Agregue sus activos de IP pública como objetos protegidos para que Anti-DDoS Native aplique la política de mitigación predeterminada. En este tema se describe cómo agregar objetos protegidos, habilitar el bloqueo de tráfico transfronterizo y solucionar problemas comunes al agregar un activo Advanced EIP de Anti-DDoS.
Antes de empezar
Para agregar objetos protegidos (como activos Advanced EIP) mediante una instancia de Anti-DDoS Native, primero debe completar la autorización de Service Linked Role (SLR). Vaya a la página Instance Management y complete the authorization. Esto permite que la instancia de Anti-DDoS Native acceda a otros productos en la nube.
Nombre del rol: AliyunServiceRoleForDDoSBgp. Política: AliyunServiceRolePolicyForDDoSBgp.
Agregar un objeto protegido
Si es la primera vez que utiliza Anti-DDoS Native, complete la autorización de productos en la nube cuando agregue un objeto protegido. Así, Anti-DDoS Native podrá acceder a sus demás productos en la nube.
Productos estándar en la nube
Automático
Ámbito de aplicación
Todas las ediciones de instancias de Anti-DDoS Native 2.0.
-
Activos compatibles:
Admite la adición automática de activos bajo la cuenta actual de Alibaba Cloud.
Si la administración multicuenta está habilitada, solo se admiten los activos ECS, EIP (incluido NAT), puerta de enlace IPv6 y SLB de las cuentas miembro. Otros tipos de activos no son compatibles.
Reglas de adición
Condición de activación: Un producto en la nube se agrega automáticamente solo cuando su estado es Traffic Scrubbing o Blackhole.
Activos existentes: Después de habilitar la adición automática, los productos en la nube existentes que cumplen con los requisitos de estado se agregan en un plazo de 5 a 30 minutos.
Activos recién creados: Los productos en la nube recién creados que cumplen con las reglas de estado también se agregan automáticamente como objetos protegidos.
-
Varias instancias:
Si compró una instancia de Anti-DDoS Native 2.0 (Pay-as-you-go), los activos se agregan preferentemente a dicha instancia pay-as-you-go.
Si compró varias instancias de Anti-DDoS Native 2.0 (Subscription) y todas tienen habilitada la adición automática, una instancia aleatoria entra en vigor para la protección.
Habilitar la adición automática
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
En la esquina superior izquierda de la barra de navegación superior, seleccione el resource group de la instancia y elija All Regions como región.
En el panel de navegación izquierdo, vaya a .
En la página Protected Objects, seleccione la instancia de destino y haga clic en Protection Status by Attack Status dentro de Enable. Configure bajo qué estado del activo se agrega automáticamente como objeto protegido.
Manual
Ámbito de aplicación
Tipo de instancia | Edición | Ámbito de activos que se pueden proteger |
Anti-DDoS Native 1.0 (Subscription) | Anti-DDoS Native (Enterprise) | Activos de la cuenta actual |
Anti-DDoS Native 2.0 (Subscription) | Anti-DDoS Native (SMB) | Activos de la cuenta actual |
Anti-DDoS Native (Enterprise) | Activos de la cuenta actual; activos ECS, EIP (incluido NAT), puerta de enlace IPv6 y SLB de las cuentas miembro | |
Anti-DDoS Native 2.0 (Pay-as-you-go) | Anti-DDoS Native (Enterprise) | Activos de la cuenta actual; activos ECS, EIP (incluido NAT), puerta de enlace IPv6 y SLB de las cuentas miembro |
Agregar activos de la cuenta actual
Anti-DDoS Native 2.0
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
En la esquina superior izquierda de la barra de navegación superior, seleccione el resource group de la instancia y elija All Regions como región.
En el panel de navegación izquierdo, vaya a .
En la página Protected Objects, seleccione la instancia de destino y haga clic en Add Object for Protection.
-
Seleccione Add Asset o Add Manually y, a continuación, haga clic en Confirm.
Add Asset: Entre los activos disponibles, seleccione los activos de IP pública de la cuenta actual de Alibaba Cloud.
Add Manually: Introduzca manualmente los activos de IP pública de la cuenta actual de Alibaba Cloud.
Compruebe que el activo de IP agregado aparezca en la lista de objetos protegidos con el estado Normal.
Anti-DDoS Native 1.0
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
En la esquina superior izquierda de la barra de navegación superior, seleccione el resource group y la región de la instancia.
