Wählen Sie ein Vorhaben, dann stellen Sie die Bausteine ein — gerechnet mit denselben Katalogwerten und derselben Bilanz wie der Netzwerk-Konfigurator. Was Sie hier zusammenstellen, legen Sie direkt in den Warenkorb oder nehmen es in den Konfigurator mit.

Der Weg eines Pakets durch unser Netz

Sieben Stationen von außen nach innen; die Abschnitte darunter folgen dem Aufbau des Netzes — erst das eigene Netz, dann der Übergang hinein, die Trennung innen, der Weg hinaus, Verteilung, Schutz, Auslieferung und zuletzt die Adressen.

01
Zusammenschaltung
Fremde Netze übergeben uns ihren Verkehr direkt (Peering) oder über einen Anbieter, der ihn gegen Geld weiterträgt (Transit).
94 Zusammenschaltungen
Zum Abschnitt Backbone
02
DDoS-Filter
Angriffsverkehr wird ausgefiltert, bevor er Ihre Systeme erreicht — ohne dass Sie etwas einschalten.
1,2 Tbit/s, dauerhaft aktiv
Zum Abschnitt DDoS-Schutz
03
Backbone-Ring
Eigene Glasfaser verbindet die Standorte; fällt eine Trasse aus, übernimmt die Gegenrichtung.
18,4 Tbit/s · 5 Standorte
Zum Abschnitt Backbone
04
Öffentlicher Rand
Load Balancer und Floating IP nehmen Verbindungen an und verteilen sie auf Ihre Systeme.
Load Balancer 12,00 €13,92 $ je Instanz und Monat
Zum Abschnitt Load Balancer
05
Gateway
Systeme ohne öffentliche Adresse gehen über eine gemeinsame Adresse hinaus und bleiben von außen unerreichbar.
3 Größenklassen
Zum Abschnitt Gateway
06
Privates Netz
Im vRack teilen Ihre Systeme ein Segment, als hingen sie am selben Switch (Layer 2) — auch über Standortgrenzen.
vRack 1 Gbit/s enthalten
Zum Abschnitt vRack
07
Ihre Systeme
Cloud-Instanzen, dedizierte Server und Private-Cloud-Hosts, jedes System mit garantierter Anbindung.
1 × IPv4 + /64 IPv6 je System
Zum Abschnitt Adressen

Connect
Ihr eigenes Rechenzentrum als Port an unserer Netzkante, statt eines Tunnels durch das Internet.
eigenes Rechenzentrum, ab 10 Gbit/s
Zum Abschnitt Connect
CDN
Statische Inhalte gehen von Knoten am Netzrand an die Besucher, nicht von Ihrem Ursprung.
42 Auslieferungsknoten
Zum Abschnitt CDN

Ein Ring, keine einzelne Trasse

Die Standorte hängen an einem gegenläufigen Glasfaserring. Fällt ein Abschnitt aus, übernimmt die Gegenrichtung — in Millisekunden, ohne Wartungsfenster.

Kabelschacht von oben: Zwei orangefarbene Mikrorohr-Bündel kommen aus zwei Richtungen in den Schacht und laufen getrennt weiter. — Jeder Standort hat zwei Trassen, die an unterschiedlichen Gebäudeseiten einlaufen; beide sind auf Karten dokumentiert und werden bei jeder Erweiterung auf Überschneidungen geprüft. Fällt ein Abschnitt aus, schaltet der Ring mit Segment Routing — der Weg steht als Folge von Wegpunkten im Paket, die Ersatzwege sind vorberechnet — in unter 50 ms um.

Uplink-Optionen und ihre monatlichen Aufpreise
Option	Aufpreis / Monat
1 Gbit/s garantiertStandardUnmetered im Rahmen des inkludierten Traffics.	inklusive
2 Gbit/s garantiertVerdoppelte Uplink-Kapazität, identische Fair-Use-Regel.	100,83 €116,96 $
3 Gbit/s garantiertGrundanbindung der FORGE-Reihe, im Tarif enthalten.	150,41 €174,48 $
4 Gbit/s garantiertFür Auslieferung großer Dateien aus einem einzelnen Standort.	200,83 €232,96 $
5 Gbit/s garantiertZwischenstufe für Streaming- und Spiegelserver.	250,41 €290,48 $
10 Gbit/s garantiertFür Storage-Replikation und Medienauslieferung.	500,83 €580,96 $
25 Gbit/s garantiertDual-Port-Anbindung mit LACP an redundante Switches.	1.250,41 €1.450,48 $

Alle Beträge netto, zzgl. 19 % USt.

Zwei Wege aus dem Netz hinaus

Peering heißt: Zwei Netze schalten sich direkt zusammen und übergeben einander ihren Verkehr, ohne Dritten dazwischen. Transit heißt: Ein fremder Anbieter nimmt den Verkehr gegen Geld an und trägt ihn auf Wegen weiter, die er wählt.

Direkte Zusammenschaltung ist der kürzere Weg und der, den wir selbst messen können. Sie setzt aber voraus, dass beide Netze am selben Knoten stehen — Transit erreicht dafür jedes Netz.

Deshalb beides, und keiner der beiden Wege allein.

Peering

Rund 72 Prozent des Verkehrs verlassen das Netz über direktes Peering, der Rest über vier voneinander unabhängige Transitanbieter. Kein Anbieter trägt mehr als 40 Prozent des Transitvolumens.

