Anti-DDoS:Add a website configuration

Antes de empezar

• Se ha adquirido una instancia de Anti-DDoS Proxy (Chinese Mainland) o Anti-DDoS Proxy (Outside Chinese Mainland). Para obtener más información, consulte Purchase an Anti-DDoS Proxy instance.

• Si su servicio de sitio web se agrega a una instancia de Anti-DDoS Proxy (Chinese Mainland), el nombre de dominio debe tener un registro ICP. Para obtener más información, consulte ICP filing.

  Nota

  Los sitios web agregados a instancias de Anti-DDoS Proxy (Outside Chinese Mainland) no están sujetos a los requisitos de registro ICP.

Procedimiento

1. Inicie sesión en la página Website Config en la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione la región de su instancia.

   • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

3. En la página Website Config, haga clic en Add Website.

   Nota

   También puede hacer clic en Batch Import en la parte inferior de la página para importar varias configuraciones de sitio web a la vez. Las configuraciones deben estar en un archivo XML. Para obtener más información sobre el formato del archivo, consulte Other operations.

4. Introduzca la información de Website Config y haga clic en Next.

   Configuración básica

   • Function Plan: Seleccione el plan de funciones de la instancia de Anti-DDoS Proxy que desea asociar. Opciones: Standard y Enhanced.

     Nota

     Pase el cursor sobre el icono después de Function Plan para ver las diferencias de funciones entre el plan de funciones Standard y el plan de funciones Enhanced. Para obtener más información, consulte differences between Standard and Enhanced function plans.

   • Instance: Seleccione la instancia de Anti-DDoS Proxy que desea asociar.

     Importante

     Un nombre de dominio se puede asociar con un máximo de ocho instancias de Anti-DDoS Proxy. Las instancias deben usar el mismo Function Plan.

   • Websites: Introduzca el nombre de dominio del sitio web que desea proteger. Puede introducir un nombre de dominio de coincidencia exacta, como www.example.com, o un nombre de dominio comodín, como *.example.com.

     Nota

     • Si existen configuraciones tanto para un nombre de dominio comodín (por ejemplo, *.aliyundoc.com) como para un nombre de dominio de coincidencia exacta (por ejemplo, www.aliyundoc.com), Anti-DDoS Proxy prioriza las reglas de reenvío y las políticas de mitigación del nombre de dominio de coincidencia exacta (www.aliyundoc.com).

     • Si introduce un dominio raíz, solo se protege el dominio raíz. Los dominios de segundo nivel y otros subdominios no se protegen. Si desea proteger un dominio de segundo nivel, introduzca el dominio de segundo nivel o un nombre de dominio comodín.

     • Solo puede introducir un nombre de dominio, no una dirección IP.

   • Protocol Type: Seleccione los protocolos que admite el sitio web.

     • HTTP / HTTPS: Los protocolos básicos para servicios web.

       Nota

       Para obtener información sobre la configuración de HTTPS, consulte la descripción en la pestaña HTTPS configuration.

     • Websocket / Websockets: Protocolos de comunicación en tiempo real. Si selecciona uno de estos protocolos, HTTP o HTTPS se selecciona automáticamente.

   • Server Address: Establezca la dirección del servidor backend (servidor de origen) que utiliza Anti-DDoS Proxy durante una origin fetch.

     • Origin IP Address: Introduzca las direcciones IP públicas del servidor de origen. Puede introducir varias direcciones IP, separadas por comas. Ejemplos:

       • Servidor de origen en Alibaba Cloud: Introduzca la dirección IP pública de la instancia ECS de origen. Si hay una instancia SLB desplegada antes de la instancia ECS, introduzca la dirección IP pública de la instancia SLB.

       • Servidor de origen en un centro de datos no administrado por Alibaba Cloud o en otra plataforma en la nube: Ejecute el comando ping <domain name> para consultar la dirección IP pública a la que resuelve el nombre de dominio. Luego, introduzca la dirección IP pública.

