Protection DDoS pour les produits Alibaba Cloud - Anti-DDoS - Centre de documentation Alibaba Cloud

Avant de commencer

Pour ajouter des objets protégés (tels que les ressources EIP Advanced) à l'aide d'une instance Anti-DDoS Native, vous devez d'abord autoriser le rôle lié au service (SLR). Accédez à la page Instance Management et autorisez le rôle. Cela permet à l'instance Anti-DDoS Native d'accéder aux autres produits cloud.

Remarque

Nom du rôle : AliyunServiceRoleForDDoSBgpAliyunServiceRoleForDDoSBgp. Politique : AliyunServiceRolePolicyForDDoSBgpAliyunServiceRolePolicyForDDoSBgp.

Ajouter un objet protégé

Si vous utilisez Anti-DDoS Native pour la première fois, autorisez les produits cloud lors de l'ajout d'un objet protégé afin qu'Anti-DDoS Native puisse accéder à vos autres produits cloud.

Produits cloud standard

Automatique

Champ d'application

Toutes les éditions des instances Anti-DDoS Native 2.0.
Ressources prises en charge :
- Ajout automatique des ressources sous le compte Alibaba Cloud actuel.
- Si la gestion multi-comptes est activée, seules les ressources ECS, EIP (y compris NAT), passerelle IPv6 et SLB des comptes membres sont prises en charge. Les autres types de ressources ne sont pas pris en charge.

Règles d'ajout

Condition de déclenchement : Un produit cloud est ajouté automatiquement uniquement lorsque son statut est Traffic Scrubbing ou Blackhole.
Ressources existantes : Après activation de l'ajout automatique, les produits cloud existants qui répondent aux exigences de statut sont ajoutés dans un délai de 5 à 30 minutes.
Ressources nouvellement créées : Les produits cloud nouvellement créés qui respectent les règles de statut sont également ajoutés automatiquement en tant qu'objets protégés.
Instances multiples :
- Si vous avez acheté une instance Anti-DDoS Native 2.0 (Pay-as-you-go), les ressources sont ajoutées en priorité à cette instance à la demande.
- Si vous avez acheté plusieurs instances Anti-DDoS Native 2.0 (Subscription) et que toutes ont l'ajout automatique activé, une instance aléatoire prend effet pour la protection.

Activer l'ajout automatique

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans le coin supérieur gauche de la barre de navigation supérieure, sélectionnez le groupe de ressources de l'instance et choisissez All Regions comme région.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.
Sur la page Protected Objects, sélectionnez l'instance cible et cliquez sur Protection Status by Attack Status sous Enable. Configurez l'état de la ressource pour lequel celle-ci est automatiquement ajoutée en tant qu'objet protégé.

Manuel

Champ d'application

Type d'instance	Édition	Champ d'application des ressources pouvant être protégées
Anti-DDoS Native 1.0 (Subscription)	Anti-DDoS Native (Enterprise)	Ressources du compte actuel
Anti-DDoS Native 2.0 (Subscription)	Anti-DDoS Native (SMB)	Ressources du compte actuel
Anti-DDoS Native 2.0 (Subscription)	Anti-DDoS Native (Enterprise)	Ressources du compte actuel ; ressources ECS, EIP (y compris NAT), passerelle IPv6 et SLB des comptes membres
Anti-DDoS Native 2.0 (Pay-as-you-go)	Anti-DDoS Native (Enterprise)	Ressources du compte actuel ; ressources ECS, EIP (y compris NAT), passerelle IPv6 et SLB des comptes membres

Ajouter des ressources du compte actuel

Anti-DDoS Native 2.0

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans le coin supérieur gauche de la barre de navigation supérieure, sélectionnez le groupe de ressources de l'instance et choisissez All Regions comme région.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.
Sur la page Protected Objects, sélectionnez l'instance cible et cliquez sur Add Object for Protection.
Sélectionnez Add Asset ou Add Manually, puis cliquez sur Confirm.
- Add Asset : Parmi les ressources disponibles, sélectionnez les ressources IP publiques sous le compte Alibaba Cloud actuel.
- Add Manually : Saisissez manuellement les ressources IP publiques sous le compte Alibaba Cloud actuel.
Vérifiez que la ressource IP ajoutée apparaît dans la liste des objets protégés avec le statut Normal.