94 Zusammenschaltungen · DE-CIX Frankfurt, DE-CIX München, BCIX Berlin, FICIX Helsinki

Uplink je System

Jede Anbindung ist garantiert, nicht überbucht. Ab 10 Gbit/s liegt sie als Dual-Port mit LACP — zwei Ports, zu einer Verbindung gebündelt — auf zwei getrennten Switches, sodass ein Switch-Neustart nichts unterbricht.

1 Gbit/s inklusive, bis 25 Gbit/s buchbar

Standorte im Backbone

Die Latenz — die Zeit, die ein Paket für Hin- und Rückweg braucht — ist der Median einer Woche, gemessen vom DE-CIX Frankfurt aus gegen einen Referenzhost am jeweiligen Standort. Die Kapazitätsangabe beschreibt die Belegung der installierten Stellfläche, nicht die Netzlast. Der Preisfaktor wirkt auf den Nettogrundpreis jedes Produkts, bevor Laufzeitrabatt und Umsatzsteuer greifen.

Alle Standorte mit Bezeichnung, Latenz, Belegung, Preisfaktor und PUE
Stadt	Bezeichnung	Latenz	Belegung	Preisfaktor	PUE
Frankfurt am Mainfra1	Standort Rhein-Main I	3 ms	71 %	1,00 ×	1,14
Frankfurt am Mainfra2	Standort Rhein-Main II	3 ms	44 %	1,00 ×	1,09
Berlinber1	Standort Spree	6 ms	58 %	1,00 ×	1,16
Münchenmuc1	Standort Isar	5 ms	82 %	1,00 ×	1,11
Helsinkihel1	Standort Uusimaa	21 ms	36 %	0,94 ×	1,08

PUE — das Verhältnis der gesamten Leistungsaufnahme eines Rechenzentrums zu der seiner IT-Systeme — ist der Jahresmittelwert des jeweiligen Standorts. Der Preisfaktor 1,00 bezeichnet den Referenzstandort Frankfurt am Main; alle Listenpreise gelten dort, netto zzgl. 19 % USt.

Eine Leitung statt eines Tunnels

Connect legt Ihr Rechenzentrum als eigenen Port an unsere Netzkante. Der Verkehr sieht danach zwei Netze, Ihres und unseres — nicht die zwölf dazwischen, über die ein Tunnel durch das offene Internet läuft.

Bandbreitenklassen

Der Portpreis entspricht dem Aufpreis der gleich schnellen garantierten Anbindung; ein doppelt ausgeführter Übergang kostet das Doppelte. Die Kreuzverbindung im Meet-Me-Room — dem Raum, in dem Netzbetreiber ihre Leitungen zusammenschalten — berechnet der Betreiber des Gebäudes, nicht wir.

Connect-Bandbreitenklassen mit Optik, Ausführung und Portpreis
Klasse	Optik	Ausführung	Port / Monat
10 Gbit/s	10GBASE-LR, Singlemode LC, 1310 nm	Einzelport. Wartung am Randrouter unterbricht die Strecke.	500,83 €580,96 $
2 × 10 Gbit/s	2 × 10GBASE-LR, LACP	Zwei Randrouter in getrennten Brandabschnitten, aktiv/aktiv.	1.001,66 €1.161,93 $
25 Gbit/s	25GBASE-LR, Singlemode LC, 1310 nm	Einzelport. Für Replikationsstrecken mit Wartungsfenster.	1.250,41 €1.450,48 $
2 × 25 Gbit/s	2 × 25GBASE-LR, LACP	Höchste Ausbaustufe, 50 Gbit/s Summenkapazität.	2.500,82 €2.900,95 $

Alle Beträge netto, zzgl. 19 % USt. Mindestlaufzeit 12 Monate, danach monatlich kündbar. Unter 10 Gbit/s bieten wir Connect nicht an — dort trägt ein IPsec-Tunnel dieselbe Last zu einem Bruchteil der Kosten.

Zwei baugleiche Router übereinander im Rack; zwei gelbe Singlemode-Glasfaserkabel führen je in einen der beiden Router. — Ab dem Meet-Me-Room laufen zwei getrennte Trassen zu zwei Randroutern. Ob ein Routerausfall Ihre Strecke trifft, entscheidet die Portzahl: Ein Einzelport hängt an genau einem.

Übergabepunkte

Frankfurt am Main — Standort Rhein-Main I: 3 ms
Frankfurt am Main — Standort Rhein-Main II: 3 ms
Helsinki — Standort Uusimaa: 21 ms

Alle übrigen Standorte erreichen Sie über denselben Port: Ab dem Übergabepunkt läuft der Verkehr im eigenen Backbone weiter, nicht über Transit.

3 Standorte mit trägerneutralem Meet-Me-Room

Connect oder VPN

Weg: ConnectEigener Port am Randrouter; IPsec über das InternetÜber beliebig viele fremde Netze
Paketlaufzeit: ConnectZugesagt und gemessen; IPsec über das InternetAbhängig vom Weg des Tages
Schwankung: ConnectUnter 0,2 ms; IPsec über das InternetEinzelne Millisekunden bis Sekunden
Durchsatz: ConnectPortgeschwindigkeit, garantiert; IPsec über das InternetRest der Internetanbindung
Verschlüsselung: ConnectOptional, MACsec auf der Strecke; IPsec über das InternetZwingend, IPsec im Tunnel
Einrichtung: Connect10 bis 20 Werktage; IPsec über das InternetDerselbe Tag
Sinnvoll ab: Connect10 Gbit/s dauerhafter Last; IPsec über das InternetJeder Last darunter

Ein VPN ist keine schlechtere Variante von Connect, sondern die richtige Antwort auf eine andere Frage. Erst wenn Laufzeit und Durchsatz vertraglich zugesagt sein müssen, rechnet sich ein eigener Port.