En el panel de navegación izquierdo, vaya a .
En la página Protected Objects, seleccione la instancia de destino y haga clic en Add Object for Protection.
-
Seleccione Add Asset o Add Manually y, a continuación, haga clic en Confirm.
Add Asset: Entre los activos disponibles, seleccione los activos de IP pública de la cuenta actual de Alibaba Cloud.
Add Manually: Introduzca manualmente los activos de IP pública de la cuenta actual de Alibaba Cloud.
Compruebe que el activo de IP agregado aparezca en la lista de objetos protegidos con el estado Normal.
Agregar activos de cuentas miembro
Si la cuenta actual de Alibaba Cloud tiene habilitada la administración multicuenta y es una cuenta de administración, puede agregar activos de IP pública de las cuentas miembro como objetos protegidos. Para obtener más información, consulte Configuration instructions for multi-account unified management.
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
En la esquina superior izquierda de la barra de navegación superior, seleccione el resource group de la instancia y elija All Regions como región.
En el panel de navegación izquierdo, vaya a .
En la página Protected Objects, seleccione la instancia de destino y haga clic en Add Object for Protection.
En la pestaña Add Assets of Members, dentro del área Owner Account of Asset, seleccione la cuenta de destino.
Entre los activos disponibles, seleccione los activos de la cuenta miembro que requieren protección y, a continuación, haga clic en Confirm.
Compruebe que el activo de IP agregado aparezca en la lista de objetos protegidos con el estado Normal.
Productos mejorados en la nube
Ámbito de aplicación
Aplica únicamente a las instancias Anti-DDoS Native 2.0 (Subscription) - Enterprise y Anti-DDoS Native 2.0 (Pay-as-you-go).
Productos en la nube compatibles: activos Advanced EIP de Anti-DDoS.
Funcionamiento de las Advanced EIP
Después de comprar una Advanced EIP, el sistema la agrega automáticamente como objeto protegido a una instancia de Anti-DDoS Native 2.0 (Pay-as-you-go) o de Anti-DDoS Native 2.0 (Subscription) - Enterprise. No se requiere ninguna configuración manual.
No es posible agregar Advanced EIP manualmente desde la consola.
Reglas de adición automática
-
Advanced EIP recién adquirida (escenario sin Resource Directory):
Si solo tiene una instancia de Anti-DDoS Native 2.0 (Pay-as-you-go), la EIP se agrega automáticamente a dicha instancia.
Si solo tiene una instancia de Anti-DDoS Native 2.0 (Subscription) - Enterprise, la EIP se agrega automáticamente a dicha instancia.
Si tiene tanto una instancia Pay-as-you-go como una instancia Subscription - Enterprise, la EIP se agrega preferentemente a la instancia Pay-as-you-go.
-
Escenario multicuenta de Resource Directory (RD) (una subcuenta compra la Advanced EIP): La EIP se asocia automáticamente según una estrategia jerárquica:
Las instancias pay-as-you-go tienen prioridad sobre las instancias de suscripción.
Los recursos de la cuenta principal tienen prioridad sobre los recursos de las cuentas miembro.
Entre las instancias de suscripción, se prefiere aquella con mayor capacidad restante.
Prioridad
Cuenta
Instancia
1
Cuenta principal de RD
Anti-DDoS Native 2.0 (Pay-as-you-go)
2
Cuenta miembro de RD
Anti-DDoS Native 2.0 (Pay-as-you-go)
3
Cuenta principal de RD
Anti-DDoS Native 2.0 (Subscription) - Enterprise
NotaSe prefiere la instancia con mayor capacidad restante.
4
Cuenta miembro de RD
Anti-DDoS Native 2.0 (Subscription) - Enterprise
NotaSe prefiere la instancia con mayor capacidad restante.
Ciclo de vida de las Advanced EIP
El ciclo de vida de los activos Advanced EIP está alineado con la instancia de Anti-DDoS Native 2.0 (Enterprise):
Cuando se libera una Advanced EIP, la información del activo se sincroniza con Anti-DDoS Native mediante una API y el activo se elimina automáticamente de la instancia.
Cuando una instancia de Anti-DDoS Native (Subscription) caduca, se sincroniza un mensaje con la EIP para detener el reenvío de tráfico. Una vez detenido el reenvío, la EIP puede seguir utilizándose después de renovar la instancia. Si la instancia no se renueva, la EIP sigue el ciclo de vida de Anti-DDoS Native para la suspensión y liberación.