Anti-DDoS Native 1.0

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans le coin supérieur gauche de la barre de navigation supérieure, sélectionnez le groupe de ressources et la région de l'instance.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.
Sur la page Protected Objects, sélectionnez l'instance cible et cliquez sur Add Object for Protection.
Sélectionnez Add Asset ou Add Manually, puis cliquez sur Confirm.
- Add Asset : Parmi les ressources disponibles, sélectionnez les ressources IP publiques sous le compte Alibaba Cloud actuel.
- Add Manually : Saisissez manuellement les ressources IP publiques sous le compte Alibaba Cloud actuel.
Vérifiez que la ressource IP ajoutée apparaît dans la liste des objets protégés avec le statut Normal.

Ajouter des ressources des comptes membres

Si le compte Alibaba Cloud actuel a activé la gestion multi-comptes et qu'il s'agit d'un compte de gestion, vous pouvez ajouter des ressources IP publiques des comptes membres en tant qu'objets protégés. Pour plus de détails, consultez les Instructions de configuration pour la gestion unifiée multi-comptes.

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans le coin supérieur gauche de la barre de navigation supérieure, sélectionnez le groupe de ressources de l'instance et choisissez All Regions comme région.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.
Sur la page Protected Objects, sélectionnez l'instance cible et cliquez sur Add Object for Protection.
Dans l'onglet Add Assets of Members, dans la zone Owner Account of Asset, sélectionnez le compte cible.
Parmi les ressources disponibles, sélectionnez les ressources du compte membre nécessitant une protection, puis cliquez sur Confirm.
Vérifiez que la ressource IP ajoutée apparaît dans la liste des objets protégés avec le statut Normal.

Produits cloud améliorés

Champ d'application

S'applique uniquement aux instances Anti-DDoS Native 2.0 (Subscription) - Enterprise et Anti-DDoS Native 2.0 (Pay-as-you-go).
Produits cloud pris en charge : ressources Anti-DDoS Advanced EIP.

Fonctionnement des EIP Advanced

Après l'achat d'une EIP Advanced, le système l'ajoute automatiquement en tant qu'objet protégé à une instance Anti-DDoS Native 2.0 (Pay-as-you-go) ou Anti-DDoS Native 2.0 (Subscription) - Enterprise. Aucune configuration manuelle n'est requise.

Remarque

Vous ne pouvez pas ajouter manuellement des EIP Advanced depuis la console.

Règles d'ajout automatique

EIP Advanced nouvellement achetée (scénario hors Resource Directory) :
- Si vous ne disposez que d'une seule instance Anti-DDoS Native 2.0 (Pay-as-you-go), l'EIP est automatiquement ajoutée à cette instance.
- Si vous ne disposez que d'une seule instance Anti-DDoS Native 2.0 (Subscription) - Enterprise, l'EIP est automatiquement ajoutée à cette instance.
- Si vous disposez à la fois d'une instance Pay-as-you-go et d'une instance Subscription - Enterprise, l'EIP est ajoutée en priorité à l'instance Pay-as-you-go.

Scénario multi-comptes Resource Directory (RD) (le sous-compte achète l'EIP Advanced) : L'EIP est automatiquement associée selon une stratégie hiérarchique :

Les instances Pay-as-you-go sont prioritaires sur les instances Subscription.
Les ressources du compte principal sont prioritaires sur les ressources des comptes membres.
Pour les instances Subscription, privilégiez celle disposant de la plus grande capacité restante.

Priorité	Compte	Instance
1	Compte principal RD	Anti-DDoS Native 2.0 (Pay-as-you-go)
2	Compte membre RD	Anti-DDoS Native 2.0 (Pay-as-you-go)
3	Compte principal RD	Anti-DDoS Native 2.0 (Subscription) - Enterprise Remarque Privilégiez l'instance disposant de la plus grande capacité restante.
4	Compte membre RD	Anti-DDoS Native 2.0 (Subscription) - Enterprise Remarque Privilégiez l'instance disposant de la plus grande capacité restante.

