracy sesja odnawia się automatycznie.

Uwierzytelnianie

REST API udostępnia funkcje panelu klienta. Adres bazowy to https://api.nera.pl/api/v1, wyłącznie po TLS.

Klucz API

Integracje uwierzytelnia klucz API wysyłany w nagłówku X-Api-Key. Klucz należy do konta, ma zakresy uprawnień i opcjonalną datę wygaśnięcia. Wydaje się go w panelu albo trasą POST /apikeys.

curl https://api.nera.pl/api/v1/prefixes \
  -H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx"

Zakresy uprawnień

Token sesji

Aplikacja logująca człowieka używa POST /auth/login z polami login, password i panel: "client", a przy włączonym drugim składniku także totp_code. Odpowiedź zawiera token ważny godzinę, wysyłany potem w nagłówku Authorization: Bearer. POST /auth/refresh wymienia ważny token na nowy bez hasła, do 8 godzin od logowania albo do 7 dni przy remember: true.

Gdy logowanie zwróci must_change_password, token otwiera wyłącznie POST /auth/password. Każda inna trasa odmawia z typem password-change-required.

Konwencje i błędy

Reguły wspólne dla wszystkich tras.

Konwencje

Kształt odmowy

{
  "type": "https://nera.pl/errors/forbidden",
  "title": "Forbidden",
  "status": 403,
  "detail": "Klucz ma zakres odczytu, operacja wymaga zapisu.",
  "instance": "/api/v1/prefixes"
}

Obsługę błędu opieraj na ostatnim segmencie pola type. Ten segment jest stały, a adres bazowy i treść detail mogą się zmienić.

Typy błędów

Pełny kontrakt

Dokument OpenAPI generowany z kodu opisuje każde pole i jest rozstrzygający: https://api.nera.pl/api-docs/openapi.json.

Prefiksy

Dodanie prefiksu

Trasa służy skryptom i przywraca prefiks usunięty z listy. Prefiks dodany tędy przechodzi to samo sprawdzenie w RPKI i IRR co prefiks z ogłoszeń BGP. Prefiks pokrywający się z przestrzenią innego klienta jest odrzucany kodem 409.

curl -X POST https://api.nera.pl/api/v1/prefixes \
  -H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{"cidr":"203.0.113.0/24"}'

{
  "id": "5d1c7e0a-3f2b-4c8e-9a61-2b7d4e9f0c13",
  "cidr": "203.0.113.0/24",
  "status": "pending",
  "verification": null,
  "verification_blocker": {
    "kind": "no_roa",
    "reason": "no RPKI ROA covers 203.0.113.0/24, …, and the IRR has no route object covering it under AS64500. …"
  },
  "verification_checked_at": "2026-08-23T09:15:00Z",
  "verification_concern": null,
  "engine_confirmed_at": null,
  "created_at": "2026-08-23T09:15:00Z"
}

Pola odpowiedzi

Monitoring sprawdzający, czy prefiks jest chroniony, powinien czytać engine_confirmed_at.

Progi wykrywania

curl -X PUT https://api.nera.pl/api/v1/thresholds \
  -H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{"decoder":"tcpsyn","unit":"packets","value":40000}'

# Usunięcie progu: DELETE ...?decoder=tcpsyn&unit=packets

Pola odpowiedzi

Ataki i ruch

Świeżość danych

GET /mitigations/live zwraca obok listy blok freshness. Pole recording równe false oznacza brak świeżego odczytu i wtedy pusta lista nie dowodzi braku ataków. age_secs podaje wiek ostatniego odczytu.

GET /stats i GET /traffic/flows zwracają pole source. Wartość flow-store oznacza dane zmierzone. Przy każdej innej wartości zera w odpowiedzi nie są pomiarem.

{
  "freshness": { "recording": true, "last_poll_at": "2026-08-23T09:14:31Z", "age_secs": 12 },
  "mitigations": [
    {
      "id": "3f0c8a52-6d1e-4b57-9a0e-1c2d3e4f5a6b",
      "prefix": "198.51.100.0/24",
      "phase": "mitigating",
      "vectors": ["TCP SYN", "UDP"],
      "started_at": "2026-08-23T08:22:00Z",
      "live_bps": 6400000000,
      "live_pps": 1100000,
      "peak_bps": 9800000000,
      "peak_pps": 1400000
    }
  ]
}

phase przyjmuje wartości detected, mitigating i unknown, odpowiadające etapom z rozdziału Ataki i raporty. Brak pól live_bps i live_pps oznacza brak odczytu natężenia.

