Un ataque de denegación de servicio distribuido (DDoS) es un intento malicioso de interrumpir sus servicios. De forma predeterminada, Alibaba Cloud habilita Global Accelerator sin costo adicional para las direcciones IP aceleradas y las direcciones IP públicas de los grupos de endpoints en una instancia de Global Accelerator. Este servicio defiende contra ataques maliciosos y mejora la seguridad y resiliencia de su instancia de Global Accelerator.
Funcionamiento
Capacidad de protección
Anti-DDoS Basic se habilita de forma predeterminada para las direcciones IP aceleradas y las direcciones IP públicas de los grupos de endpoints en una instancia de Global Accelerator, lo que proporciona una protección básica contra DDoS de hasta 5 Gbps. La capacidad de protección gratuita varía según la región:
Para conocer los umbrales predeterminados de activación de blackhole de Anti-DDoS Basic en las distintas regiones, consulte Anti-DDoS Basic blackhole thresholds.
El umbral real de blackhole para una instancia de Global Accelerator depende de su región y configuración de ancho de banda. Prevalece el valor que se muestra en la página de Asset.
Mecanismo de protección
Todo el tráfico proveniente de internet se enruta a través de una red de protección contra DDoS antes de llegar a la instancia de Global Accelerator. La red de protección contra DDoS monitorea en tiempo real el tráfico que ingresa a la instancia de Global Accelerator. Cuando la red detecta un volumen de tráfico anormalmente alto u otro tipo de tráfico irregular, como un ataque DDoS, Anti-DDoS Basic redirige el tráfico sospechoso desde la ruta de red original hacia dispositivos de limpieza. Esta redirección ocurre sin afectar sus servicios normales. Los dispositivos de limpieza identifican y eliminan el tráfico malicioso. Posteriormente, el tráfico legítimo restante se inyecta de nuevo en la red original y se reenvía a la instancia de Global Accelerator de destino. Este proceso se denomina limpieza de tráfico.
Si el tráfico entrante supera la capacidad de protección, se enruta a un blackhole para proteger todo el clúster. En consecuencia, se descarta todo el tráfico entrante. Para obtener más información, consulte Alibaba Cloud blackhole policy .
La limpieza de tráfico se activa bajo las siguientes condiciones:
Patrón de tráfico: el tráfico coincide con la firma de un modelo de ataque conocido.
Volumen de tráfico: Anti-DDoS Basic establece automáticamente un umbral de limpieza basado en el ancho de banda de la dirección IP acelerada y la dirección IP pública del grupo de endpoints. Cuando el tráfico alcanza este umbral, comienza la limpieza, incluso si el tráfico es legítimo.
Los métodos de limpieza de tráfico incluyen el filtrado de paquetes de ataque, la limitación de velocidad del tráfico y la limitación de velocidad de paquetes. Anti-DDoS Basic utiliza los siguientes umbrales de limpieza:
Umbral de limpieza BPS: la limpieza comienza cuando la tasa de tráfico entrante, en bits por segundo, supera este umbral.
Umbral de limpieza PPS: la limpieza comienza cuando el número de paquetes entrantes por segundo supera este umbral.
Umbrales de limpieza
Las tablas siguientes muestran los umbrales de limpieza para las direcciones IP aceleradas y las direcciones IP públicas de los grupos de endpoints en una instancia de Global Accelerator:
Tabla 1. Umbral máximo de limpieza BPS
|
Ancho de banda de IP (Mbps) |
Umbral máximo BPS (Mbps) |
|
≤300 |
450 |
|
>300 |
Ancho de banda de IP × 1.5 |
Tabla 2. Umbral máximo de limpieza PPS
|
Ancho de banda de IP (Mbps) |
Umbral máximo PPS (pps) |
|
≤100 |
100,000 |
|
>100 |
Ancho de banda de IP × 1,000 |
El ancho de banda de IP se calcula de la siguiente manera:
Ancho de banda de IP de una dirección IP acelerada: el valor de ancho de banda asignado al área de aceleración.
-
El valor de ancho de banda para la dirección IP pública de un grupo de endpoints se determina mediante el método de facturación y el método de medición de ancho de banda de la instancia de Global Accelerator.
Método de facturación
Método de medición de ancho de banda
Ancho de banda de IP
subscription
Pay-by-bandwidth (associated with a basic bandwidth plan)
Peak bandwidth of the basic bandwidth plan
pay-as-you-go
Pay-by-data-transfer (settled by CDT)
1,200 Mbps
Por ejemplo, considere una instancia estándar de Global Accelerator donde la dirección IP acelerada tiene 100 Mbps de ancho de banda asignado a su área de aceleración, y el plan de ancho de banda básico asociado tiene un ancho de banda pico de 200 Mbps.
Umbrales de protección para la dirección IP acelerada: el umbral máximo de limpieza BPS es de 450 Mbps y el umbral máximo de limpieza PPS es de 100,000 pps.
Umbrales de protección para la dirección IP pública del grupo de endpoints: el umbral máximo de limpieza BPS es de 450 Mbps y el umbral máximo de limpieza PPS es de 200,000 pps.
Consultar el umbral de protección de Global Accelerator
Inicie sesión en la consola de Global Accelerator.
-
En la página Instances, haga clic en el ID de la instancia.
Para consultar los umbrales de protección de una instancia básica de Global Accelerator, elija Basic GA Instance en el panel de navegación izquierdo de la consola de Global Accelerator para abrir la lista de instancias básicas.
-
Consulte el umbral de protección para la dirección IP acelerada de una instancia de Global Accelerator o la dirección IP pública de su endpoint.
El estado de protección contra DDoS puede ser Protected, Scrubbing o Blackhole Filtering. El color del icono de protección contra DDoS varía según el estado. Los detalles están disponibles en la información sobre herramienta.
Dirección IP acelerada
En la página de detalles de la instancia, haga clic en la pestaña Acceleration Areas y localice la dirección IP acelerada de destino. En la columna Security Protection, pase el cursor sobre el icono de protección contra DDoS. La información sobre herramienta muestra el umbral de limpieza BPS, el umbral de limpieza PPS y el umbral de blackhole para la dirección IP acelerada.
Dirección IP pública del grupo de endpoints
Esta sección aplica únicamente a instancias estándar de Global Accelerator.
En la página de detalles de la instancia, haga clic en la pestaña Listeners y luego haga clic en el ID del listener correspondiente al grupo de endpoints de destino.
En la página de detalles del listener, haga clic en la pestaña Endpoint Group. Localice el grupo de endpoints de destino con la dirección IP pública y pase el cursor sobre el icono de protección contra DDoS. La información sobre herramienta muestra el umbral de limpieza BPS, el umbral de limpieza PPS y el umbral de blackhole para la dirección IP pública del grupo de endpoints.
Operaciones relacionadas
Configurar umbrales de limpieza: de forma predeterminada, Global Accelerator aplica el umbral máximo de protección de Anti-DDoS Basic según el ancho de banda de IP. No obstante, el umbral máximo de limpieza BPS puede resultar demasiado alto para brindar una protección eficaz con ciertos anchos de banda de IP. Por lo tanto, debe ajustar el umbral de limpieza para satisfacer las necesidades de su negocio. Para obtener más información, consulte Configure traffic scrubbing thresholds.
Adquirir otros servicios de protección contra DDoS: Anti-DDoS Basic proporciona solo seguridad básica. Si requiere una protección más robusta, puede associate your Global Accelerator instance with Anti-DDoS Origin or Anti-DDoS Pro/Premium.