Laufzeitgarantie

Zugesagt sind 2 ms Paketlaufzeit im Monatsmittel zum Randrouter des Übergabestandorts und ein Paketverlust unter 0,01 Prozent. Gemessen wird im Sekundentakt; aus denselben Werten im Kundenkonto ergibt sich eine Gutschrift nach dem Service Level Agreement.

Gemessen zwischen Übergabeport und Randrouter der Zielregion

Bestellweg

Nach der Bestellung nennen wir Portkennung und Ansprechpartner im Meet-Me-Room; die Kreuzverbindung bestellen Sie beim Gebäudebetreiber. Danach schalten wir den Port frei und prüfen die Strecke gemeinsam mit Ihnen auf Optikpegel und LACP-Zustand.

10 bis 20 Werktage bis zum Lichtsignal

Connect anfragen

Ein Layer-2-Netz über Standortgrenzen hinweg

Server, Cloud-Instanzen und verwaltete Datenbanken landen im selben Broadcast-Segment — einem Netzabschnitt, in dem eine Nachricht an alle jedes System erreicht —, auch wenn sie in Frankfurt am Main, Berlin und Helsinki stehen. Der Verkehr verlässt dabei nie das Netz von ENTRONYX CLOUD.

vRack-Optionen und ihre monatlichen Preise
Option	Preis / Monat
Kein privates Netz	inklusive
vRack 1 Gbit/sStandardIsoliertes Layer-2-Netz über alle Standorte hinweg.	inklusive
vRack 10 Gbit/sFür Storage-Replikation und Datenbank-Cluster.	39,00 €45,24 $
vRack 25 Gbit/sDedizierte Fabric für HPC- und Hypervisor-Cluster.	119,00 €138,04 $
vRack 50 Gbit/sFür verteilte Speicherpools, deren Schreibpfad über das private Netz läuft.	219,83 €255,00 $
vRack 100 Gbit/sHöchste Ausbaustufe für Verbünde mit synchroner Replikation zwischen Brandabschnitten.	421,49 €488,93 $

Alle Beträge netto, zzgl. 19 % USt.

Grenzwerte des Segments

Standard-MTU: 1500 Byte
Jumbo Frames: bis 9000 Byte
VLAN-Kennungen: 1 bis 4000, frei wählbar
VLANs je Konto: 64
Systeme je vRack: 5.000
Verkehr im vRack: ohne Berechnung
Adressierung: eigene, RFC-1918 oder öffentlich
Verschlüsselung: MACsec auf den Standortstrecken

Warum Layer 2 und nicht Layer 3

Cluster-Software erwartet häufig ein gemeinsames Segment: Keepalived mit VRRP, Proxmox-Corosync, Datenbank-Failover mit wandernder virtueller IP. Auf einem gerouteten Netz geht das nur mit Umwegen.

Technisch ist das vRack ein VXLAN-Overlay mit EVPN: VXLAN packt Ihre Layer-2-Rahmen in Pakete für unser geroutetes Netz, EVPN verteilt, welche Adresse an welchem Standort steht. Im System sehen Sie einen zweiten Netzwerkadapter, unkonfiguriert und ohne DHCP.

VXLAN mit EVPN-Kontrollebene

Jumbo Frames richtig einsetzen

Bei Speicherreplikation und Backups bringt eine größere MTU — die größte Paketlänge, die ein Segment befördert — messbar Durchsatz, weil weniger Pakete und Interrupts anfallen. Voraussetzung: Jedes System im Segment führt dieselbe MTU.

Ein einzelner Host mit 1500 Byte erzeugt sonst Fragmentierung und schwer zu findende Timeouts; deshalb setzen Sie die MTU je VLAN, nicht je System.

9000 Byte MTU senkt den Overhead um etwa 4 Prozent

Ein Ausgang für Systeme ohne öffentliche Adresse

Instanzen in einem privaten Segment sollen Pakete abholen, Zertifikate erneuern und Telemetrie senden, ohne selbst aus dem Internet erreichbar zu sein. Das Gateway setzt ihre ausgehenden Verbindungen auf eine gemeinsame öffentliche Adresse um und lässt nichts von außen herein.

Größenklassen

Die Klasse bestimmt den Durchsatz und die Zahl gleichzeitig gehaltener Umsetzungen — eine Umsetzung entspricht einer Verbindung. Der Wechsel zwischen den Klassen läuft ohne Unterbrechung, weil der Zustand auf das neue Paar übertragen wird.

Gateway-Größenklassen mit Durchsatz, Kapazität und Monatspreis
Klasse	Durchsatz	Gleichzeitige Umsetzungen	Neue je Sekunde	Preis / Monat
Gateway S	1 Gbit/s	500.000	40.000	12,00 €13,92 $
Gateway M	2 Gbit/s	1.000.000	80.000	112,83 €130,88 $
Gateway L	10 Gbit/s	2.000.000	200.000	512,83 €594,88 $

Alle Beträge netto, zzgl. 19 % USt. Der Betrag setzt sich aus der Grundgebühr einer verwalteten Netzinstanz und dem Aufpreis der jeweiligen Durchsatzklasse zusammen — denselben, den ein Uplink derselben Geschwindigkeit kostet. Ausgehender Verkehr über das Gateway wird nicht gesondert berechnet.