Ruch na porcie

Rachunek liczymy z pomiaru GET /traffic/port.

Każdy punkt szeregu ma cztery wartości: to_customer_bps, from_customer_bps, to_customer_pps i from_customer_pps, wszystkie z tych samych liczników interfejsu i z tego samego przedziału.

Pole state podaje stan pomiaru. measured oznacza port mierzony i wtedy pusty szereg znaczy brak ruchu. unmeasured oznacza port przypisany, który w tej chwili nie jest próbkowany. unmetered oznacza konto bez przypisanego portu. Przedział bez pomiaru jest pominięty w szeregu.

Blok period zawiera percentyl bieżącego okresu rozliczeniowego z liczbą próbek zmierzonych (buckets_measured) i wszystkich (buckets_total). value_bps równe null oznacza brak pomiaru w okresie. Okres zamknięty i rozliczony wraca z zapisaną wartością (settled), tą samą, która trafiła na fakturę.

Analiza ruchu

GET /traffic/flows przyjmuje okno ?since= i ?until= (domyślnie ostatnie 15 minut), kierunek ?direction= (to_customer albo from_customer), długość zestawień ?limit= do 200 oraz filtry strony zdalnej: asn, as_name, country, city, protocol i port. Przy oknie dłuższym niż okres przechowywania przepływów początek okna, z którego pochodzą, podaje flows_since.

Centrum bezpieczeństwa

GET /security zwraca ustalenia z okna ?days= (domyślnie 30), liczby zainfekowanych hostów i źródeł ataków oraz pole monitoring: active, degraded albo inactive. Każde ustalenie ma kind (infected albo attack_source), role (bot, c2_contact, c2_server, scanning, reflector albo attack_source), adres w sieci konta i confidence (high albo medium). Wystąpienia, do 500 na ustalenie, zwraca GET /security/findings/{id}/samples.

Rozliczenia

Wszystkie trasy służą wyłącznie do odczytu.

Pole low w portfelu rozstrzygamy po naszej stronie, więc wszystkie integracje mają to samo kryterium niskiego salda. Każda pozycja księgi ma balance_after_minor, czyli saldo po tej pozycji. Faktura niczego nie nalicza i zbiera pozycje z tej samej księgi.

Konto i umowa

POST /onboarding zapisuje deklarację sieci do zamówienia i nie potwierdza numeru AS. Deklarację można poprawiać do podpisania umowy.

Umowa

POST /contract przyjmuje wyłącznie wybór handlowy. Dane firmy, osoby reprezentującej, numer AS i prefiksy pochodzą z danych konta i deklaracji sieci. Stawkę wyznacza cennik i okres umowy albo oferta przygotowana dla konta. Przy brakujących danych odpowiedź ma kod 422 z typem missing-data, a tę samą listę braków zwraca wcześniej GET /contract.

handoff przyjmuje cross_connect z access_point albo virtual_pni z exchange. port_speed przyjmuje 10G, 25G, 100G albo 400G, a term_months 12, 24, 36 albo 60.

Wgranie skanu nie zmienia stanu umowy. Stan zmienia kontrasygnata opisana w rozdziale Pierwsze kroki.

GET /contract/loa odpowiada kodem 409 w trzech przypadkach: przy styku wirtualnym, który nie ma włókna ani pozycji w panelu krosowniczym, przed podpisaniem umowy oraz gdy w obiekcie nie ma wolnej pozycji, co rozwiązujemy po naszej stronie. Ponowne pobranie zwraca tę samą pozycję.

Powiadomienia i webhooki

Reguły adresu mają postać {"on": [...], "min_peak_bps": N}. on wymienia rodzaje powiadomień, a jego brak oznacza wszystkie. min_peak_bps dotyczy wiadomości o ataku i raportu z ataku. PUT /notifications przyjmuje wyłącznie adresy e-mail, a webhooki mają własne trasy.

Strumień powiadomień

Każda ramka /feed/stream ma id. Klient wznawiający połączenie wysyła nagłówek Last-Event-ID, a my najpierw odtwarzamy powiadomienia z przerwy, a potem przechodzimy na żywo.

curl -N https://api.nera.pl/api/v1/feed/stream \
  -H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx" \
  -H "Last-Event-ID: 4821"

Webhooki

Format zdarzeń, podpis i zasady doręczania opisuje rozdział Webhooki.