Anti-DDoS Proxy protege sus servicios contra ataques distribuidos de denegación de servicio (DDoS) a gran escala. Este servicio redirige el tráfico a centros de limpieza distribuidos globalmente que filtran el tráfico malicioso y reenvían únicamente el tráfico legítimo a su servidor de origen, lo cual garantiza la estabilidad y disponibilidad durante un ataque.
Funcionamiento
Anti-DDoS Proxy garantiza la estabilidad del servicio en tres pasos:
Redirección de tráfico: Todo el tráfico entrante de Internet se redirige a un centro de limpieza Anti-DDoS mediante la modificación del registro DNS o al apuntar la dirección IP del servicio a la dirección IP de la instancia Anti-DDoS. Para obtener más información, consulte Traffic redirection methods.
Limpieza de tráfico: El centro de limpieza Anti-DDoS utiliza motores de detección y filtrado multicapa para defenderse contra ataques volumétricos de capa 3 y capa 4, como inundaciones SYN e inundaciones UDP. Asimismo, el centro protege contra ataques de capa de aplicación (capa 7), como las inundaciones HTTP. El tráfico de ataque malicioso se identifica con precisión y se descarta.
Reenvío de tráfico al servidor de origen: Una vez limpio, el tráfico legítimo regresa de forma segura y confiable a su servidor de origen mediante el reenvío de puertos y protocolos.
Métodos de redirección de tráfico
Los siguientes métodos dirigen el tráfico de su servicio a una instancia Anti-DDoS para su limpieza.
|
Método de redirección |
Descripción |
Casos de uso |
Ventajas |
Desventajas |
|
Resolución DNS |
Cambie el registro DNS de su nombre de dominio (por ejemplo, |
Servicios a los que se accede mediante un nombre de dominio, como sitios web, aplicaciones web y API. |
Es sencillo de configurar y surte efecto rápidamente. Esto permite un cambio ágil durante un ataque. |
No protege contra ataques dirigidos directamente a la dirección IP de origen. |
|
Apuntado directo de IP |
Configure reglas de reenvío en la instancia Anti-DDoS para usar la dirección IP de la instancia como punto de entrada del servicio. Posteriormente, el tráfico se envía de vuelta a la dirección IP real del servidor. Los clientes acceden directamente a la dirección IP de la instancia Anti-DDoS. |
Servicios que no son sitios web y a los que se accede directamente mediante una dirección IP, como videojuegos y servicios de backend de aplicaciones. |
Protege directamente la dirección IP y oculta el servidor de origen. |
El cambio de direcciones IP puede afectar algunas conexiones de clientes. |
Beneficios
-
Despliegue rápido y sencillo
Se admiten dos tipos de conexión: resolución DNS y apuntado directo de IP. No se requieren cambios de hardware, software ni enrutamiento. La configuración suele completarse en minutos, según el tiempo de propagación del DNS. Su dirección IP de origen queda oculta y protegida.
-
Protección precisa impulsada por IA
Prevención de ataques en la capa de red: Además de la detección tradicional de características, el servicio utiliza una biblioteca de reputación de IP y una inspección profunda de paquetes (DPI) para identificar y bloquear ataques volumétricos.
Protección contra ataques CC en la capa de aplicación: Un motor de IA aprende el modelo de su servicio para identificar y filtrar el tráfico de ataques CC. Las políticas de protección detalladas a nivel de URL reducen la complejidad de operación y mantenimiento.
-
Gran capacidad de mitigación global
Anti-DDoS Proxy ofrece más de 20 Tbps de ancho de banda total, incluidos más de 5 Tbps fuera de China continental. Esta capacidad defiende contra ataques DDoS en las capas de red, transporte y aplicación, lo que garantiza un acceso global fluido.
-
Protección flexible y escalable
Las actualizaciones del ancho de banda de protección surten efecto en segundos, lo que le permite aumentar la capacidad de defensa ante ataques repentinos sin interrupciones en el servicio.
-
Estabilidad y alta disponibilidad de grado financiero
Una arquitectura totalmente redundante con monitoreo integral de centros de datos, servidores, motores y enlaces proporciona conmutación por error y recuperación automáticas, lo que asegura una disponibilidad del servicio del 99.95 %.