Grenzwerte und Verhalten

Richtung: ausschließlich ausgehend
Adressen je Gateway: 1 bis 8, aus einem Pool
Portbereich je Instanz: 1.024 Ports, erweiterbar
Zeitüberschreitung TCP: 300 s, einstellbar 60 bis 1.800 s
Zeitüberschreitung UDP: 60 s
Angebundene Segmente: bis 16 VLANs je Gateway
Protokollierung: Verbindungsprotokoll, 7 Tage im Konto
Verkehr über das Gateway: ohne gesonderte Berechnung

Was das Gateway nicht tut

Es gibt keine Portweiterleitung und keine eingehende Regel: Eine Verbindung von außen findet keinen Rückweg, weil im Umsetzungsspeicher kein Eintrag dafür steht. Wer eingehend erreichbar sein muss, nimmt einen Load Balancer oder eine öffentliche Adresse am System.

Keine Weiterleitung von außen nach innen

Hochverfügbarkeit

Jedes Gateway läuft als Paar, der Umsetzungsspeicher wird laufend abgeglichen: Bestehende Verbindungen hängen bei einer Umschaltung kurz, statt abzureißen. Wartung läuft über dieselbe Umschaltung, ein Wartungsfenster braucht es dafür nicht.

Aktiv/passiv über zwei Brandabschnitte · Umschaltung unter 3 s

Sichtbarkeit nach außen

Alle Systeme hinter demselben Gateway zeigen dieselbe Quelladresse, die Sie bei Partnern und in Zugriffslisten hinterlegen. Sie ist fest zugeteilt und ändert sich weder bei einer Umschaltung noch beim Wechsel der Größenklasse.

Eine Quelladresse für Zugriffslisten

Layer 4 und Layer 7 auf derselben Instanz

Ein Load Balancer kann gleichzeitig TCP-Ports durchreichen und HTTP-Anfragen nach Pfad verteilen. Beides läuft auf redundanter Hardware in mindestens zwei Brandabschnitten.

Layer 4 — Transport

Verteilt TCP- und UDP-Verbindungen ohne Einblick in den Inhalt. Die Verbindung bleibt Ende zu Ende verschlüsselt, der Load Balancer sieht nur Adressen und Ports.

Protokolle: TCP, UDP, TLS-Passthrough
Gleichzeitige Verbindungen: 4.000.000
Neue Verbindungen je Sekunde: 480.000
Durchsatz je Instanz: 25 Gbit/s
Client-IP-Weitergabe: PROXY-Protokoll v1 und v2
Sitzungsbindung: Quell-IP, konsistentes Hashing

Layer 7 — Anwendung

Terminiert TLS, liest Host und Pfad und verteilt danach. Header lassen sich setzen, entfernen und umschreiben; Weiterleitungen und Ratenbegrenzung sind Teil der Regel.

Protokolle: HTTP/1.1, HTTP/2, HTTP/3 (QUIC)
Anfragen je Sekunde: 250.000
Routing: Host, Pfad, Header, Cookie, Methode
Regeln je Instanz: 200
Ratenbegrenzung: je Regel, je Quell-IP oder Header
Sitzungsbindung: Cookie, wahlweise signiert

Verteilungsverfahren

Round Robin: Reihum, gleichgewichtet. Sinnvoll bei gleich dimensionierten Backends und kurzen Anfragen.
Gewichtetes Round Robin: Jedes Backend erhält ein Gewicht von 1 bis 256. Für gemischte Instanzgrößen und für schrittweise Rollouts.
Least Connections: An das Backend mit den wenigsten offenen Verbindungen. Standard bei langlebigen Verbindungen wie WebSockets.
Least Response Time: Gleitender Mittelwert der Antwortzeit über 30 Sekunden. Gleicht ungleiche Backend-Auslastung selbsttätig aus.
Quell-IP-Hash: Konsistentes Hashing über die Quelladresse. Beim Hinzufügen eines Backends wird nur ein Bruchteil der Zuordnungen neu verteilt.

Health Checks

Geprüft wird per TCP-Verbindungsaufbau oder per HTTP-Anfrage gegen einen frei wählbaren Pfad mit erwartetem Statusbereich und eigenem Host-Header. Beim Herausnehmen laufen bestehende Verbindungen aus — standardmäßig 30 Sekunden, einstellbar bis zu einer Stunde.

Intervall 2 bis 60 s · Standard 5 s

TLS-Terminierung

Zertifikate laden Sie hoch oder beziehen und erneuern sie automatisch über ACME, das Protokoll, mit dem Zertifizierungsstellen Zertifikate automatisch ausstellen. Je Hostname gehen RSA-2048 und ECDSA P-256 parallel hinaus; auf Layer 7 prüft die Instanz auf Wunsch auch Client-Zertifikate (mTLS) gegen eine eigene CA.

TLS 1.2 und 1.3 · bis 100 Zertifikate je Instanz

Preismodell

Eine Load-Balancer-Instanz kostet 12,00 €13,92 $ im Monat — mit der ersten Weiterleitungsregel, unbegrenztem Verkehr und TLS-Terminierung. Jede weitere Regel wird stundengenau mit 0,0060 €0,0070 $ je Stunde abgerechnet, das sind 4,38 €5,08 $ im Durchschnittsmonat mit 730 Stunden.

