Anti-DDoS Origin Basic es un servicio gratuito que protege sus instancias ECS contra ataques DDoS. Cuando el tráfico entrante hacia una instancia ECS supera el límite de su tipo de instancia, Security Center limita el tráfico para evitar fugas de datos, desconexiones del servidor e indisponibilidad del servicio. Este tema describe las funciones y los principios de Anti-DDoS Origin Basic.
De forma predeterminada, Security Center ofrece hasta 5 Gbps de mitigación de ataques gratuita para instancias ECS. La capacidad de protección específica varía según el tipo de instancia. Consulte los umbrales de protección reales en la consola Traffic Security. Para obtener más información, consulte What is Security Center y Anti-DDoS Origin Basic blackhole thresholds.
Limpieza de tráfico
Al habilitar Anti-DDoS Origin Basic, Security Center supervisa en tiempo real el tráfico entrante hacia sus instancias ECS. Si detecta grandes volúmenes de tráfico o patrones anómalos, incluidos ataques DDoS, redirige el tráfico sospechoso a un centro de limpieza sin afectar sus servicios. El centro de limpieza filtra el tráfico malicioso y reenvía el legítimo a la instancia ECS de destino. Este proceso se denomina limpieza de tráfico y elimina el tráfico anómalo para garantizar la estabilidad y seguridad de sus servicios. Para obtener más información, consulte What is Anti-DDoS Origin.
Si el tráfico de Internet entrante hacia una instancia ECS supera los 5 Gbps, Alibaba Cloud aplica un agujero negro a la instancia para proteger todo el clúster. En consecuencia, se descarta todo el tráfico dirigido a la instancia y se bloquea el acceso público. Para obtener más información, consulte Alibaba Cloud blackhole policy.
Activadores de la limpieza de tráfico
La limpieza de tráfico se activa bajo las siguientes condiciones:
Patrones de tráfico: la limpieza se inicia cuando el tráfico entrante coincide con la firma de un ataque conocido.
Volumen de tráfico: los ataques DDoS suelen implicar cantidades masivas de tráfico, a menudo medidas en Gbps. La limpieza se activa automáticamente cuando el tráfico entrante hacia una instancia ECS supera un umbral predefinido.
Métodos de limpieza de tráfico
Anti-DDoS Origin Basic utiliza métodos como el filtrado de paquetes de ataque y la limitación de la tasa de tráfico. Configure estos métodos mediante los siguientes umbrales. Para consultar las instrucciones, revise Set traffic scrubbing thresholds.
Umbral de limpieza basado en BPS: activa la limpieza de tráfico cuando la tasa de tráfico entrante, medida en bits por segundo (BPS), supera este valor.
Umbral de limpieza basado en PPS: activa la limpieza de tráfico cuando la tasa de paquetes entrantes, medida en paquetes por segundo (pps), supera este valor.
Umbrales de limpieza para instancias ECS
Esta función está disponible en las siguientes regiones: China (Heyuan), China (Guangzhou), China (Chengdu), China (Hohhot), China (Ulanqab), China (Hong Kong), UAE (Dubai), UK (London), Germany (Frankfurt), Philippines (Manila), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Japan (Tokyo), US (Virginia), US (Silicon Valley) y Singapore.
Los umbrales de limpieza de una instancia ECS dependen del ancho de banda público adquirido y del tipo de instancia. Las fórmulas de cálculo se muestran en la siguiente tabla.
|
Ancho de banda adquirido (Mbps) |
Umbral máximo de BPS (Mbps) |
Umbral máximo de PPS (pps) |
|
≤300 |
El menor entre el ancho de banda de red máximo del tipo de instancia y 450. |
El menor entre la tasa máxima de reenvío de paquetes del tipo de instancia y 100,000. |
|
>300 |
El menor entre el ancho de banda de red máximo del tipo de instancia y (ancho de banda público adquirido * 1.5). |
El menor entre la tasa máxima de reenvío de paquetes del tipo de instancia y (ancho de banda público adquirido * 1,000). |
Los umbrales de BPS y PPS utilizan los valores de las columnas Network Bandwidth y Packet forwarding rate de la documentación instance family, respectivamente.
Algunas familias de instancias no proporcionan métricas de ancho de banda. En este caso, prevalecen los umbrales de limpieza mostrados en la consola Traffic Security.
Prevalece el umbral de agujero negro mostrado en la consola Traffic Security. Para obtener más información, consulte Anti-DDoS Origin Basic blackhole thresholds.
Por ejemplo, considere una instancia ecs.g5.16xlarge con un ancho de banda público adquirido de 100 Mbps. Este tipo de instancia tiene un ancho de banda de red máximo de 20,000 Mbps y una tasa máxima de reenvío de paquetes de 4,000,000 pps. Los umbrales de limpieza se calculan como se muestra en la siguiente tabla.
|
Ancho de banda adquirido (Mbps) |
Umbral máximo de BPS (Mbps) |
Umbral máximo de PPS (pps) |
|
100 < 300 |
MIN(20,000, 450) El resultado es 450. |
MIN(4,000,000, 100,000) El resultado es 100,000. |
La consola Traffic Security muestra los umbrales de limpieza reales. Para obtener más información, consulte Assets. Por ejemplo, inicie sesión en la consola Traffic Security, vaya a la página Assets y haga clic en la pestaña ECS. Los umbrales de limpieza de BPS y PPS para cada instancia se muestran en la columna Scrubbing Threshold.
Temas relacionados
Anti-DDoS Origin Basic está habilitado de forma predeterminada para todas las instancias ECS. Después de crear una instancia, puede realizar las siguientes operaciones:
Establecer umbrales de limpieza de tráfico: de forma predeterminada, una instancia ECS utiliza los umbrales máximos permitidos para su tipo. Sin embargo, en algunos tipos de instancia, el umbral máximo basado en BPS podría ser demasiado alto para sus servicios. Ajuste los umbrales para cumplir con los requisitos de su servicio. Para consultar las instrucciones, revise Anti-DDoS Origin Basic User Guide - Anti-DDoS Origin Basic settings.
-
(No recomendado) Cancelar la limpieza de tráfico: Security Center limpia el tráfico que alcanza el umbral de limpieza, incluso si es legítimo, lo cual puede afectar sus servicios. Cancele manualmente la limpieza de tráfico para garantizar la disponibilidad del servicio. Para consultar las instrucciones, revise Anti-DDoS Origin Basic User Guide - How to cancel traffic scrubbing.
AvisoSi cancela la limpieza de tráfico y el tráfico entrante hacia la instancia ECS supera su umbral de agujero negro (hasta 5 Gbps), se aplicará un agujero negro a la instancia. Proceda con precaución.
Actualizar a Anti-DDoS Pro: en comparación con las soluciones tradicionales de protección DDoS, Anti-DDoS Pro ofrece ventajas como despliegue sencillo, red BGP de alta calidad, protección potente, alta estabilidad y mitigación precisa basada en IA. Para obtener más información, consulte What is Anti-DDoS Pro.
Para aprender a elegir un producto de protección DDoS, consulte How to choose a DDoS protection product.