     • Origin Domain Name:

       • Escenarios: Esta opción es adecuada para escenarios donde se configura otro servicio de proxy entre el servidor de origen y Anti-DDoS Proxy. Ejemplos:

         • Si se utiliza WAF como el proxy anterior, puede introducir el CNAME de la instancia de WAF. Para obtener más información, consulte Improve website protection by deploying Anti-DDoS Proxy and WAF together.

         • Si establece Origin Domain Name en el default public endpoint de un bucket de OSS, debe adjuntar un nombre de dominio personalizado al bucket. Para obtener más información, consulte Attach a custom domain name.

       • Límites: Puede configurar un máximo de 10 nombres de dominio de origen. Sepárelos con saltos de línea.

   • Server Port: Establezca el puerto que utiliza el servidor de origen para escuchar los servicios del sitio web.

     • HTTP/Websocket: El puerto predeterminado es 80.

     • HTTPS/Websockets: El puerto predeterminado es 443.

     • Custom Server Port:

       • Varios puertos: Puede especificar varios puertos, separados por comas. El número total de puertos personalizados para todos los servicios de sitio web protegidos por la instancia de Anti-DDoS Proxy no puede exceder 10. Esto incluye puertos personalizados para diferentes protocolos.

       • Rango de puertos (HTTP/HTTPS): 80 a 65535

   Configuración de HTTPS

   Si selecciona HTTPS para la autenticación cifrada, complete las siguientes configuraciones.

   • Configurar un certificado: Para habilitar HTTPS, debe configurar un certificado SSL que coincida con el nombre de dominio del sitio web.

   • Configure una TLS Security Settings:

     Nota

     Para obtener más información, consulte Customize the TLS security policy for an HTTPS certificate of a server.

     • TLS Versions for SSL Certificate: Seleccione las versiones de TLS que admite el certificado HTTPS estándar internacional.

       • TLS 1.0 and later. This setting provides the best compatibility but low security.: Admite TLS 1.0, TLS 1.1 y TLS 1.2.

       • TLS 1.1 and later. This setting provides good compatibility and medium security.: Admite TLS 1.1 y TLS 1.2.

       • TLS 1.2 and later. This setting provides good compatibility and high security level.: Admite TLS 1.2.

       • Enable TLS 1.3 Support: Admite TLS 1.3.

     • Cipher Suites for SSL Certificate: Seleccione un conjunto de cifrado compatible para el certificado HTTPS estándar internacional, o seleccione un conjunto de cifrado personalizado. Pase el puntero sobre el icono de una opción de conjunto de cifrado para ver los conjuntos de cifrado que incluye.

   • Mutual Authentication:

     • Issued by Alibaba Cloud: Seleccione un certificado CA predeterminado de la lista desplegable A default CA certificate is required.. Este certificado es emitido por Certificate Management Service (Original SSL Certificate) de Alibaba Cloud.

     • Not Issued by Alibaba Cloud:

       • Primero, cargue el certificado CA autofirmado en Certificate Management Service (Original SSL Certificate). Para obtener instrucciones detalladas, consulte Upload Certificate Repository.

       • En la lista desplegable A default CA certificate is required., seleccione el certificado CA autofirmado cargado.

   • Enable OCSP Stapling: OCSP significa Online Certificate Status Protocol. Se utiliza para consultar a la autoridad de certificación (CA) que emitió el certificado del servidor y comprobar si el certificado ha sido revocado. Durante un protocolo de enlace TLS con el servidor, el cliente debe obtener tanto el certificado como su respuesta OCSP correspondiente.

     Importante

     Las respuestas OCSP están firmadas digitalmente por la CA y no pueden falsificarse. Habilitar esta función no introduce riesgos de seguridad adicionales.

     • Disabled (Default): El cliente envía una consulta OCSP a la CA durante el protocolo de enlace TLS para verificar si el certificado ha sido revocado. Este proceso bloquea la conexión y puede causar retrasos en la carga de la página si la red es deficiente.