Cycle de vie des EIP Advanced

Le cycle de vie des ressources EIP Advanced est aligné sur celui de l'instance Anti-DDoS Native 2.0 (Enterprise) :

Lorsqu'une EIP Advanced est libérée, les informations sur la ressource sont synchronisées avec Anti-DDoS Native via une API, et la ressource est automatiquement supprimée de l'instance.
Lorsqu'une instance Anti-DDoS Native (Subscription) expire, un message est synchronisé avec l'EIP pour arrêter le transfert du trafic. Une fois le transfert arrêté, l'EIP peut continuer à être utilisée après le renouvellement de l'instance. Si l'instance n'est pas renouvelée, l'EIP suit le cycle de vie d'Anti-DDoS Native pour la suspension et la libération.
Lorsque l'instance Anti-DDoS Native est suspendue et libérée, l'EIP Advanced associée est également automatiquement libérée. L'EIP Advanced cesse de fournir des services, et les configurations et données associées sont définitivement supprimées et ne peuvent pas être récupérées.

Avertissement
Migrez votre activité et vos données depuis l'EIP Advanced avant la libération de l'instance Anti-DDoS Native pour éviter toute perte de données.

Gérer les objets protégés

Activer le blocage du trafic transfrontalier

Une fois activée, cette fonctionnalité rejette tout le trafic transfrontalier pendant une période de blocage spécifiée. Elle s'applique aux scénarios où le service lui-même ne génère pas de trafic transfrontalier. Le blocage du trafic transfrontalier utilise généralement les routeurs principaux du réseau dorsal de l'opérateur pour rejeter le trafic provenant de régions spécifiques proches de la source de l'attaque.

Règles de prise en charge par région :
- Ressources IP publiques en Chine continentale : Une fois le blocage du trafic transfrontalier activé, tout le trafic en provenance de l'extérieur de la Chine continentale est bloqué.
- Ressources IP publiques hors de Chine continentale : Le blocage du trafic transfrontalier n'est pas pris en charge.
Mécanisme de déblocage : Le blocage du trafic est automatiquement levé à la fin de la durée de blocage. Pour lever le blocage plus tôt, désactivez manuellement la fonctionnalité.
Quota et limites : La politique de blocage du trafic transfrontalier effective a une limite de temps et un quota mensuel de 10 utilisations.

Remarque

Consultez la page d'analyse des attaques dans la console Traffic Security pour déterminer si tout le trafic d'attaque provient d'IP transfrontalières. Si c'est le cas, activez le blocage du trafic transfrontalier pour la ressource IP publique afin d'éviter de gaspiller votre quota mensuel.

Procédure

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans la barre de navigation supérieure, sélectionnez le groupe de ressources auquel appartiennent les instances et la région dans laquelle elles résident.
- Instances Anti-DDoS Native 1.0 (Subscription) : Sélectionnez la région dans laquelle réside l'instance.
- Instances Anti-DDoS Native 2.0 (Subscription) et Anti-DDoS Native 2.0 (Pay-as-you-go) : Sélectionnez All Regions.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.
Après avoir sélectionné l'instance cible, localisez l'IP cible et basculez l'interrupteur dans la colonne Cross-Border Traffic Blocking. Définissez la durée de blocage.

Remarque
La durée de blocage varie de 30 minutes à 1 jour, spécifiée par l'heure de début et l'heure de fin. Une fois active, la durée ne peut pas être modifiée. Pour la changer, désactivez le blocage du trafic transfrontalier actif et réactivez-le avec une nouvelle durée.
Consultez la configuration dans la liste des ressources. Une fois la durée de blocage écoulée, le blocage du trafic est automatiquement annulé et le statut du blocage du trafic transfrontalier passe à désactivé.

Afficher les détails des objets protégés

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans la barre de navigation supérieure, sélectionnez le groupe de ressources auquel appartiennent les instances et la région dans laquelle elles résident.
- Instances Anti-DDoS Native 1.0 (Subscription) : Sélectionnez la région dans laquelle réside l'instance.
- Instances Anti-DDoS Native 2.0 (Subscription) et Anti-DDoS Native 2.0 (Pay-as-you-go) : Sélectionnez All Regions.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.

Sur la page Protected Objects, sélectionnez l'instance que vous souhaitez consulter. Consultez les détails de la configuration de protection des ressources IP publiques sous cette instance.

