Anti-DDoS:Solución a la exposición de la IP del servidor de origen

Identifique las causas de exposición de la IP del servidor de origen

Antes de cambiar la dirección IP del servidor de origen, identifique y elimine todos los factores que podrían exponerla. De lo contrario, la nueva dirección IP podría quedar expuesta por los mismos canales.

Revise los siguientes elementos:

• Vulnerabilidades de seguridad en el servidor de origen, como troyanos o puertas traseras.

  Le recomendamos usar Alibaba Cloud Security Center para buscar y corregir vulnerabilidades de seguridad en su servidor. Para obtener más información, consulte What is Security Center.

• Servicios sin protección en el servidor de origen que no se enrutan a través de Anti-DDoS Proxy, como los registros MX de los servidores de correo, los registros BBS y otros registros que no son web.

  Importante

  Revise todos los registros DNS del dominio de su sitio web y compruebe que ninguno apunte directamente a la dirección IP del servidor de origen.

• Fugas de información en el código fuente. Por ejemplo, el comando phpinfo() puede exponer la dirección IP.

• Escaneos malintencionados. Después de configurar Anti-DDoS Proxy, establezca la protección de origen para permitir únicamente el tráfico entrante desde las direcciones IP de retorno al origen de Anti-DDoS Proxy en el servidor de origen. Para obtener más información, consulte Configure ACLs for the origin server.

Cambie la dirección IP del servidor de origen

Una vez eliminados todos los factores que pueden exponer la dirección IP del servidor de origen, cambie dicha dirección. Para obtener más información, consulte Static public IP addresses.

Si prefiere no cambiar la dirección IP del servidor de origen, o si esta sigue expuesta después del cambio, le recomendamos desplegar una instancia de Server Load Balancer (SLB) frente a sus instancias ECS de backend. Para obtener más información sobre SLB, consulte Quick start for Server Load Balancer. Use la siguiente arquitectura de red: Cliente → Anti-DDoS Proxy → SLB → ECS.

El tráfico entre la instancia de SLB y la instancia de ECS se transmite por la red interna. Incluso si la dirección IP del servidor de origen recibe un ataque y entra en blackhole, Anti-DDoS Proxy aún puede acceder al servidor de origen mediante la instancia de SLB por la red interna. Los servicios a los que se accede a través de Anti-DDoS Proxy no se ven afectados.