:Troubleshoot slow response, high latency, and access failures for services protected by Anti-DDoS Proxy

Paso 1: Recopilar las direcciones IP afectadas y probar la conectividad

Ejecute MTR o traceroute contra la dirección IP afectada para identificar dónde ocurre la latencia o la pérdida de paquetes en la ruta de red.

Cuándo usar MTR : MTR combina traceroute y ping para el monitoreo continuo de la ruta. Úselo cuando sospeche de pérdida de paquetes o alta latencia en saltos específicos entre su cliente y Anti-DDoS Proxy, o entre el proxy y el servidor de origen.

Esta sección utiliza MTR como ejemplo. Use MTR to analyze network paths cubre ambas herramientas en detalle.

mtr --no-dns [$IP]

Reemplace [$IP] con la dirección IP afectada.

El siguiente ejemplo de salida muestra que la latencia ocurre en un nodo específico:

Paso 2: Determinar si la latencia está dentro del rango normal

Anti-DDoS Proxy añade latencia debido al proxy de tráfico y a la inspección de seguridad. La latencia real varía según la región del cliente y el ISP. La siguiente tabla enumera los valores de referencia.

Si su latencia se encuentra dentro del rango de referencia, pruebe los consejos en Reducir la latencia dentro del rango normal. Si excede significativamente el rango, continúe con el siguiente paso.

Paso 3: Identificar dónde ocurre la latencia

Examine la salida de MTR para determinar si el nodo con alta latencia es su servidor de origen o su instancia de Anti-DDoS Proxy.

• La latencia está en el servidor de origen -- Solución de problemas del servidor de origen.

• La latencia está en la instancia de Anti-DDoS Proxy -- Solución de problemas de la instancia de Anti-DDoS Proxy.

Instancia de Server Load Balancer (SLB)

1. Utilice TCPing para hacer ping a la IP y al puerto de la instancia de SLB. Compruebe si hay latencia o pérdida de paquetes. Apéndice: Uso de TCPing para probar la conectividad.

2. Verifique el estado de la instancia de SLB. Compruebe que el recuento de conexiones no exceda la especificación Max Connection.

3. Compruebe si las directivas de control de acceso en la instancia de SLB deniegan los bloques CIDR de retorno al origen de Anti-DDoS Proxy. De ser así, permítalos. Allow back-to-origin IP addresses to access the origin server.

4. Verifique si el software de seguridad o el bloqueo de IP en el servidor backend de SLB bloquean los bloques CIDR de retorno al origen. De ser así, permítalos. Allow back-to-origin IP addresses to access the origin server.

   Cuando no se utiliza balanceo de carga de capa 7, el servidor backend ve todas las solicitudes como originadas desde los bloques CIDR de retorno al origen de Anti-DDoS Proxy. El alto volumen de solicitudes de cada bloque puede provocar que el software de seguridad los bloquee. Agregue estos bloques CIDR a la lista de permitidos del servidor de origen.

5. Compruebe si la dirección IP de la instancia de SLB ha quedado expuesta. Si está expuesta o es desconocida, utilice una instancia de SLB diferente para evitar que los atacantes omitan Anti-DDoS Proxy.

Instancia de Elastic Compute Service (ECS)

1. Utilice TCPing para hacer ping a la IP y al puerto de la instancia de ECS. Revise los registros en busca de excepciones. Apéndice: Uso de TCPing para probar la conectividad.

2. Revise la instancia de ECS en busca de problemas de rendimiento, como alto uso de CPU, consultas lentas a la base de datos o alto ancho de banda de salida. Compruebe también si hay eventos de filtrado blackhole y limpieza de tráfico.

3. Verifique si los security groups o el software de seguridad bloquean los bloques CIDR de retorno al origen. De ser así, permítalos. Allow back-to-origin IP addresses to access the origin server.

4. Si utiliza un servicio que no es web, compruebe si una regla de security group permite solicitudes desde las direcciones IP de origen hacia la instancia de ECS.