1 Regel (enthalten)
12,00 €13,92 $
im Monat
Grundgebühr 12,00 €13,92 $, keine Zusatzregel
11 Regeln
55,80 €64,73 $
im Monat
Grundgebühr 12,00 €13,92 $ + Regeln 43,80 €50,81 $
51 Regeln
231,00 €267,96 $
im Monat
Grundgebühr 12,00 €13,92 $ + Regeln 219,00 €254,04 $

Je Instanz, alle Beträge netto, zzgl. 19 % USt. · abgerechnet stundengenau

Zwei baugleiche Geräte in zwei Racks, zwischen den Racks eine Brandschutzwand. — Jede Instanz läuft als Paar über zwei Brandabschnitte. Health Checks prüfen standardmäßig alle 5 Sekunden; ein Backend gilt nach zwei Erfolgen als gesund und ist nach drei Fehlern draußen. Ohne Aufpreis: Verkehr, Zertifikate über ACME und Zugriffsprotokolle für sieben Tage.

1,2 Tbit/s Filterkapazität, immer aktiv

Der Grundschutz ist in jedem Produkt enthalten und muss nicht eingeschaltet werden. Er läuft dauerhaft mit, nicht erst nach einem Anruf beim Support.

Ablauf einer Mitigation — der Abwehr eines Angriffs

t + 0 st + 0 sErkennung im SamplingJeder Grenzrouter exportiert sFlow — eine Stichprobe des Verkehrs — im Verhältnis 1:2048, also jedes 2.048. Paket. Die Auswertung läuft im Sekundentakt gegen Basiswerte je Präfix, die aus den letzten 14 Tagen gebildet werden.
t + 3 st + 3 sSignaturabgleichBei Überschreiten der Schwelle wird das Verkehrsmuster gegen über 400 bekannte Angriffssignaturen geprüft — von UDP-Amplification über SYN-Fluten bis zu HTTP-Anfragefluten.
t + 9 st + 9 sUmleitung in die Scrubbing-ZentrenDie betroffene Zieladresse wird per BGP als /32, also einzeln, in die Scrubbing-Zentren angekündigt — die Filterzentren in Frankfurt am Main, Berlin und Helsinki. Ab hier läuft der gesamte Verkehr dieser Adresse durch die Filter.
t + 18 st + 18 sFilter aktivGefiltert wird zustandsbehaftet: Ratenbegrenzung je Quelle, Prüfung des TCP-Handshakes, Verwerfen von Paketen mit unplausiblen Kombinationen. Legitimer Verkehr fließt über einen GRE-Tunnel zurück zum Standort.
t + 3 mint + 3 minFeinabstimmungBei gebuchtem erweiterten Schutz greifen zusätzlich Layer-7-Regeln: Verhaltensanalyse je Sitzung, JavaScript-Prüfung und individuelle Regeln, die Sie vorab hinterlegt haben.
Ende + 15 minEnde + 15 minRückbau und BerichtFällt der Verkehr 15 Minuten unter die Schwelle, wird die Umleitung zurückgenommen. Im Kundenkonto liegt danach ein Bericht mit Zeitverlauf, Spitzenwerten, Vektoren und den Top-Quellnetzen.

Die Filterkapazität im Maßstab eines Servers

1,2 Tbit/s

So viel Verkehr, wie 48 Systeme mit 25 Gbit/s zusammen erzeugen könnten.

ein System, 25 Gbit/s
47 weitere derselben Größe

Was der Grundschutz abdeckt

Verstärkungsangriffe (Amplification) über DNS, NTP, memcached und SSDP, SYN- und ACK-Fluten, fragmentierte Pakete, Angriffe mit gefälschter Quelladresse. Diese Klasse macht den weit überwiegenden Teil der Vorfälle aus.

Volumetrisch, Layer 3 und 4

Wofür der erweiterte Schutz nötig ist

Anfragefluten gegen teure Endpunkte, Slowloris — Angriffe, die Verbindungen absichtlich offen halten —, verteilte Anmeldeversuche und Angriffe, die sich wie echte Nutzer verhalten. Diese Muster lassen sich volumetrisch nicht sauber trennen.

Layer 7 · ab 49,00 €56,84 $ im Monat, netto

Stufen des DDoS-Schutzes
Option	Preis / Monat
DDoS-Schutz BasisStandardVolumetrische Filterung bis 1,2 Tbit/s. In jedem Tarif enthalten.	inklusive
DDoS-Schutz ErweitertLayer-7-Analyse, Verhaltensmuster und individuelle Mitigationsregeln.	49,00 €56,84 $
DDoS-Schutz GamingProtokollspezifische Filter für UDP-Spieleprotokolle mit unter 1 ms Zusatzlatenz.	89,00 €103,24 $

Alle Beträge netto, zzgl. 19 % USt.

Filterkapazität: 1,2 Tbit/s; über drei Scrubbing-Zentren
Erkennungszeit: 3 s; Median über die letzten 12 Monate
Zusatzlatenz: unter 1 ms; im Gaming-Profil gemessen
Angriffe 2025: 18.412; automatisch abgewehrt, ohne Ticket

42 PoPs auf einer Anycast-Adresse

Ein PoP ist ein Auslieferungsstandort am Netzrand; Anycast heißt, dass alle unter derselben IP-Adresse erreichbar sind und jedes Gerät beim nächstgelegenen landet. Das Routing dorthin übernimmt das Netz, nicht ein DNS-Trick, der auf ablaufende Zwischenspeicher wartet.