-
Reenrutamiento inteligente de tráfico
Se integra con otros productos de Alibaba Cloud para reenrutar automáticamente el tráfico hacia Anti-DDoS Proxy cuando ocurre un ataque. Durante la operación normal, el servicio no interviene, lo que equilibra costos y seguridad.
Especificaciones del producto
Anti-DDoS Proxy está disponible en dos ediciones según la región física de sus servidores: Anti-DDoS Proxy (Chinese Mainland) y Anti-DDoS Proxy (Outside Chinese Mainland).
Tipo de producto | Edición de la instancia | Funciones principales y diferencias | Notas |
Anti-DDoS Proxy (Chinese Mainland) | Profession | Proporciona una dirección IP exclusiva, protección BGP (Border Gateway Protocol) multilínea y admite tanto protección básica como escalable. | - |
Advanced | Proporciona dos sesiones de advanced mitigation al mes (se restablecen mensualmente). | Póngase en contacto con su gerente de cuenta para activar esta edición. | |
Anti-DDoS Proxy (Outside Chinese Mainland) | Insurance y Unlimited |
| - |
Sec-CMA 2.0 | Ofrece aceleración de acceso para usuarios en China continental y protección DDoS en la capa de aplicación. Al seleccionar un número específico de sesiones de mitigación DDoS, adquiere la capacidad de defenderse contra ataques DDoS de gran volumen provenientes de líneas de China Telecom, China Unicom y China Mobile. | Ninguna | |
Sec-CMA 2.0 (Insurance) y Sec-CMA 2.0 (Unlimited) | Las funciones son prácticamente las mismas que en Sec-CMA 2.0. Puede deshabilitar los modos Metering Method of 95th Percentile Burstable Clean Bandwidth y 95th Percentile Burstable QPS. | Las funciones se han migrado a Sec-CMA 2.0. No recomendamos adquirir nuevas instancias. Esta opción es solo para instancias existentes. | |
Chinese Mainland Acceleration y Sec-CMA 1.0 | Versiones heredadas que no admiten líneas de China Mobile. | No recomendamos adquirir nuevas instancias. Póngase en contacto con su gerente de cuenta para actualizar a Sec-CMA 2.0. |
Nota sobre la ubicación de registro de IP: La opción IP registration location especifica la dirección de registro de la dirección IP de su instancia Anti-DDoS Proxy. Esta configuración tiene fines únicamente de cumplimiento normativo y no indica la ubicación física de la infraestructura de limpieza Anti-DDoS ni de los recursos de protección. Anti-DDoS Proxy de Alibaba Cloud utiliza una arquitectura de red Anycast global que enruta su tráfico al centro de limpieza disponible más cercano, independientemente de la ubicación de registro de IP que seleccione. Por ejemplo, incluso si selecciona una ubicación de registro de IP fuera de Japón, los servidores de origen desplegados en Japón seguirán recibiendo una protección eficiente y de baja latencia.
Casos de uso y recomendaciones de compra
Ubicación del servidor | Origen de los usuarios | Requisitos del negocio | Edición recomendada |
China continental | China continental y fuera de China continental | Protección DDoS de propósito general. | Anti-DDoS Proxy (Chinese Mainland) - Profession |
Fuera de China continental | Solo fuera de China continental | No se requiere aceleración transfronteriza. | Anti-DDoS Proxy (Outside Chinese Mainland) -Insurance o Unlimited |
Fuera de China continental | China continental | Requiere aceleración transfronteriza para garantizar baja latencia y estabilidad. | Anti-DDoS Proxy (Outside Chinese Mainland)-Sec-CMA 2.0 |
Fuera de China continental | China continental y fuera de China continental | Se necesita aceleración transfronteriza sin migración de servidores, además de acceso desde fuera de China continental. | Compra combinada:
|
Fuera de China continental | Dentro y fuera de China continental | Migre los servidores según la región de los usuarios. Tras la migración, los usuarios de cada región acceden a servicios alojados localmente y protegidos por la edición correspondiente. |
|
Facturación
Los cargos de Anti-DDoS Proxy consisten en tarifas de instancia bajo suscripción y tarifas escalables pay-as-you-go.
