Anti-DDoS:Desactivar el filtrado blackhole

Recomendaciones después del filtrado blackhole

La capacidad de protección de una instancia de Anti-DDoS Proxy depende de su ancho de banda de protección base y de su ancho de banda de protección ampliable. Se recomienda aumentar dicha capacidad antes de desactivar el filtrado blackhole. Así evitará que la instancia vuelva a entrar en estado blackhole tras la desactivación. Para obtener más información, consulte Billing of burstable clean bandwidth y Instance upgrade.

Límites

• Solo las instancias de Anti-DDoS Proxy (Chinese Mainland) admiten la desactivación del filtrado blackhole. Las instancias de Anti-DDoS Proxy (Outside Chinese Mainland) no son compatibles con esta función.

  Nota

  A diferencia de las instancias de Anti-DDoS Proxy (Chinese Mainland), que tienen un ancho de banda de protección fijo, las instancias de Anti-DDoS Proxy (Outside Chinese Mainland) ofrecen protección avanzada ilimitada. Por lo general, no es necesario desactivar el filtrado de forma manual.

• La desactivación del filtrado blackhole solo aplica a las direcciones IP de las instancias de Anti-DDoS Proxy. No permite desactivar directamente el estado blackhole de las direcciones IP del servidor de origen.

  Nota

  Si configuró la resolución CNAME de su nombre de dominio hacia una dirección de Anti-DDoS Proxy pero el estado blackhole persiste, o si no logra desactivar el filtrado mediante esta función después del acceso por CNAME, compruebe si el estado blackhole afecta a la dirección IP del servidor de origen. Cuando dicha dirección está en estado blackhole, aún es posible acceder a su sitio web a través de la dirección IP de Anti-DDoS Proxy. Para restaurar la dirección IP del servidor de origen, espere a la desactivación automática o utilice Anti-DDoS Native. Si el filtrado blackhole se originó porque se expuso la dirección IP del servidor de origen, consulte la sección Solucionar la exposición de la dirección IP del servidor de origen de este mismo tema.

Solucionar la exposición de la dirección IP del servidor de origen

Si se expone la dirección IP de su servidor de origen, los atacantes pueden evadir Anti-DDoS Proxy y atacar esa dirección directamente. Esto provoca que entre en estado blackhole. Este tipo de blackhole no se puede desactivar con la función descrita en este tema; debe resolver la exposición de raíz. Para consultar el procedimiento completo, consulte Handle exposure of the origin IP address. Los pasos clave son los siguientes:

1. Investigue y elimine las causas de la exposición de la dirección IP del servidor de origen. Revise el servidor en busca de troyanos o puertas traseras. Asegúrese de que ningún registro DNS ajeno a la web, como registros MX o BBS, apunte directamente a dicha dirección. Verifique también si hay fugas de código fuente, por ejemplo, direcciones IP expuestas por phpinfo(). Para evitar escaneos maliciosos, configure la protección de origen de modo que solo admita tráfico entrante desde las direcciones IP back-to-origin de Anti-DDoS Proxy.

2. Cambie la dirección IP del servidor de origen u optimice la arquitectura. Una vez eliminadas las causas de la exposición, sustituya la dirección IP del servidor de origen, vincule la nueva dirección con Anti-DDoS Proxy y actualícela en la configuración de su servicio. Si no es posible cambiarla, o si la exposición continúa después del cambio, despliegue una instancia de Server Load Balancer (SLB) delante de su instancia de Elastic Compute Service (ECS). Utilice la arquitectura Cliente → Anti-DDoS Proxy → SLB → ECS. El tráfico de SLB al servidor de origen viaja por la red interna. Por lo tanto, Anti-DDoS Proxy sigue llegando al servidor de origen a través de SLB incluso si la dirección IP de dicho servidor está en estado blackhole. En la consola de Anti-DDoS Proxy, introduzca la dirección IP de SLB como dirección del servidor de origen.

Cuota de desactivación

Cada cuenta de Alibaba Cloud dispone de cinco intentos de desactivación del filtrado blackhole al día. La cuota se restablece automáticamente a cinco cada día a las 00:00 (UTC+8) y no se puede aumentar.

• Un intento de desactivación solo se contabiliza cuando finaliza correctamente.

• La primera desactivación del día suele surtir efecto de inmediato. Si utiliza la desactivación del filtrado blackhole varias veces en el mismo día, el intervalo entre dos desactivaciones consecutivas debe ser mayor a 10 minutos.

Procedimiento

1. Inicie sesión en la consola de Anti-DDoS Proxy.

2. En la barra de navegación superior, seleccione Chinese Mainland.

3. En el panel de navegación izquierdo, elija Mitigation Settings > General Policies.

4. En la pestaña Protection for Infrastructure, seleccione en la lista izquierda la instancia de Anti-DDoS Proxy que desea gestionar. Busque la instancia objetivo por su ID o por su descripción.

5. Busque la sección Blackhole Filtering Deactivation y desactive el filtrado blackhole según el estado actual de la instancia.

   Nota

   El intervalo entre dos intentos de desactivación consecutivos debe ser mayor a 10 minutos.

   • Si la instancia se encuentra en estado Blackhole Filtering y no desea esperar a la desactivación automática, haga clic en Unblock y espere a que el estado blackhole se desactive correctamente.

   • Si la instancia se encuentra en estado Normal, el botón Unblock no estará disponible.

Resultados

• La desactivación del filtrado blackhole está sujeta a la política de gestión de control de riesgos del sistema backend de Alibaba Cloud. Es posible que el proceso finalice con errores; en ese caso, el intento fallido no consume su cuota. Si la desactivación falla, recibirá un mensaje de error. Espere un momento e inténtelo de nuevo.

• Si el sistema muestra el mensaje "Affected by data center risk control, deactivation is temporarily unavailable. Try again in 10 minutes", espere y vuelva a intentarlo más tarde.

• Si no aparece ningún mensaje, la desactivación finalizó correctamente. Actualice el estado de la línea para confirmar si la línea de Anti-DDoS Proxy volvió a la normalidad.

Preguntas frecuentes

¿Cómo compruebo el tiempo estimado para que se levante automáticamente el filtrado blackhole en una instancia o dirección IP de Anti-DDoS Proxy?

La desactivación del filtrado blackhole descrita en este tema es una operación manual y solo aplica a instancias de Anti-DDoS Proxy (Chinese Mainland). Para conocer el tiempo estimado de desactivación automática, consulte la descripción de la duración del blackhole en Blackhole filtering policy of Alibaba Cloud.

El sistema calcula dinámicamente el momento de la desactivación automática según las condiciones del ataque, por lo que no admite intervención manual. Si necesita restaurar el servicio de inmediato, utilice la función de desactivación manual explicada en este tema (disponible únicamente para instancias de Anti-DDoS Proxy Chinese Mainland).