     • Enabled: Anti-DDoS Proxy realiza la consulta OCSP y almacena en caché el resultado durante 3,600 segundos. Cuando un cliente inicia una solicitud de protocolo de enlace TLS al servidor, Anti-DDoS Proxy envía la respuesta OCSP almacenada en caché junto con la cadena de certificados al cliente. Esto evita el problema de bloqueo causado por las consultas del lado del cliente y mejora el rendimiento de HTTPS.

   • SM Certificate: Solo las instancias de Anti-DDoS Proxy (Chinese Mainland) admiten la carga de certificados HTTPS basados en SM. Solo se admite el algoritmo SM2.

     • Allow Access Only from SM Certificate-based Clients: Desactivado de forma predeterminada. Opciones:

       • On: Acepta solo clientes con certificado SM.

         Nota

         Cuando está habilitado, los conjuntos TLS, la autenticación mutua y la configuración de OCSP stapling para certificados HTTPS estándar internacional no surten efecto.

       • Off: Acepta clientes con un certificado SM o estándar internacional.

     • SM Certificate: Seleccione un certificado SM de la lista. Cargue primero el certificado en Certificate Management Service.

     • SM Cipher Suites for HTTPS Support: Los siguientes conjuntos de cifrado están habilitados de forma predeterminada (no configurables):

       • ECC-SM2-SM4-CBC-SM3

       • ECC-SM2-SM4-GCM-SM3

       • ECDHE-SM2-SM4-CBC-SM3

       • ECDHE-SM2-SM4-GCM-SM3

   Configuración avanzada

   • Enable HTTPS Redirection: Esta configuración es adecuada para sitios web que admiten tanto HTTP como HTTPS. Después de habilitar esta configuración, todas las solicitudes HTTP se redirigen forzosamente a solicitudes HTTPS en el puerto 443 de forma predeterminada.

     Importante

     • Solo puede habilitar esta configuración si selecciona tanto los protocolos HTTP como HTTPS y no selecciona el protocolo Websocket.

     • Si accede a un sitio web a través de un puerto HTTP no estándar (distinto de 80) y habilita la redirección forzada a HTTPS, las solicitudes de acceso se redirigen al puerto HTTPS 443 de forma predeterminada.

   • HTTP/2 Listener: Si este interruptor está activado, los clientes que usan HTTP/2 pueden acceder a Anti-DDoS Proxy. Sin embargo, Anti-DDoS Proxy todavía usa HTTP/1.1 para la recuperación de origen. Las especificaciones de la función HTTP/2 son las siguientes:

     • Especificaciones básicas:

       • Tiempo de espera de inactividad después de cerrar una conexión (http2_idle_timeout): 120 s

       • Número máximo de solicitudes por conexión (http2_max_requests): 1,000

       • Número máximo de flujos concurrentes por conexión (http2_max_concurrent_streams): 4

       • Tamaño máximo de toda la lista de encabezados de solicitud después de la descompresión HPACK (http2_max_header_size): 256 K

       • Tamaño máximo de un campo de encabezado de solicitud comprimido con HPACK (http2_max_field_size): 64 K

     • Especificaciones configurables: Puede establecer el Upper Limit for HTTP/2 Streams, que es el número máximo de flujos concurrentes permitidos entre el cliente y Anti-DDoS Proxy.

   • Set Forward Connection Timeout: Este es el período de tiempo de espera de inactividad para una conexión TCP persistente establecida entre un cliente y Anti-DDoS Proxy. Es el tiempo máximo de espera entre dos solicitudes de cliente.

     Nota

     Si no se recibe ninguna nueva solicitud dentro del período especificado, Anti-DDoS Proxy cierra la conexión para liberar recursos.

5. Introduzca la Forwarding Settings y haga clic en Next.

   Configuración de Back-to-Origin

   • Back-to-origin Scheduling Algorithm: Si configura varias Origin IP Addresses o Origin Domain Names, puede cambiar el algoritmo de balanceo de carga o establecer pesos para diferentes servidores para determinar cómo se distribuye el tráfico entre los servidores de origen.