Tarifas de instancia (suscripción): Paga mensual o anualmente según las especificaciones que seleccione, como el ancho de banda de protección básica, el ancho de banda limpio y las consultas por segundo (QPS). Para obtener más información, consulte Billing of Insurance and Unlimited mitigation plans for Anti-DDoS Proxy (outside the Chinese mainland), Billing of CMA for Anti-DDoS Proxy (outside the Chinese mainland) y Billing of Sec-CMA for Anti-DDoS Proxy (outside the Chinese mainland).
Tarifas de protección escalable (pay-as-you-go): Se le cobra únicamente cuando el tráfico de ataque DDoS supera su ancho de banda de protección básica. La tarifa se calcula diariamente según el pico de tráfico de ataque. Para obtener más información, consulte Metering method of burstable protection bandwidth.
Tarifas de ancho de banda limpio/QPS escalable (pay-as-you-go): Se le cobra únicamente cuando su tráfico de servicio normal o QPS supera sus especificaciones básicas. La tarifa se calcula según el ancho de banda del percentil 95 diario o mensual. Para obtener más información, consulte Billing of burstable clean bandwidth y Billing of burstable QPS.
Sesión de mitigación avanzada global: Si es necesario, puede adquirir una sesión de mitigación avanzada global para instancias específicas. Para obtener más información, consulte Billing of global advanced mitigation sessions.
Preguntas frecuentes
¿La dirección IP de Anti-DDoS Proxy es estática? ¿Cambia durante un ataque?
Al adquirir una instancia Anti-DDoS Proxy, se le asigna una dirección IP estática dedicada. Esta dirección IP no cambia durante todo el ciclo de vida de su instancia, incluso durante ataques DDoS y procesos activos de limpieza de tráfico. La IP fija garantiza una conectividad de servicio estable e ininterrumpida.
Cuando adquiere Anti-DDoS Proxy, recibe una nueva dirección IP dedicada independiente de la IP de su servidor de origen. La IP de su servidor de origen no está protegida directamente por Anti-DDoS Proxy. La protección surte efecto solo después de completar la redirección de tráfico al centro de limpieza Anti-DDoS:
Servicios web: Modifique el registro DNS de su nombre de dominio para que apunte a la dirección CNAME proporcionada por Anti-DDoS Proxy.
Servicios que no son web: Configure reglas de reenvío en la instancia Anti-DDoS para dirigir el tráfico a la dirección IP de la instancia Anti-DDoS.
¿Cuáles son las diferencias entre Anti-DDoS Proxy, Anti-DDoS Basic y ESA?
Los tres servicios atienden distintos requisitos de seguridad y casos de uso:
Anti-DDoS Proxy: Diseñado para servicios críticos expuestos a ataques DDoS sofisticados y a gran escala. El tráfico se redirige mediante DNS o apuntado directo de IP a centros de limpieza dedicados, los cuales filtran ataques volumétricos (L3/L4) y ataques CC de capa de aplicación (L7). La IP de su servidor de origen queda oculta ante los atacantes. Utilice Anti-DDoS Proxy cuando su servicio requiera una protección profunda contra DDoS de grado profesional.
Anti-DDoS Basic: Un servicio gratuito a nivel de plataforma, adecuado para ataques a pequeña escala y servicios no críticos que pueden tolerar breves interrupciones. Proporciona mitigación básica a nivel de infraestructura sin capacidad de limpieza dedicada.
ESA (Edge Security Acceleration): Una plataforma de red perimetral distribuida globalmente, enfocada en la entrega y aceleración de contenido. ESA incluye protección DDoS Basic integrada como línea base de seguridad estándar, lo que la hace ideal para cargas de trabajo sensibles a la latencia que priorizan la aceleración. Si su servicio enfrenta riesgos significativos de DDoS, puede solicitar una protección DDoS mejorada o utilizar ESA en combinación con Anti-DDoS Proxy.