-
Cuando la instancia de Anti-DDoS Native se suspende y se libera, la Advanced EIP asociada también se libera automáticamente. La Advanced EIP deja de prestar servicio, y las configuraciones y datos relacionados se eliminan permanentemente sin posibilidad de recuperación.
AvisoMigre su negocio y sus datos desde la Advanced EIP antes de que se libere la instancia de Anti-DDoS Native para evitar la pérdida de datos.
Gestionar objetos protegidos
Habilitar el bloqueo de tráfico transfronterizo
Cuando esta función está habilitada, descarta todo el tráfico transfronterizo durante un periodo de bloqueo especificado. Resulta adecuada para escenarios donde el servicio en sí no genera tráfico transfronterizo. Por lo general, el bloqueo de tráfico transfronterizo utiliza routers principales en la red troncal del proveedor para descartar el tráfico proveniente de regiones específicas cercanas al origen del ataque.
-
Reglas de compatibilidad por región:
Activos de IP pública en China continental: Después de habilitar el bloqueo de tráfico transfronterizo, se bloquea todo el tráfico proveniente de fuera de China continental.
Activos de IP pública fuera de China continental: El bloqueo de tráfico transfronterizo no es compatible.
Mecanismo de desbloqueo: El bloqueo de tráfico se levanta automáticamente cuando finaliza la duración establecida. Para levantarlo antes, deshabilite la función manualmente.
Cuota y límites: La política efectiva de bloqueo de tráfico transfronterizo tiene un límite de tiempo y una cuota mensual de 10 usos.
Revise la página de análisis de ataques en la consola de Traffic Security para determinar si todo el tráfico de ataque proviene de direcciones IP transfronterizas. De ser así, habilite el bloqueo de tráfico transfronterizo para el activo de IP pública y evite desperdiciar su cuota mensual.
Procedimiento
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
-
En la barra de navegación superior, seleccione el resource group al que pertenecen las instancias y la región donde residen.
Instancias de Anti-DDoS Native 1.0 (Subscription): Seleccione la región donde reside la instancia.
Instancias de Anti-DDoS Native 2.0 (Subscription) y Anti-DDoS Native 2.0 (Pay-as-you-go): Seleccione All Regions.
En el panel de navegación izquierdo, vaya a .
-
Después de seleccionar la instancia de destino, ubique la IP objetivo y active el interruptor en la columna Cross-Border Traffic Blocking. Establezca la duración del bloqueo.
NotaLa duración del bloqueo varía de 30 minutos a 1 día y se define mediante la hora de inicio y la hora de finalización. Una vez activa, no se puede modificar. Para cambiarla, deshabilite el bloqueo de tráfico transfronterizo activo y vuelva a habilitarlo con una nueva duración.
Consulte la configuración en la lista de activos. Cuando termina la duración del bloqueo, este se cancela automáticamente y el estado del bloqueo de tráfico transfronterizo cambia a deshabilitado.
Consultar los detalles de los objetos protegidos
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
-
En la barra de navegación superior, seleccione el resource group al que pertenecen las instancias y la región donde residen.
Instancias de Anti-DDoS Native 1.0 (Subscription): Seleccione la región donde reside la instancia.
Instancias de Anti-DDoS Native 2.0 (Subscription) y Anti-DDoS Native 2.0 (Pay-as-you-go): Seleccione All Regions.
En el panel de navegación izquierdo, vaya a .
-
En la página Protected Objects, seleccione la instancia que desea consultar. Revise los detalles de la configuración de protección de los activos de IP pública asociados a esta instancia.
Activos de IP y activos de WAF
Elemento
Descripción
IP
El activo de IP pública vinculado a esta instancia.
Owner Account of Asset
Se muestra cuando la cuenta actual de Alibaba Cloud tiene habilitada la administración multicuenta, es una cuenta de administración y utiliza una instancia Anti-DDoS Native 2.0 Anti-DDoS Native (Enterprise). Indica la cuenta de Alibaba Cloud a la que pertenece el activo de IP pública.
Traffic Scrubbing Threshold
El ancho de banda de acceso mínimo que activa la limpieza de tráfico, lo cual incluye el tráfico (Mbps) y la tasa de paquetes (PPS). Para obtener más información, consulte Scrubbing threshold description for protected objects.
