Anti-DDoS:Configure a DDoS mitigation policy

Descripción general de funciones

Una directiva de mitigación de DDoS admite las siguientes funciones:

Antes de empezar

Se ha agregado un servicio que no es sitio web a Anti-DDoS Proxy. Para obtener más información, consulte Manage forwarding rules.

Configurar una directiva para una sola regla

1. Inicie sesión en la página General Policies de la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione la región de su instancia.

   • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

3. En la página General Policies, haga clic en la pestaña Protection for Non-website Services y seleccione la instancia de Anti-DDoS Proxy que desea gestionar.

4. En la lista de la izquierda, haga clic en la regla de reenvío que desea configurar.

   1. Configure las funciones de protección en las siguientes secciones.

      False Source

      Habilite False Source para bloquear solicitudes provenientes de direcciones IP falsificadas. Esta función solo se aplica a las reglas de reenvío de puertos TCP.

      Parameter	Description
      False Source	Actívelo para bloquear solicitudes de direcciones IP falsificadas. Cuando False Source está deshabilitado, Empty Connection y Advanced Attack Mitigation también se deshabilitan.
      Empty Connection	Actívelo para bloquear solicitudes que intentan establecer sesiones nulas. Primero debe habilitarse False Source.

      Advanced Attack Mitigation

      Esta función solo se aplica a las reglas de reenvío de puertos TCP. Primero debe habilitarse False Source. El modo de protección predeterminado es Normal.

      Protection mode	Effect	Recommended scenario
      Loose	Bloquea tráfico con características evidentes de ataque. Algunos ataques podrían pasar, pero los falsos positivos son poco frecuentes.	Transmisión de datos unidireccional (streaming en vivo, descargas de medios) o servicios que requieren un alto ancho de banda de origen.
      Normal (recomendado)	Equilibra la protección y tasas bajas de falsos positivos para la mayoría de las cargas de trabajo.	La mayoría de los escenarios.
      Strict	Aplica una verificación estricta de ataques. Puede causar falsos positivos.	El servidor de origen tiene ancho de banda limitado o la protección es insuficiente.

      Session Feature Filtering

      Configure reglas de control de acceso basadas en cargas útiles de paquetes. Cuando una regla tiene múltiples condiciones, todas deben coincidir para activar la acción.

      Nota

      Las reglas de control de acceso inteligente impulsadas por IA también se muestran en esta sección.

      Parameter	Description
      Rule Name	Asigne un nombre a la regla.
      Match Conditions	Defina el formato de la carga útil del paquete. Seleccione String o Hexadecimal.
      Match Range	Posiciones de byte inicial y final para la coincidencia de carga útil. Rango: 0–1499. El inicio no debe exceder el final.
      Logical Operator	Seleccione Include o Not Include.
      Field Value	Para String: la longitud del contenido no debe exceder los 1500 bytes y debe estar dentro de las posiciones inicial y final. Para Hexadecimal: el contenido debe consistir en caracteres hexadecimales, no debe exceder los 3000 caracteres, debe tener un número par de caracteres y debe estar dentro del rango especificado.
      Action	Monitor: permite la solicitud coincidente. Block: rechaza la solicitud coincidente. Block and Add to Blacklist: rechaza la solicitud y agrega la IP de origen a la lista de bloqueados. Duración de la lista de bloqueados: 300 a 600 segundos.

      Whitelist

      Agregue direcciones IP o bloques CIDR a la lista de permitidos para evitar la interceptación. Máximo: 2000 entradas por lista de permitidos.

      Restricciones:

      • Las instancias de Anti-DDoS Proxy admiten direcciones IPv4 e IPv6.

      • Bloques CIDR IPv4: /8 a /32. Bloques CIDR IPv6: /32 a /128.

      • Las direcciones IPv4 no pueden ser 0.0.0.0 ni 255.255.255.255. Las direcciones IPv6 no pueden ser :: ni ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff.

      Rate Limit for Source

      Limita la tasa de transferencia de datos por IP de origen. Cuando una IP de origen supera el límite, se descarta el exceso de tráfico de esa IP. Otras IP de origen no se ven afectadas.

      • Parameter
        Nota

        Los límites reales de nuevas conexiones pueden variar ligeramente debido al despliegue del centro de limpieza basado en clústeres.