     Método	Escenarios	Descripción
     Round-robin (Predeterminado)	Escenarios que utilizan varios servidores de origen y requieren un alto rendimiento de balanceo de carga.	Todas las solicitudes se distribuyen a todas las direcciones de servidor por turnos. De forma predeterminada, todas las direcciones de servidor tienen el mismo peso. Puede cambiar los pesos de los servidores. Un peso mayor indica una mayor probabilidad de recibir solicitudes.
     IP hash	Escenarios que requieren consistencia de sesión. En casos extremos, puede producirse un desequilibrio de carga.	Las solicitudes de la misma dirección IP de cliente siempre se dirigen al mismo servidor de origen para garantizar la consistencia de la sesión. Puede establecer pesos para los servidores mientras utiliza el algoritmo IP hash. Esto le permite distribuir el tráfico según las capacidades de procesamiento del servidor y priorizar los servidores con mejor rendimiento.
     Least time	Servicios que son altamente sensibles a la velocidad de acceso y la latencia de respuesta, como juegos y transacciones en línea.	La capacidad de resolución DNS inteligente y el algoritmo de menor tiempo para la recuperación de origen garantizan la latencia más corta para todo el enlace desde el POP hasta el servidor de origen.

   • Retry Back-to-origin Requests: El número de sondeos de comprobación de estado para verificar la disponibilidad del servidor de origen para el reenvío de dominio. El valor predeterminado es 3. El mecanismo de reintento funciona de la siguiente manera:

     1. La función de reintento de back-to-origin se activa solo cuando el tráfico del servicio accede a una zona perimetral. Cuando la zona perimetral detecta que el servidor de origen de un nombre de dominio no está disponible, reintenta la recuperación de origen.

     2. Si el servidor de origen sigue siendo inaccesible después del número máximo de reintentos, entra en un período de silencio. Durante este período, no se reenvía tráfico al servidor de origen ni se envían sondeos.

     3. Después de que finaliza el período de silencio, la función de reintento de back-to-origin se activa nuevamente según el tráfico del servicio. Si el reintento es exitoso, el servidor de origen se reactiva.

   • Traffic Marking:

     • Request Header Forwarding Configuration: Anti-DDoS Proxy admite el reenvío de encabezados de solicitud. Puede agregar o modificar encabezados de solicitud HTTP al reenviar solicitudes a su servidor de origen. Esto ayuda a identificar y marcar el tráfico que pasa a través de Anti-DDoS Proxy.

       • Insert X-Client-IP to Get Originating IP Address: Pasa la dirección IP original del cliente.

       • Insert X-True-IP to Forward Client IP: Pasa la dirección IP que utilizó el cliente para establecer la conexión.

       • Insert Web-Server-Type to Get Service Type: Generalmente agregado por el primer proxy. Indica al servidor backend qué servidor web frontend o proxy manejó la solicitud.

       • Insert WL-Proxy-Client-IP to Get Connection IP: Misma función que X-Client-IP. Un encabezado específico de Oracle WebLogic Server.

       • X-Forwarded-Proto (Listener Protocol): El protocolo utilizado entre el cliente y el primer proxy.

     • Marcas de tráfico

       • Marcas predeterminadas

         Nota

         • JA3 Fingerprint, JA4 Fingerprint, Client TLS Fingerprint y HTTP/2 Fingerprint requieren la asistencia de su gerente de cuenta para configurarse.

         • Si su servicio utiliza campos personalizados en lugar de marcas predeterminadas, consulte Custom Header a continuación. Después de configurarlo, su servidor de origen analiza sintácticamente este campo de las solicitudes reenviadas por Anti-DDoS Proxy. Para ejemplos de análisis sintáctico, consulte Get the true source IP address after configuring Anti-DDoS Proxy.

         • Originating Port: El nombre del campo de encabezado para el puerto de origen del cliente en el encabezado HTTP. Normalmente se registra en el campo X-Forwarded-ClientSrcPort.