Cache-Regeln

Regeln greifen auf Pfadmuster, Dateiendung, Methode, Header und Query-Parameter und legen Cache-Dauer, Vary-Header und die Weitergabe von Cookies fest. Ohne Regel gilt die Cache-Control des Ursprungs; fehlt auch die, wird nicht zwischengespeichert.

Bis 100 Regeln je Zone, Auswertung von oben nach unten

Invalidierung

Ungültig machen lässt sich einzeln per URL, nach Präfix oder über Cache-Tags, die der Ursprung im Antwort-Header mitgibt. Für Bereitstellungen sind Tags vorzuziehen: ein Aufruf statt tausend URLs.

An allen PoPs unter 30 s · 5.000 Aufrufe je Tag

Ursprungsschutz

Alle PoPs holen fehlende Objekte über eine vorgelagerte Zwischenschicht; das senkt die Anfragen am Ursprung bei kaltem Cache um typischerweise 90 Prozent. Fällt der Ursprung aus, liefert das CDN bis zu 24 Stunden lang die letzte gültige Antwort weiter (Stale-While-Revalidate).

Origin Shield an einem Standort Ihrer Wahl

Preise je ausgeliefertem Terabyte

Abgerechnet wird das Volumen, das die PoPs an Endgeräte ausliefern; Abruf vom Ursprung, TLS, HTTP/3 und Invalidierung sind enthalten. Die Staffel gilt gleitend: Jedes Terabyte kostet den Satz der Stufe, in die es fällt.

Erste 10 TB
9,90 €11,48 $
je TB
Einstiegsstaffel, keine Mindestabnahme
10 bis 100 TB
7,40 €8,58 $
je TB
Automatisch ab Überschreiten der ersten Staffel
100 bis 500 TB
5,20 €6,03 $
je TB
Typische Staffel für Mediatheken
Ab 500 TB
3,90 €4,52 $
je TB
Darüber auf Anfrage mit Jahreszusage

Beispiel: 50 TB im Monat kosten gleitend gerechnet 10 × 9,90 €11,48 $ + 40 × 7,40 €8,58 $ = 395,00 €458,20 $, netto zzgl. 19 % USt.

Technische Eckwerte

PoPs: 42 Auslieferungsknoten am Netzrand
Adressierung: Anycast über IPv4 und IPv6
Protokolle: HTTP/1.1, HTTP/2, HTTP/3
Kompression: Brotli und gzip, am PoP erzeugt
Bildumwandlung: AVIF und WebP nach Accept-Header
Objektgröße im Cache: bis 20 GB
Zertifikate: ACME, automatisch erneuert
Protokolle im Konto: Rohdaten 30 Tage, aggregiert 13 Monate
Verfügbarkeit im vRack: als privater Ursprung nutzbar

IPv4 knapp, IPv6 im Überfluss

Jedes System bringt eine IPv4-Adresse und ein /64-IPv6-Präfix mit; weitere IPv4-Subnetze vergeben wir nach den Regeln der RIPE NCC, der Adressverwaltung für Europa. Darunter: die Adresse, die zwischen Systemen wandert, und der Block, der Ihnen selbst gehört.

IPv4-Subnetze und ihre monatlichen Preise
Option	Preis / Monat
1 × IPv4 + /64 IPv6StandardStandardkonfiguration, im Preis enthalten.	inklusive
/30 Subnetz (4 × IPv4)2 nutzbare Adressen zusätzlich.	6,00 €6,96 $
/29 Subnetz (8 × IPv4)6 nutzbare Adressen zusätzlich.	14,00 €16,24 $
/28 Subnetz (16 × IPv4)14 nutzbare Adressen zusätzlich.	27,00 €31,32 $
/27 Subnetz (32 × IPv4)Verwendungsnachweis erforderlich30 nutzbare Adressen. Begründung nach RIPE-Richtlinie nötig.	52,00 €60,32 $

Alle Beträge netto, zzgl. 19 % USt. · keine Einrichtungsgebühr

RIPE-Vergaberichtlinie

IPv4-Adressen sind seit 2019 erschöpft, die RIPE NCC vergibt nur noch aus dem Rücklauf. Ab einem /27 verlangen wir deshalb einen Verwendungsnachweis; die Prüfung dauert in der Regel einen Werktag.

Ungenutzte Zuteilungen fordern wir nach 60 Tagen zurück — keine Schikane, sondern Bedingung unserer eigenen Zuteilung.

Nachweispflicht ab einem /27

IPv6 und Reverse DNS

Ein /64 reicht für ein Segment, ein /48 für ein ganzes Netz mit 65.536 Segmenten; beides kostet nichts. Reverse-DNS-Einträge — den Namen, den eine Adresse bei der Rückwärtsabfrage liefert — setzen Sie im Kundenkonto selbst.

Eigene Adressbereiche kündigen wir über unsere AS-Nummer an, siehe eigener Adressblock.

/64 inklusive, /48 auf Anfrage

Verwaltete IPv4: 412.672; aus eigenen Zuteilungen
RPKI-signiert: 100 %; alle Präfixe mit gültiger Ursprungsfreigabe (ROA)
Standorte live: 5; mit eigener Adressvergabe
Reverse DNS: Selbstbedienung; Änderung binnen 60 Sekunden aktiv

Floating IP — eine Adresse, die umzieht

Eine Floating IP gehört dem Konto, nicht dem System: Sie schalten sie innerhalb eines Standorts von einer Instanz auf eine andere um — beim Ausfallwechsel, beim Versionswechsel oder wenn ein Server ersetzt wird. Der Umweg über DNS entfällt und mit ihm die Wartezeit, bis eine TTL — die Gültigkeitsdauer eines DNS-Eintrags — in jedem Zwischenspeicher abgelaufen ist.