Asset Region
La región a la que pertenece el activo de IP pública.
Asset Type
El tipo de activo de la IP pública.
Status
El estado de seguridad DDoS del activo de IP pública.
Normal
Under blackhole: Haga clic en Actions en la columna Deactivate Blackhole Filtering. En el cuadro de diálogo Deactivate Blackhole Filtering, consulte las desactivaciones de blackhole restantes. Después de confirmar la desactivación, haga clic en OK. Consulte los registros de eventos de blackhole. Para obtener más información, vea View blackhole event records.
Mitigation Policy
La plantilla de política de protección asociada al activo de IP pública.
Si el valor es Default, indica que el activo de IP pública utiliza la capacidad de protección predeterminada de Anti-DDoS Native sin una política de protección configurada. Si se trata de una plantilla de política de protección personalizada, haga clic en ella para ir a la página de configuración de protección y consultar los detalles de la plantilla.
Cross-Border Traffic Blocking
Indica si el bloqueo de tráfico transfronterizo está habilitado.
Actions
Delete: Elimine el objeto protegido. Esta operación solo es compatible cuando el activo se encuentra en estado de blackhole.
Deactivate Blackhole Filtering: Esta operación solo es compatible cuando el activo se encuentra en estado de blackhole.
View Applied Policy: Consulte la información específica de la política de protección que entra en vigor en tiempo real para este activo de IP pública.
Advanced EIP de Anti-DDoS
Elemento
Descripción
IP
Dirección de la Advanced EIP.
Owner Account of Asset
Se muestra cuando la cuenta actual de Alibaba Cloud tiene habilitada la administración multicuenta y es una cuenta de administración. Indica la cuenta de Alibaba Cloud a la que pertenece la Advanced EIP.
Traffic Scrubbing Threshold
El ancho de banda de acceso mínimo que activa la limpieza de tráfico, lo cual incluye el tráfico (Mbps) y la tasa de paquetes (PPS). Para obtener más información, consulte Scrubbing threshold description for protected objects.
Asset Region
La región a la que pertenece la Advanced EIP.
Asset Type
Advanced EIP de Anti-DDoS (Advanced EIP).
Ports
La cantidad de puertos configurados con protección de puerto en la Advanced EIP. Haga clic en el icono a la izquierda de la IP de destino para ver qué puertos tienen políticas de protección configuradas.
Status
El estado de seguridad DDoS de la Advanced EIP.
Normal
Under blackhole: Haga clic en Actions en la columna Deactivate Blackhole Filtering. En el cuadro de diálogo Deactivate Blackhole Filtering, consulte las desactivaciones de blackhole restantes. Después de confirmar la desactivación, haga clic en OK. Consulte los registros de eventos de blackhole. Para obtener más información, vea View blackhole event records.
Mitigation Policy
La plantilla de política de protección asociada a la Advanced EIP.
Si el valor es Default, indica que la Advanced EIP utiliza la capacidad de protección predeterminada de Anti-DDoS Native sin una política de protección configurada. Si se trata de una plantilla de política de protección personalizada, haga clic en ella para ir a la página de configuración de protección y consultar los detalles de la plantilla.
Cross-Border Traffic Blocking
Indica si el bloqueo de tráfico transfronterizo está habilitado.
Actions
Add Port: Agregue un puerto específico. Esta operación solo es compatible cuando la Advanced EIP se encuentra en estado de blackhole.
Deactivate Blackhole Filtering: Esta operación solo es compatible cuando la Advanced EIP se encuentra en estado de blackhole.
View Applied Policy: Consulte los detalles de la política de protección de la Advanced EIP.
Eliminar un objeto protegido
En la página Protected Objects, seleccione la instancia de destino.
En la lista de activos, ubique el activo de IP pública o la Advanced EIP de destino y haga clic en Delete en la columna Actions.
En el cuadro de diálogo Delete Protected Object, revise la advertencia y haga clic en OK.
Reasignar activos por lotes
Inicie sesión en la consola de Traffic Security. En el panel de navegación izquierdo, elija DDoS.
En la esquina superior izquierda de la barra de navegación superior, seleccione el resource group de la instancia y elija All Regions como región.
En el panel de navegación izquierdo, vaya a .