        Parameter	Valid values	Description
        New Connections Limit for Source	1 a 50,000	Máximo de nuevas conexiones por segundo desde una sola IP. Seleccione Automatic (calculado dinámicamente) o Manual (establecido manualmente).
        Concurrent Connections Limit for Source	1 a 50,000	Máximo de conexiones simultáneas desde una sola IP. Las conexiones excedentes se descartan.
        PPS Limit for Source	1 a 100,000	Máximo de paquetes por segundo desde una sola IP. Los paquetes excedentes se descartan.
        Bandwidth Limit for Source	1,024 a 268,435,456 bytes/s	Ancho de banda máximo desde una sola IP.

      • Configuración de lista de bloqueados

        Cada límite de tasa admite configuración de lista de bloqueados:

        • Seleccione la opción If the bandwidth of connections from a source exceeds the limit five times within 60 seconds, the source IP address is added to the blacklist. Todas las solicitudes de IP incluidas en la lista de bloqueados se descartan.

        • Configure el Blacklist Validity Period para establecer cuánto tiempo permanece la IP en la lista de bloqueados. Valores válidos: 1–10,080 minutos. Valor predeterminado: 30 minutos. La IP se elimina automáticamente cuando finaliza el periodo.

   Speed Limit for Destination

   Limita la tasa de transferencia de datos por puerto de instancia. Cuando un puerto supera el límite, se descarta el exceso de tráfico. Otros puertos no se ven afectados.

   Los valores predeterminados difieren entre las reglas de reenvío de puertos TCP y UDP.

   Nota

   Tanto para las reglas TCP como UDP, los límites reales de nuevas conexiones pueden variar ligeramente debido al despliegue del centro de limpieza basado en clústeres.

   Reglas de reenvío de puertos TCP

   Parameter	Valid values	Default	Can be disabled?
   Concurrent Connections Limit for Destination	100 a 100,000	100,000 (habilitado de forma predeterminada)	No. Al deshabilitarlo, el valor se restablece a 100,000.
   New Connections Limit for Destination	1,000 a 2,000,000	2,000,000 (habilitado de forma predeterminada)	No. Al deshabilitarlo, el valor se restablece a 2,000,000.

   Reglas de reenvío de puertos UDP

   Parameter	Valid values	Default	Can be disabled?
   Concurrent Connections Limit for Destination	100 a 50,000	Deshabilitado de forma predeterminada	Sí
   New Connections Limit for Destination	1,000 a 200,000	200,000 (habilitado de forma predeterminada)	No. Al deshabilitarlo, el valor se restablece a 200,000.

   Packet Length Limit

   En la sección Packet Length Limit, haga clic en Settings. Establezca las longitudes mínima y máxima de la carga útil y haga clic en OK. Rango válido: 0–1,500 bytes.

Configurar directivas en lotes

Aplique una directiva de mitigación de DDoS a varias reglas de reenvío de puertos a la vez.

1. Inicie sesión en la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione la región de su instancia.

   • Anti-DDoS Proxy (Chinese Mainland): Elija la región Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Elija la región Outside Chinese Mainland.

3. En el panel de navegación izquierdo, elija Onboarding > Port Config.

4. En la página Port Config, seleccione la instancia que desea gestionar y elija Batch Operations > Create Mitigation Policy debajo de la lista de reglas.

5. En el cuadro de diálogo Create Mitigation Policy, introduzca la directiva en el formato requerido y haga clic en OK.

   • Introduzca una directiva por fila, una por cada regla de reenvío.

   • El puerto de reenvío debe coincidir con una regla de reenvío existente.

   • Los campos están separados por espacios, en el siguiente orden:

     Position	Field	Valid values
     1	Puerto de reenvío	Número de puerto de una regla de reenvío existente
     2	Protocolo de reenvío	tcp o udp
     3	Límite de nuevas conexiones para origen	Valor numérico
     4	Límite de conexiones simultáneas para origen	Valor numérico
     5	Límite de nuevas conexiones para destino	Valor numérico
     6	Límite de conexiones simultáneas para destino	Valor numérico
     7	Longitud mínima de paquete	Valor numérico
     8	Longitud máxima de paquete	Valor numérico
     9	Origen falso	on o off
     10	Conexión vacía	on o off