Ablauf einer Umschaltung

t + 0 st + 0 sUmschaltung angefordertEin Aufruf im Kundenkonto oder über die API benennt das Zielsystem. Eine Bestätigung, ein Wartungsfenster oder ein Ticket sind nicht nötig.
t + 1 st + 1 sRoute im Backbone geändertDie Adresse wird als /32, also einzeln, auf den Randrouter des Zielsystems umgeschrieben und auf dem bisherigen zurückgezogen. Beides geschieht in derselben Transaktion, sodass die Adresse nie an zwei Stellen liegt.
t + 4 st + 4 sIm Netz wirksamMedian der Umschaltungen der letzten zwölf Monate. Bestehende Verbindungen zum alten System brechen ab — die Umschaltung ersetzt keinen Verbindungsabgleich, sie verlegt nur die Adresse.
t + 10 st + 10 sZugesagte ObergrenzeSpätestens hier ist die Adresse am neuen System erreichbar. Ein DNS-Eintrag wird dabei nicht angefasst, also wartet auch niemand auf das Ablaufen einer TTL.

Berechnung nach Zustand

Solange die Adresse an einem laufenden System hängt, kostet sie nichts zusätzlich. Berechnet wird nur die Reservierung ohne Nutzung — der Fall, in dem eine knappe Adresse belegt ist, ohne zu arbeiten.

An ein System gebunden
ohne Berechnung
Zählt als die enthaltene IPv4-Adresse dieses Systems.
Reserviert, nicht gebunden
0,0024 €0,0028 $ / h
1,73 €2,01 $ im Monat
Die Adresse bleibt Ihnen zugeteilt und ist für niemanden sonst verfügbar.
60 Tage ohne Bindung
entfällt
Die Zuteilung wird nach Ankündigung eingezogen — dieselbe Regel wie bei ungenutzten Subnetzen.

Alle Beträge netto, zzgl. 19 % USt. Der Stundensatz leitet sich aus der IPv4-Staffel ab: 52,00 €60,32 $ für ein /27 mit 30 nutzbaren Adressen ergibt 1,73 €2,01 $ je Adresse und Monat, geteilt durch 730 Stunden. Gerechnet wird ungerundet, gerundet wird erst bei der Ausgabe.

Grenzwerte

Adressfamilien: IPv4 und IPv6
Floating IPs je Konto: 32, mehr auf Anfrage
Umschaltbereich: innerhalb eines Standorts
Umschaltungen je Stunde: 60 je Adresse
Reverse DNS: wandert mit der Adresse
DDoS-Schutz: gilt für die Adresse, nicht für das System
Zielsysteme: Cloud-Instanz, VPS, dedizierter Server
Steuerung: Kundenkonto, API, Terraform-Anbieter

Eigener Adressblock — BYOIP

Wer bereits einen eigenen Adressblock hält, bringt ihn mit: Wir kündigen ihn über AS204812 an, die Adressen und die Zuteilung bleiben bei Ihnen. Für Zugriffslisten bei Partnern, für die Reputation im E-Mail-Versand und für jeden Vertrag, in dem eine Adresse steht, ändert sich beim Umzug nichts.

Vom Nachweis bis zur Ankündigung

Schritt 1Schritt 1Nachweis der VerfügungsgewaltEine LOA — Letter of Authorization — auf Briefpapier der eingetragenen Organisation, unterzeichnet von einer zeichnungsberechtigten Person. Sie benennt das Präfix, den Zeitraum und uns als ankündigendes Netz.
Schritt 2Schritt 2ROA in der RPKIDie RPKI ist das Register, in dem steht, welches Netz ein Präfix ankündigen darf. Sie hinterlegen dort im Portal Ihres Regional Internet Registry ein ROA-Objekt, das AS204812 als zulässiges Ursprungs-AS für das Präfix führt. Ohne gültiges ROA verwerfen große Netze die Ankündigung — dann ist der Block angekündigt, aber nicht erreichbar.
Schritt 3Schritt 3Route-Objekt in der RegistrierungsdatenbankZusätzlich ein route- beziehungsweise route6-Objekt in der RIPE-Datenbank. Mehrere große Netze bauen ihre Präfixfilter weiterhin daraus und nicht aus der RPKI allein.
Schritt 4Schritt 4Prüfung bei unsWir gleichen LOA, ROA, Route-Objekt und die eingetragene Organisation gegeneinander ab. Das dauert in der Regel zwei Werktage. Stimmt etwas nicht überein, sagen wir, was fehlt — wir kündigen nichts an, was wir nicht belegen können.
Schritt 5Schritt 5AnkündigungNach der Freigabe geht das Präfix binnen eines Werktags in die Ankündigung. Global sichtbar ist es meist nach weniger als vier Stunden; einzelne Netze aktualisieren ihre Filter im Tagesrhythmus, deshalb rechnen wir mit bis zu 24 Stunden.