         • Originating IP Address: El nombre del campo de encabezado para la dirección IP de origen del cliente en el encabezado HTTP. Normalmente se registra en el campo X-Forwarded-For.

         • JA3 Fingerprint: El nombre del campo de encabezado HTTP que contiene el hash MD5 de la huella digital JA3 del cliente. El campo predeterminado es ssl_client_ja3_fingerprinting_md5.

         • JA4 Fingerprint: El nombre del campo de encabezado HTTP que contiene el hash MD5 de la huella digital JA4 del cliente. El campo predeterminado es ssl_client_ja4_fingerprinting_md5.

         • Client TLS Fingerprint: El nombre del campo de encabezado HTTP que contiene el hash MD5 de la huella digital TLS del cliente. El campo predeterminado es ssl_client_tls_fingerprinting_md5.

         • HTTP/2 Fingerprint: El nombre del campo de encabezado para el valor hash MD5 generado a partir de la huella digital HTTP/2.0 del cliente en el encabezado HTTP. Normalmente se registra en el campo http2_client_fingerprint_md5.

       • Custom Header: Agregue un encabezado HTTP personalizado (incluido el nombre y el valor del campo) para marcar las solicitudes que pasan a través de Anti-DDoS Proxy. Cuando Anti-DDoS Proxy reenvía el tráfico del sitio web, agrega el valor de campo configurado a las solicitudes enviadas a su servidor de origen. Esto ayuda a su servicio backend a analizar y rastrear el tráfico.

         • Restricciones de nomenclatura: Para evitar sobrescribir campos de encabezado de solicitud originales, no utilice los siguientes nombres de campo reservados o comunes para su encabezado personalizado:

           • Campos predeterminados de Anti-DDoS Proxy:

             • X-Forwarded-ClientSrcPort: Se utiliza de forma predeterminada para obtener el puerto del cliente para el acceso al motor de Capa 7.

             • X-Forwarded-ProxyPort: Se utiliza de forma predeterminada para obtener el puerto de escucha para el acceso al motor de Capa 7.

             • X-Forwarded-For: Se utiliza de forma predeterminada para obtener la dirección IP del cliente para el acceso al motor de Capa 7.

             • ssl_client_ja3_fingerprinting_md5: Se utiliza de forma predeterminada para recuperar el hash MD5 de la huella digital JA3 del cliente.

             • ssl_client_ja4_fingerprinting_md5: Se utiliza de forma predeterminada para recuperar el hash MD5 de la huella digital JA4 del cliente.

             • ssl_client_tls_fingerprinting_md5: Se utiliza de forma predeterminada para recuperar el hash MD5 de la huella digital TLS del cliente.

             • http2_client_fingerprint_md5: Se utiliza de forma predeterminada para obtener el valor hash MD5 de la huella digital HTTP/2.0 del cliente.

           • Campos HTTP estándar: Como host, user-agent, connection y upgrade.

           • Campos de proxy comunes: Como x-real-ip, x-true-ip, x-client-ip, web-server-type, wl-proxy-client-ip, eagleeye-rpcid, eagleeye-traceid, x-forwarded-cluster y x-forwarded-proto.

         • Límite de cantidad: Puede agregar hasta cinco etiquetas de encabezado personalizadas.

         • Recomendaciones de configuración:

           • Utilice primero default marks.

           • Verifique la configuración del campo de encabezado en el entorno de pruebas antes de aplicarla al entorno de producción.

           • Se recomienda mantener los valores de campo en 100 caracteres o menos para evitar afectar el rendimiento de reenvío.

   • CNAME Reuse: Seleccione si desea habilitar la reutilización de CNAME. Después de habilitar la reutilización de CNAME, puede agregar varios nombres de dominio alojados en el mismo servidor a Anti-DDoS Proxy apuntando sus registros DNS al mismo CNAME de Anti-DDoS Proxy. No necesita agregar una configuración de sitio web independiente para cada nombre de dominio. Para obtener más información, consulte CNAME reuse.