5. Compruebe si la dirección IP de la instancia de ECS ha quedado expuesta. Si está expuesta o es desconocida, cámbiela para evitar que los atacantes omitan Anti-DDoS Proxy. Change the public IP address of an ECS origin server.

Servidor no desplegado en Alibaba Cloud

1. Utilice TCPing para hacer ping a la IP y al puerto del servidor. Revise los registros en busca de excepciones. Apéndice: Uso de TCPing para probar la conectividad.

2. Revise el servidor en busca de problemas de rendimiento, como alto uso de CPU, consultas lentas a la base de datos o alto ancho de banda de salida.

3. Verifique si las directivas de control de acceso (lista de bloqueados, lista de permitidos o software de seguridad) bloquean los bloques CIDR de retorno al origen. De ser así, permítalos. Allow back-to-origin IP addresses to access the origin server.

4. Compruebe si la dirección IP del servidor ha quedado expuesta. Si está expuesta o es desconocida, cámbiela para evitar que los atacantes omitan Anti-DDoS Proxy.

Solución de problemas de eventos de limpieza de tráfico

La siguiente figura muestra eventos de limpieza de tráfico en la página Instances.

Cuándo usar TCPing aquí : Compare los puertos afectados con los no afectados mediante TCPing. Esto revela si la directiva de limpieza o su servidor backend están causando la latencia.

Utilice TCPing para hacer ping tanto a los puertos afectados como a los no afectados. Compruebe si hay latencia o pérdida de paquetes y luego use la siguiente tabla para identificar la causa.

Solución de problemas de eventos de filtrado blackhole

1. La siguiente figura muestra un evento de filtrado blackhole en la página Instances. Identifique la dirección IP que está en estado de blackhole y verifique si el servicio afectado utiliza esa dirección IP.

2. Desactive el filtrado blackhole. Cada cuenta de Alibaba Cloud puede desactivarlo hasta cinco veces al día. Deactivate blackhole filtering.

3. Para evitar que el filtrado blackhole se active nuevamente después de la desactivación, actualice su instancia de Anti-DDoS Proxy.

Ruta 1: Anti-DDoS Proxy > WAF (modo CNAME) > Cloud Firewall > servidor backend

En la consola de WAF, vaya a la página Security report. Compruebe si las reglas de protección de WAF bloquean erróneamente la dirección IP de origen. De ser así, agregue la IP a la lista de permitidos o permita el ID de regla coincidente. Configure protection rules for the whitelist module to allow specific requests.

Ruta 2: Anti-DDoS Proxy > Cloud Firewall > WAF (modo cloud native) > servidor backend

1. En la consola de Cloud Firewall, vaya a la página Log audit. Compruebe si la dirección IP fue bloqueada erróneamente por reglas del sistema de prevención de intrusiones (IPS).

2. Add the source IP address to an address book.

3. Add the address book to the IPS whitelist.

Uso de TCPing en Windows

Copie la herramienta TCPing al directorio de destino y ejecute el siguiente comando:

tcping [$Domain_Name] [$Port]

[$Domain_Name] es el nombre de dominio o la dirección IP que desea probar.

[$Port] es el puerto que desea probar.

Ejemplo de salida:

Probing 192.168.XX.XX:80/tcp - Port is open - time=19.550ms
Probing 140.XXX.XXX.8:80/tcp - Port is open - time=8.761ms
Probing 192.168.XX.XX:80/tcp - Port is open - time=10.899ms
Probing 192.168.XX.XX:80/tcp - Port is open - time=13.013ms

Ping statistics for 192.168.XX.XX:80
     4 probes sent.
     4 successful, 0 failed.
Approximate trip times in milliseconds:
     Minimum = 8.761ms, Maximum = 19.550ms, Average = 13.056ms

Uso de TCPing en Linux

1. Instale TCPing:

      tar zxvf tcping-1.3.5.tar.gz
      cd tcping-1.3.5
      make tcping.linux

2. Pruebe la conectividad: Ejemplo de salida:

      for ((i=0; i<10; ++i)) ; do ./tcping www.example.com 80;done

      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.