Configure ACL para el servidor de origen - Anti-DDoS - Centro de documentación de Alibaba Cloud

Proteja la dirección IP de origen después de agregar su sitio web a Anti-DDoS Proxy. De lo contrario, los atacantes podrían evadir Anti-DDoS Proxy y acceder directamente al servidor de origen. Este tema describe cómo configure ACL para diferentes arquitecturas de red.

Las ACL en el servidor de origen surten efecto solo cuando el tráfico de ataque alcanza el perímetro de la red de Alibaba Cloud donde reside dicho servidor.

Las ACL pueden mitigar ataques de inundación HTTP y ataques web a pequeña escala, pero no ataques DDoS volumétricos. Si un ataque DDoS volumétrico llega al perímetro de la red, puede superar la capacidad de mitigación del servidor de origen y activar el filtrado blackhole.

Si la dirección IP de origen está expuesta, cámbiela lo antes posible. Para obtener más información, consulte Handle exposure of the origin IP address.

Arquitectura de red de su sitio web	Descripción de la configuración de ACL
Anti-DDoS Proxy + instancia de Elastic Compute Service (ECS)	El servidor de origen es una instancia de ECS. Las direcciones IP de back-to-origin de su instancia de Anti-DDoS Proxy son las direcciones IP de origen de las solicitudes reenviadas al servidor de origen. Se recomienda configure ACL para el servidor de origen mediante las reglas de security group de la instancia de ECS. Configure reglas de security group para allow traffic from only the back-to-origin IP addresses y denegar todo el tráfico proveniente de otras direcciones IP para proteger el servidor de origen. Obtenga las direcciones IP de back-to-origin de una instancia de Anti-DDoS Proxy en la consola de Anti-DDoS Proxy.
Anti-DDoS Proxy + servidor de origen no desplegado en Alibaba Cloud	Las direcciones IP de back-to-origin de su instancia de Anti-DDoS Proxy son las direcciones IP de origen de las solicitudes reenviadas al servidor de origen. Se recomienda configure ACL para el servidor de origen en el software de seguridad instalado en este, como iptables o un firewall, para permitir únicamente el tráfico desde las direcciones IP de back-to-origin y denegar todo el tráfico de otras direcciones IP para proteger el servidor de origen.
Anti-DDoS Proxy + instancia de Server Load Balancer (SLB) de capa 4 + instancia de ECS	Las direcciones IP de back-to-origin de su instancia de Anti-DDoS Proxy son las direcciones IP de origen de las solicitudes reenviadas al servidor de origen. Agregue las direcciones IP de back-to-origin de Anti-DDoS Proxy a la lista blanca de la instancia de SLB. A continuación, habilite el control de acceso para permitir únicamente el tráfico desde las direcciones IP de back-to-origin y así proteger el servidor de origen. Para obtener más información, consulte Enable access control.
Anti-DDoS Proxy + instancia de Application Load Balancer (ALB) de capa 7 + instancia de ECS	El servidor de origen es una instancia de ECS. Las direcciones IP de back-to-origin de la instancia de ALB son las direcciones IP de origen de las solicitudes reenviadas al servidor de origen. Agregue las direcciones IP de back-to-origin de su instancia de Anti-DDoS Proxy a la lista blanca de la instancia de ALB. A continuación, habilite el control de acceso para permitir únicamente el tráfico desde las direcciones IP de back-to-origin y así proteger el servidor de origen. Para obtener más información, consulte Access control.
Anti-DDoS Proxy + Web Application Firewall (WAF), Alibaba Cloud CDN (CDN) o Dynamic Content Delivery Network (DCDN) + instancia de ECS (Recomendado) Solución 1: Habilitar las funciones de mitigación de DDoS y WAF en DCDN Si ocurre un ataque DDoS, el tráfico del servicio se reenvía a Anti-DDoS Proxy, luego a DCDN y finalmente a la instancia de ECS. Si no hay ataques DDoS, el tráfico del servicio se reenvía a DCDN y luego a la instancia de ECS. Nota Esta solución solo está disponible para DCDN. Si utiliza CDN, emplee la Solución 2 o migre su sitio web a DCDN. Las capacidades de protección de WAF están integradas en los puntos de presencia de DCDN. El tráfico de su servicio no necesita reenviarse a WAF. Solución 2: Usar la función de interacción de CDN o DCDN para permitir que el tráfico del servicio se reenvíe a WAF y luego a la instancia de ECS Si ocurre un ataque DDoS, el tráfico del servicio se reenvía a Anti-DDoS Proxy, luego a WAF y finalmente a la instancia de ECS. Si no hay ataques DDoS, el tráfico del servicio se reenvía a CDN, luego a WAF y finalmente a la instancia de ECS. Nota Si su servidor de origen no es una instancia de ECS, la arquitectura de red es la misma.	Solución 1: El servidor de origen es una instancia de ECS. Las direcciones IP de back-to-origin de DCDN son las direcciones IP de origen de las solicitudes reenviadas al servidor de origen. Al usar DCDN, la dirección IP de la instancia de ECS permanece oculta. En la mayoría de los casos, no es necesario configure ACL. Si desea configure ACL, póngase en contacto con el soporte técnico de Alibaba Cloud. Solución 2: El servidor de origen es una instancia de ECS. Las direcciones IP de back-to-origin de WAF son las direcciones IP de origen de las solicitudes reenviadas al servidor de origen. Se recomienda configure ACL para la instancia de ECS. Para obtener más información, consulte Configure protection for an origin server.