     Importante

     Este parámetro solo es compatible con Anti-DDoS Proxy (Outside Chinese Mainland).

   Otras configuraciones

   • Enable HTTP Redirection of Back-to-origin Requests: Si su sitio web no admite HTTPS para la recuperación de origen, debe habilitar esta configuración. Después de habilitar esta configuración, todas las solicitudes HTTPS se envían al servidor de origen a través de HTTP, y todas las solicitudes Websockets se envían a través de Websocket. El puerto de origen predeterminado es 80.

     Nota

     Si accede a un sitio web a través de un puerto HTTPS no estándar (distinto de 443) y habilita HTTP para la recuperación de origen, las solicitudes de acceso se redirigen al puerto HTTP 80 del servidor de origen de forma predeterminada.

   • HTTP/2.0 Origin: Después de habilitar HTTP/2.0 para las solicitudes back-to-origin, Anti-DDoS Proxy utiliza HTTP/2.0 para enviar solicitudes al origen.

     Aviso

     • Para configurar esta función, póngase en contacto con su gerente de cuenta.

     • Si su servidor de origen no admite HTTP/2.0, no configure esta función. De lo contrario, su sitio web se volverá inaccesible.

   • Cookie Settings

     • Delivery Status: Habilitado de forma predeterminada. Anti-DDoS Proxy inserta una cookie en el cliente, como un navegador, para diferenciar clientes u obtener huellas digitales de clientes. Para obtener más información, consulte Configure HTTP flood protection.

       Importante

       Si experimenta fallos de inicio de sesión o pérdidas de sesión después de agregar su aplicación a Anti-DDoS Proxy, puede intentar deshabilitar este interruptor. Tenga en cuenta que si deshabilita este interruptor, algunas funciones de protección contra inundación HTTP dejan de ser efectivas.

     • Secure Attribute: Deshabilitado de forma predeterminada. Si habilita este atributo, la cookie se envía solo a través de conexiones HTTPS, no de conexiones HTTP. Esto ayuda a proteger la cookie para que no sea robada.

       Nota

       Se recomienda que habilite este atributo si su servicio de sitio web solo admite conexiones HTTPS.

   • Configure New Connection Timeout Period: El tiempo que Anti-DDoS Proxy espera para establecer una conexión con el servidor de origen.

     Nota

     Si no se establece una conexión dentro de este período, el intento se considera un fallo.

   • Configure Read Connection Timeout Period: El tiempo máximo que Anti-DDoS Proxy espera una respuesta del servidor de origen después de establecer una conexión y enviar una solicitud de lectura.

   • Configure Write Connection Timeout Period: El tiempo que Anti-DDoS Proxy espera después de enviar datos y antes de que el servidor de origen comience a procesarlos.

     Nota

     Si Anti-DDoS Proxy no logra enviar todos los datos al servidor de origen o el servidor de origen no comienza a procesar los datos dentro de este período, el intento se considera un fallo.

   • Back-to-origin Persistent Connections: Una conexión TCP entre un servidor de caché y un servidor de origen permanece activa durante un período en lugar de cerrarse después de cada solicitud. Esto puede desperdiciar recursos. Habilite Back-to-origin Persistent Connections para reducir el tiempo de establecimiento de conexión y el consumo de recursos, y para mejorar la eficiencia y la velocidad de procesamiento de solicitudes.

     • Requests Reusing Persistent Connections: El número de solicitudes HTTP que se pueden enviar a través de una sola conexión TCP desde Anti-DDoS Proxy al servidor de origen. Esto reduce la latencia y el consumo de recursos causados por el establecimiento y terminación frecuentes de conexiones.

       Nota

       Se recomienda establecer este valor para que sea menor o igual al número de solicitudes por conexión persistente configurado en el servidor de origen backend, como una instancia de WAF o SLB. Esto evita la inaccesibilidad del servicio causada por la terminación de la conexión.

