Todos los productos
Search

Este producto

    Anti-DDoS:Tiered protection

    Centro de documentos

    Anti-DDoS:Tiered protection

    Última actualización: Sep 18, 2026

    La protección por niveles combina Anti-DDoS Native con Anti-DDoS Proxy para ofrecer una defensa adaptable contra ataques DDoS. De forma predeterminada, sus servicios se ejecutan detrás de la protección Native de baja latencia. Cuando un ataque volumétrico activa el estado blackhole, el sistema escala automáticamente hacia la limpieza profunda de tráfico mediante Proxy. Este tema explica cómo crear una regla de protección por niveles, configurar el cambio de DNS y gestionar el enrutamiento del tráfico.

    Antes de empezar

    Recursos de nube compatibles

    Su servicio debe ejecutarse en uno de los siguientes recursos de Alibaba Cloud que cuenten con una dirección IP pública:

    • Elastic IP Address (EIP)

    • Instancia de Elastic Compute Service (ECS)

    • Instancia de Server Load Balancer (SLB)

    • Instancia de Web Application Firewall (WAF)

    Instancia de Anti-DDoS

    • Anti-DDoS Native: Adquirió una instancia de Anti-DDoS Native con la edición Enterprise y habilitó la protección Native para sus activos con IP pública (ECS, SLB, EIP o WAF). Para más detalles, consulte Purchase an Anti-DDoS Native instance y Purchase an Anti-DDoS Native instance.

    • Anti-DDoS Proxy:

      • Anti-DDoS Proxy (Chinese Mainland): Profession.

      • Anti-DDoS Proxy (Outside Chinese Mainland): Insurance o Unlimited.

      Importante

      La instancia debe contar con suficiente ancho de banda limpio y consultas por segundo (QPS) para cubrir los requisitos de su servicio. Para más detalles, consulte Purchase an Anti-DDoS Proxy instance.

    Requisitos de configuración

    Descripción general

    La protección por niveles utiliza una estrategia de defensa de dos etapas que se ajusta de forma dinámica según el tráfico de ataque en tiempo real:

    • Etapa 1: protección de baja latencia (predeterminada): Anti-DDoS Native limpia el tráfico en el borde de la red. Como el tráfico no atraviesa nodos proxy adicionales, la latencia se mantiene al mínimo. Esta etapa gestiona el tráfico habitual y los ataques a pequeña escala.

    • Etapa 2: mitigación avanzada (escalado de ataque): Cuando un ataque volumétrico masivo provoca que todas las direcciones IP asociadas entren en estado blackhole, el sistema redirige automáticamente el tráfico hacia Anti-DDoS Proxy para realizar una inspección profunda de paquetes. Solo el tráfico limpio llega a sus servidores de origen.

    Importante

    Cuando un recurso de nube entra en estado blackhole, todas sus direcciones IP quedan inaccesibles y el tráfico deja de estar disponible temporalmente. Una regla de protección por niveles asociada a una instancia de Anti-DDoS Proxy restaura el servicio de manera automática al redirigir el tráfico a través del proxy.

    A continuación se resume cada etapa de protección:

    Etapa

    Proveedor de protección

    Ruta del tráfico

    Condición de activación

    Normal

    Anti-DDoS Native

    Cliente → Anti-DDoS Native (limpieza) → Recurso de nube (ECS, SLB, EIP o WAF)

    Estado predeterminado. No se detecta ningún ataque o se detecta un ataque a pequeña escala.

    Emergencia

    Anti-DDoS Proxy (edición Professional, Advanced, Insurance o Unlimited)

    Cliente → Anti-DDoS Proxy (limpieza profunda) → Recurso de nube

    Todas las direcciones IP asociadas entran en estado blackhole debido a un ataque volumétrico masivo.

    Retorno automático

    Anti-DDoS Native (restaurado)

    Cliente → Anti-DDoS Native → Recurso de nube (baja latencia restaurada)

    El tráfico de ataque se detiene y permanece estable más allá del tiempo de espera de retorno configurado.

    Nota

    El cambio y el retorno del tráfico dependen de las modificaciones en los registros DNS. La propagación suele tardar entre 30 y 60 segundos, según los tiempos de actualización de la caché DNS del cliente.

    Configurar una regla de protección por niveles

    Siga estos pasos para crear una regla de protección por niveles que asocie sus recursos de nube con una instancia de Anti-DDoS Proxy y permita el escalado automático ante ataques.

    Paso 1: Crear la regla

    1. Inicie sesión en la consola de Anti-DDoS Proxy.

    2. En la barra de navegación superior, seleccione la región de su instancia.

      • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

      • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

    3. En el panel de navegación izquierdo, elija Onboarding > Sec-Traffic Manager.

    4. En la pestaña General Interaction, haga clic en Add Rule.

    5. Configure los siguientes parámetros y luego haga clic en OK.

      Parámetro

      Descripción

      Interaction Scenario

      Seleccione Tiered Protection.

      Rule Name

      Introduzca un nombre descriptivo para esta regla de protección por niveles, como production-api-tiered-protection.

      Anti-DDoS Proxy:

      Seleccione la instancia de Anti-DDoS Proxy que se usará para limpiar el tráfico durante el escalado del ataque.

      Resource for Interaction

      • Seleccione la región donde se despliega el recurso de nube e introduzca su dirección IP pública. La dirección IP debe pertenecer a un recurso ECS, SLB, EIP o WAF que ya cuente con la protección de la edición Anti-DDoS Native (Enterprise).

      • Haga clic en Add IP Address of Cloud Resource para agregar más direcciones. Puede añadir hasta 20 direcciones IP.