Was wir ankündigen

IPv4, kleinster Block: /24 — kleiner wird global gefiltert
IPv4, größter Block: /16
IPv6, kleinster Block: /48
IPv6, größter Block: /32
Herkunft: eigene Zuteilung oder Übertragung von einem LIR (Local Internet Registry)
Ankündigende AS-Nummer: AS204812 oder Ihre eigene
Standorte je Präfix: einer oder mehrere, auch als Anycast
Einrichtung und Betrieb: ohne Berechnung

Adressblock ankündigen lassen

Fragen vor der Bestellung

6 Fragen, die regelmäßig kommen. Die Antworten rechnen mit denselben Katalogwerten wie die Abschnitte darüber.

Ihre Frage ist nicht dabei? Beschreiben Sie uns Ihr Vorhaben.

Was ist bei jedem System schon enthalten?

Eine garantierte Anbindung mit 1 Gbit/s, eine IPv4-Adresse samt /64-IPv6-Präfix und der DDoS-Grundschutz mit 1,2 Tbit/s Filterkapazität. Dazu kommt das vRack 1 Gbit/s als privates Netz zwischen Ihren Systemen; der Verkehr darin wird nicht berechnet.

Bausteine im Netzplaner zusammenstellen

Wann lohnt sich Connect statt eines VPN?

Ab 10 Gbit/s dauerhafter Last oder sobald Laufzeit und Durchsatz vertraglich zugesagt sein müssen. Darunter trägt ein IPsec-Tunnel über das Internet dieselbe Last zu einem Bruchteil der Kosten.

Port 10 Gbit/s je Monat, netto500,83 €580,96 $

Connect und VPN im Vergleich

Gateway oder Floating IP — was brauche ich?

Das Gateway teilt eine öffentliche Adresse unter vielen Systemen, nur ausgehend, und von außen erreicht niemand die Systeme dahinter. Eine Floating IP gehört genau einem System, wirkt in beide Richtungen und lässt sich für einen Ausfallwechsel auf ein anderes System umschalten.

Gateway im Detail

Was kostet eine Floating IP?

An ein laufendes System gebunden nichts, denn sie zählt als dessen enthaltene IPv4-Adresse. Berechnet wird nur die Reservierung ohne Bindung, stundengenau; nach 60 Tagen ohne Bindung wird die Adresse eingezogen.

Reserviert ohne Bindung, je Monat netto1,73 €2,01 $

Berechnung nach Zustand

Wie bringe ich meinen eigenen Adressblock mit?

Mit drei Nachweisen: einer LOA, also der unterschriebenen Vollmacht für das Präfix, einem ROA-Objekt in der RPKI, das AS204812 als Ursprung zulässt, und einem Route-Objekt in der RIPE-Datenbank. Unsere Prüfung dauert in der Regel zwei Werktage; der kleinste Block ist ein /24.

Vom Nachweis bis zur Ankündigung

Was passiert bei einem Angriff?

Die Grenzrouter erkennen ihn in einer laufenden Stichprobe des Verkehrs und leiten die angegriffene Adresse in die Filterzentren in Frankfurt am Main, Berlin und Helsinki um; nach 18 Sekunden filtern sie. Die Umleitung endet 15 Minuten nach dem Angriff, danach liegt ein Bericht im Kundenkonto — ohne dass Sie ein Ticket öffnen.

Ablauf einer Mitigation

Ein Netz,das uns gehört

Welches Netzbrauchen Sie?

VorhabenAusgangspunkt, danach frei einstellbar

Systeme bei ENTRONYX

Standort

vRackprivates Netz zwischen Ihren Systemen

Connecteigene Leitung statt Tunnel

Load Balancer

GatewayAusgang für Systeme ohne öffentliche Adresse

Adressen

Ausgehender Verkehr

Laufzeit

Der Weg eines Pakets durch unser Netz

Zusammenschaltung

DDoS-Filter

Backbone-Ring

Öffentlicher Rand

Gateway

Privates Netz

Ihre Systeme

Connect

CDN

Ein Ring, keine einzelne Trasse

Zwei Wege aus dem Netz hinaus

Peering

Uplink je System

Standorte im Backbone

Eine Leitung statt eines Tunnels

Bandbreitenklassen

Übergabepunkte

Connect oder VPN

Laufzeitgarantie

Bestellweg

Ein Layer-2-Netz über Standortgrenzen hinweg

Grenzwerte des Segments

Warum Layer 2 und nicht Layer 3

Jumbo Frames richtig einsetzen

Ein Ausgang für Systeme ohne öffentliche Adresse

Größenklassen

Grenzwerte und Verhalten

Was das Gateway nicht tut

Hochverfügbarkeit

Sichtbarkeit nach außen

Layer 4 und Layer 7 auf derselben Instanz

Layer 4 — Transport

Layer 7 — Anwendung

Verteilungsverfahren

Health Checks

TLS-Terminierung

Preismodell

1,2 Tbit/s Filterkapazität, immer aktiv

Ablauf einer Mitigation — der Abwehr eines Angriffs

Die Filterkapazität im Maßstab eines Servers

Was der Grundschutz abdeckt

Wofür der erweiterte Schutz nötig ist

42 PoPs auf einer Anycast-Adresse

Cache-Regeln

Invalidierung

Ursprungsschutz

Preise je ausgeliefertem Terabyte

Technische Eckwerte

IPv4 knapp, IPv6 im Überfluss

RIPE-Vergaberichtlinie

IPv6 und Reverse DNS

Floating IP — eine Adresse, die umzieht

Ablauf einer Umschaltung

Berechnung nach Zustand

Grenzwerte

Eigener Adressblock — BYOIP

Vom Nachweis bis zur Ankündigung

Was wir ankündigen

Fragen vor der Bestellung

Ihr Netz steht in fünf Entscheidungen

Ein Netz,
das uns gehört