     • Timeout Period of Idle Persistent Connections: El tiempo máximo que una conexión TCP persistente inactiva desde Anti-DDoS Proxy al servidor de origen puede permanecer abierta en el pool de conexiones de Anti-DDoS Proxy. Si no se recibe ninguna nueva solicitud dentro de este período, la conexión se cierra para liberar recursos del sistema.

       Nota

       Se recomienda establecer este valor para que sea menor o igual al período de tiempo de espera configurado en el servidor de origen backend, como una instancia de WAF o SLB. Esto evita la inaccesibilidad del servicio causada por la terminación de la conexión.

Verificar y poner en marcha

Después de completar la configuración del sitio web, siga esta lista de verificación para realizar la validación y la puesta en marcha. Esto ayuda a prevenir interrupciones del servicio.

• Pasos principales (Obligatorio)

  1. Permitir direcciones IP back-to-origin: En las políticas de seguridad de su servidor de origen, como un firewall o security group, agregue los rangos de direcciones IP back-to-origin de Anti-DDoS Proxy a la lista blanca. Esto evita que el tráfico reenviado desde Anti-DDoS Proxy a su origen se bloquee por error. Para obtener más información, consulte Add the back-to-origin IP addresses of Anti-DDoS Proxy to a whitelist.

  2. Verificar la configuración localmente: Antes de cambiar sus registros DNS, modifique el archivo hosts local para verificar que la configuración de reenvío funcione como se espera. Esto ayuda a prevenir interrupciones del servicio. Para obtener más información, consulte Verify forwarding settings on a local machine.

  3. Cambiar la resolución DNS: Después de que la verificación local sea exitosa, cambie el registro DNS del nombre de dominio de su sitio web al CNAME proporcionado por Anti-DDoS Proxy. Esta acción cambia el tráfico de su servicio a Anti-DDoS Proxy para su protección. Para obtener más información, consulte Use a CNAME or IP address to resolve a domain name to Anti-DDoS Proxy.

• Pasos opcionales

  • Cambiar la dirección IP de origen: Si su servidor de origen es una instancia ECS de Alibaba Cloud y su dirección IP está expuesta, se recomienda cambiar la dirección IP pública de la instancia ECS. Esto evita que los atacantes eviten Anti-DDoS Proxy para atacar su servidor de origen. Para obtener más información, consulte Static public IP address.

  • Configurar políticas de mitigación DDoS: Además de las políticas de mitigación predeterminadas de Anti-DDoS Proxy (Anti-DDoS Global Mitigation Policy, Intelligent Protection y Frequency Control), puede habilitar más funciones de protección en la pestaña Protection for Website Services según sea necesario. Para obtener más información, consulte Protection for Website Services.

    Importante

    Habilitar políticas de protección contra inundación HTTP puede insertar una cookie en el cliente. Para obtener más información, consulte Cookie insertion.

  • Configurar alertas de CloudMonitor: Configure reglas de alerta para métricas de servicio comunes de Anti-DDoS Proxy, como tráfico y conexiones, y eventos de ataque, como filtrado de agujero negro y eventos de limpieza. Esto le permite recibir alertas oportunas sobre actividades anómalas y responder rápidamente. Para obtener más información, consulte CloudMonitor alerts.

  • Configurar el servicio de análisis de registros: Habilite el servicio de análisis de registros para recopilar y almacenar registros de acceso al sitio web durante 180 días de forma predeterminada. Esto es útil para el análisis empresarial y para cumplir con los requisitos de protección clasificada. Para obtener más información, consulte Quickly use the log analysis feature.

Cuotas y límites

• Un nombre de dominio se puede asociar con un máximo de ocho instancias de Anti-DDoS Proxy.

• El número total de puertos personalizados (distintos de 80 o 443) para todas las configuraciones de sitio web bajo una instancia de Anti-DDoS Proxy no puede exceder 10.

• Puede agregar un máximo de cinco etiquetas de encabezado personalizadas.