Vaya a la pestaña de activos correspondiente, como Advanced EIP, y haga clic en Batch Reassign Assets debajo de la lista.
-
En el cuadro de diálogo, seleccione la instancia de Anti-DDoS Native de destino y haga clic en OK.
AvisoLa migración por lotes completa falla si ocurre alguna de las siguientes condiciones. No se admite la migración parcial:
Discrepancia de región del activo: La instancia de destino no es compatible con la región de los activos que se van a migrar (por ejemplo, activos de China continental que se migran a una instancia que solo admite activos de regiones fuera de China continental).
Capacidad insuficiente: La cantidad de activos que se van a migrar supera el límite de IP protegidas de la instancia de destino.
Bajo ataque: Las direcciones IP en estado de limpieza no pueden cambiar de instancia vinculada.
Pasos siguientes
Preguntas frecuentes
-
¿Las Advanced EIP se agregan automáticamente como objetos protegidos?
Sí. Cuando compra una Advanced EIP, esta se agrega automáticamente como un objeto protegido. No es necesario configurar nada de forma manual. Para más detalles, consulte Automatic addition rules.
-
¿Es posible habilitar el bloqueo de tráfico transfronterizo en las Advanced EIP?
Sí. Al ser un objeto protegido, una Advanced EIP admite esta función cuando recibe ataques DDoS transfronterizos y bloquea el tráfico proveniente de fuera de China continental. La política de bloqueo de tráfico transfronterizo tiene una cuota mensual de 10 usos. Úsela únicamente durante un ataque.
-
¿Cómo se relaciona el ciclo de vida de una Advanced EIP con la instancia de Anti-DDoS Native?
El ciclo de vida de las Advanced EIP está alineado con el de las instancias de Anti-DDoS Native 2.0 (Enterprise). Cuando se libera una Advanced EIP, el activo se elimina automáticamente de la instancia de Anti-DDoS Native. Si una instancia de Anti-DDoS Native caduca y se libera, la Advanced EIP asociada también se libera de forma automática. Para más detalles, consulte Lifecycle of Advanced EIPs.
-
¿Qué debo hacer si la capacidad de IP está llena?
Aumente la capacidad de IP protegidas de su instancia de Anti-DDoS Native o compre una nueva instancia. Para conocer los procedimientos relacionados, consulte Instance management y Pricing.
-
¿Cómo cambio un activo de una cuenta miembro a la cuenta de administración?
Un activo de IP pública solo puede estar protegido por una instancia. Elimine primero el objeto protegido de la cuenta miembro y luego agréguelo en la cuenta de administración.
-
¿Qué hago si recibo el error "The IP address does not belong to you"?
Siga estos pasos para solucionar el problema:
Compruebe que la dirección IP ingresada sea correcta.
Revise la región del producto en la nube correspondiente a la IP protegida y confirme que coincida con la región de la instancia de Anti-DDoS Native.
Si la IP protegida es una IP de WAF, revise la región de la instancia de WAF y confirme que Anti-DDoS Native sea compatible con esa región. Para consultar las regiones compatibles, consulte What is Anti-DDoS Native.
Si el tipo de IP protegida es IPv6, compruebe que el ancho de banda público esté habilitado. Para saber cómo habilitar el ancho de banda público IPv6 en ECS, consulte IPv6 communication.
-
¿Qué debo hacer si no se puede agregar una Advanced EIP?
Si no se logra agregar una Advanced EIP como objeto protegido, revise a continuación las causas comunes y sus soluciones:
SLR sin autorización: la función Advanced EIP requiere autorización de SLR. Vaya a la página Instance Management y complete la autorización según las indicaciones.
Región incompatible: la región de la Advanced EIP no coincide con la de la instancia de Anti-DDoS Native. Actualice la instancia para incluir la región de la Advanced EIP.
Capacidad insuficiente: la capacidad de IP de la instancia está llena. Actualice la instancia para aumentar dicha capacidad.
Edición incompatible: la edición actual de la instancia no es compatible con esta función. Actualice a Anti-DDoS Native 2.0 (Enterprise).
Instancia caducada: la instancia ha caducado. Renueve la instancia.
Instancia liberada: la instancia ya se liberó. Compre una nueva instancia.
Error de comprobación de STS: ocurrió un error del lado del servicio. Inténtelo de nuevo más tarde o póngase en contacto con el soporte técnico.