        Nota

        • Cuando añade varias direcciones IP, todas comparten la misma instancia de Anti-DDoS Proxy. Si una dirección recibe un ataque, el tráfico se redistribuye entre las demás. El tráfico cambia a Anti-DDoS Proxy solo cuando todas las direcciones están bajo ataque de forma simultánea.

        • Para configurar un failover independiente por cada dirección IP, consulte Multi-path failover.

      Waiting Time of Switchback

      Periodo de espera para el retorno (el tiempo que Anti-DDoS Proxy aguarda después de que finaliza un ataque antes de volver a enrutar el tráfico hacia su recurso de nube). Rango válido: de 30 a 120 minutos.

      Nota

      Recomendación: 60 minutos.

    6. Actualice sus registros DNS según las indicaciones: Para activar la regla, apunte el registro DNS de su dominio al CNAME proporcionado por Sec-Traffic Manager. Siga estos pasos:

      1. Compruebe localmente antes de actualizar el DNS: Antes de modificar sus registros DNS públicos, valide la regla desde el archivo hosts de su computadora local. Así detectará conflictos en la directiva de reenvío al origen antes de que afecten el tráfico de producción. Para conocer los pasos detallados, consulte Locally validate your forwarding configuration.

      2. Actualice sus registros DNS: Una vez validada la regla de forma local, actualice el registro DNS de su dominio para que apunte al CNAME proporcionado por Sec-Traffic Manager.

        Registrador de dominios

        Cómo actualizar

        Alibaba Cloud

        Actualice el registro en la consola de Alibaba Cloud DNS.

        Proveedor externo

        Inicie sesión en la consola de administración de su registrador de dominios y actualice el registro DNS correspondiente.

      3. Resultados de validación

        Después de actualizar el DNS, compruebe que su sitio web sea accesible.

        Nota

    Cambiar el tráfico

    Las reglas de Tiered Protection admiten dos modos de cambio:

    Nota

    Tanto el cambio automático como el manual dependen de la programación de tráfico basada en DNS, por lo que el tiempo de propagación puede afectarlos. Evalúe previamente el impacto en su servicio.

    Modo de cambio

    Descripción

    Escenario aplicable

    Automático

    El sistema supervisa el tráfico y los patrones de ataque en tiempo real. Cambia el tráfico hacia Anti-DDoS Proxy o lo devuelve a Anti-DDoS Native de forma automática.

    Defensa automatizada 24/7 sin intervención manual.

    Manual

    Cambia el tráfico hacia Anti-DDoS Proxy o lo devuelve a Anti-DDoS Native manualmente desde la consola, según los requisitos de su negocio.

    Cambio preventivo antes de eventos importantes.

    Escenarios de ataque complejos que el cambio automático no cubre.

    Solución de problemas y simulacros de emergencia.

    Cambio automático

    Tipo de cambio

    Condición de activación

    Cambio a Anti-DDoS Proxy

    Todas las direcciones IP del recurso de nube entran en estado blackhole.

    Retorno a Anti-DDoS Native

    Una vez que termina el ataque y transcurre el tiempo de espera de retorno, el sistema devuelve automáticamente el tráfico a Anti-DDoS Native.

    Cambio manual

    Además del cambio automático, puede dirigir el tráfico hacia Anti-DDoS Proxy para su limpieza o devolverlo a Anti-DDoS Native de forma manual, según los requisitos de su negocio.

    Switch to Anti-DDoS

    • Procedimiento:

      1. En la página Sec-Traffic Manager, haga clic en la pestaña General Interaction.

      2. Busque la regla de protección por niveles cuyo escenario de interacción sea Tiered Protection y que no haya cambiado automáticamente a Anti-DDoS Proxy (indicado por el icono 绿色 debajo de Resource for Interaction).

      3. En la columna Actions, haga clic en Switch to Anti-DDoS. En el cuadro de diálogo de confirmación, haga clic en OK.

    • Restricciones:

      • Cambie el tráfico a Anti-DDoS Proxy cuando la instancia del proxy esté en estado blackhole o cuando no haya transcurrido el tiempo de espera de retorno desde el último evento de blackhole.

      • Al cambiar el tráfico a Anti-DDoS Proxy de forma manual, se deshabilita el retorno automático. Utilice la operación Switchback para devolver el tráfico.

    Switchback

    • Procedimiento:

      1. En la página Sec-Traffic Manager, haga clic en la pestaña General Interaction.

      2. Busque la regla de protección por niveles cuyo escenario de interacción sea Tiered Protection y cuyo tráfico esté siendo limpiado por Anti-DDoS Proxy (indicado por el icono 绿色 debajo de Anti-DDoS Pro or Anti-DDoS Premium Instance).

      3. En la columna Actions, haga clic en Switchback. En el cuadro de diálogo de confirmación, haga clic en OK.

    • Restricciones:

      • Si todas las direcciones IP de los recursos de nube asociados están en estado blackhole, no se permite ejecutar el retorno.

      • Si algunas direcciones IP salieron del estado blackhole mientras otras permanecen en él:

        • El tráfico regresa únicamente a las direcciones IP que ya salieron del estado blackhole.

        • El tráfico de las direcciones restantes se restaura automáticamente cuando finaliza el estado blackhole.

    Gestionar reglas

    Después de crear una regla, puede ejecutar las siguientes operaciones desde la pestaña General Interaction.

    Operación

    Descripción

    Edit

    Modifica los parámetros de la regla. Los campos Interaction Scenario y Rule Name no se pueden cambiar después de crear la regla.

    Delete

    Elimina la regla.

    Antes de eliminar una regla, quite el CNAME de Sec-Traffic Manager de los registros DNS de su dominio. Si elimina la regla mientras el CNAME sigue activo, su sitio web dejará de ser accesible.