Referencias

Preguntas frecuentes

• ¿Por qué obtengo un error 502 o 504 al acceder a mi sitio web después de completar la configuración?

  Este error suele ocurrir porque falla la solicitud al origen. Compruebe los siguientes elementos en orden:

  1. Compruebe el firewall/security group del servidor de origen: Confirme que ha agregado los rangos de direcciones IP de retorno al origen de Anti-DDoS Proxy a la lista blanca.

  2. Compruebe la configuración "Enable HTTP for Origin Fetch": Si su servidor de origen solo admite HTTP (escucha en el puerto 80), pero configuró HTTPS en Anti-DDoS Proxy sin habilitar "Enable HTTP for Origin Fetch", la solicitud al origen fallará.

  3. Compruebe el estado del servidor de origen: Confirme que la Origin IP Address sea correcta y que el servidor de origen funcione correctamente.

• ¿Por qué mi navegador reporta un error de certificado después de habilitar HTTPS?

  Compruebe los siguientes elementos:

  1. Desajuste entre certificado y nombre de dominio: Asegúrese de que el certificado cubra el nombre de dominio que agregó, incluidos los dominios www y raíz. Por ejemplo, un certificado para www.example.com no sirve para example.com a menos que sea un certificado comodín o multidominio.

  2. Cadena de certificados incompleta: Al cargar un certificado, asegúrese de cargar la cadena completa (certificado del servidor más certificado de CA intermedia).

  3. Certificado Expired: Compruebe si el certificado cargado sigue siendo válido.

• ¿Cómo puedo confirmar que el tráfico de mi sitio web pasa por Anti-DDoS Proxy?

  1. Consulta DNS: En la línea de comandos, ejecute ping <your domain name> o dig <your domain name>. Compruebe si la dirección resuelta es el CNAME de la instancia de Anti-DDoS Proxy o la dirección IP a la que apunta.

  2. Informes en la consola: En la página de informes de la consola de Anti-DDoS Proxy, verifique si hay datos de tráfico entrante.

  3. Registros del servidor de origen: Revise los registros de acceso web de su servidor de origen para confirmar que las direcciones IP de origen de las solicitudes pertenecen a los rangos de direcciones IP de retorno al origen de Anti-DDoS Proxy.

• Mis registros de aplicación solo registran la dirección IP de Anti-DDoS Proxy. ¿Cómo puedo obtener la dirección IP real del visitante?

  Esto es normal. Como proxy, Anti-DDoS Proxy utiliza sus direcciones IP de retorno al origen para acceder a su servidor de origen. Para obtener la dirección IP real del visitante, debe configurar su servidor web (como Nginx o Apache) para extraer la dirección IP del encabezado de solicitud X-Forwarded-For. Para obtener más información, consulte Obtain the real IP addresses of clients after you configure an Anti-DDoS Proxy instance.

• ¿Cómo verifico la eficacia de mitigación de Anti-DDoS Proxy?

  Tenga en cuenta que no puede activar manualmente el filtrado blackhole en su servidor con fines de prueba. El filtrado blackhole se activa automáticamente cuando el sistema detecta un ataque DDoS volumétrico que supera el umbral de mitigación. Para verificar la eficacia de limpieza y reenvío de Anti-DDoS Proxy:

  • Utilice un servicio de prueba: Conecte un servicio de prueba, en lugar de su servicio de producción, a Anti-DDoS Proxy para evitar afectar el tráfico de producción.

  • Simule tráfico DDoS: Utilice una herramienta de pruebas de estrés para simular tráfico DDoS y observar el comportamiento de limpieza y reenvío de Anti-DDoS Proxy.

  • Consulte los informes de la consola: En la página de informes de la consola de Anti-DDoS Proxy, revise los datos de mitigación y los resultados de limpieza.

  • Revise los registros del servidor de origen: Consulte los registros de acceso web de su servidor de origen y confirme que las direcciones IP de origen de las solicitudes pertenecen a los rangos de direcciones IP de retorno al origen de Anti-DDoS Proxy.