Ressources IP et ressources WAF

Élément	Description
IP	La ressource IP publique liée à cette instance.
Owner Account of Asset	Affiché lorsque le compte Alibaba Cloud actuel a activé la gestion multi-comptes, est un compte de gestion et utilise une instance Anti-DDoS Native 2.0 (Enterprise). Il indique le compte Alibaba Cloud auquel appartient la ressource IP publique.
Traffic Scrubbing Threshold	La bande passante d'accès minimale qui déclenche le nettoyage du trafic, y compris le trafic (Mbps) et le taux de paquets (PPS). Pour plus d'informations, consultez la Description du seuil de nettoyage pour les objets protégés.
Asset Region	La région à laquelle appartient la ressource IP publique.
Asset Type	Le type de ressource de la ressource IP publique.
Status	Le statut de sécurité DDoS de la ressource IP publique. Normal Under blackhole : Cliquez sur Actions dans la colonne Deactivate Blackhole Filtering. Dans la boîte de dialogue Deactivate Blackhole Filtering, consultez le nombre restant de désactivations de blackhole. Après confirmation de la désactivation, cliquez sur OK. Consultez les enregistrements des événements de blackhole. Pour plus de détails, voir Afficher les enregistrements des événements de blackhole.
Mitigation Policy	Le modèle de politique de protection associé à la ressource IP publique. Si la valeur est Default, cela indique que la ressource IP publique utilise la capacité de protection par défaut d'Anti-DDoS Native sans politique de protection définie. S'il s'agit d'un modèle de politique de protection personnalisé, cliquez sur le modèle pour accéder à la page de configuration de la protection et afficher les détails du modèle.
Cross-Border Traffic Blocking	Indique si le blocage du trafic transfrontalier est activé.
Actions	Delete : Supprimez l'objet protégé. Cette opération n'est prise en charge que lorsque la ressource est dans l'état blackhole. Deactivate Blackhole Filtering : Cette opération n'est prise en charge que lorsque la ressource est dans l'état blackhole. View Applied Policy : Consultez les informations spécifiques de la politique de protection qui prend effet en temps réel pour cette ressource IP publique.

EIP Anti-DDoS Advanced

Élément	Description
IP	Adresse EIP Advanced.
Owner Account of Asset	Affiché lorsque le compte Alibaba Cloud actuel a activé la gestion multi-comptes et est un compte de gestion. Il indique le compte Alibaba Cloud auquel appartient l'EIP Advanced.
Traffic Scrubbing Threshold	La bande passante d'accès minimale qui déclenche le nettoyage du trafic, y compris le trafic (Mbps) et le taux de paquets (PPS). Pour plus d'informations, consultez la Description du seuil de nettoyage pour les objets protégés.
Asset Region	La région à laquelle appartient l'EIP Advanced.
Asset Type	EIP Anti-DDoS Advanced (EIP Advanced).
Ports	Le nombre de ports configurés avec une protection de port sous l'EIP Advanced. Cliquez sur l'icône à gauche de l'IP cible pour voir quels ports ont des politiques de protection configurées.
Status	Le statut de sécurité DDoS de l'EIP Advanced. Normal Under blackhole : Cliquez sur Actions dans la colonne Deactivate Blackhole Filtering. Dans la boîte de dialogue Deactivate Blackhole Filtering, consultez le nombre restant de désactivations de blackhole. Après confirmation de la désactivation, cliquez sur OK. Consultez les enregistrements des événements de blackhole. Pour plus de détails, voir Afficher les enregistrements des événements de blackhole.
Mitigation Policy	Le modèle de politique de protection associé à l'EIP Advanced. Si la valeur est Default, cela indique que l'EIP Advanced utilise la capacité de protection par défaut d'Anti-DDoS Native sans politique de protection définie. S'il s'agit d'un modèle de politique de protection personnalisé, cliquez sur le modèle pour accéder à la page de configuration de la protection et afficher les détails du modèle.
Cross-Border Traffic Blocking	Indique si le blocage du trafic transfrontalier est activé.
Actions	Add Port : Ajoutez un port spécifié. Cette opération n'est prise en charge que lorsque l'EIP Advanced est dans l'état blackhole. Deactivate Blackhole Filtering : Cette opération n'est prise en charge que lorsque l'EIP Advanced est dans l'état blackhole. View Applied Policy : Consultez les détails de la politique de protection de l'EIP Advanced.

Supprimer un objet protégé

Sur la page Protected Objects, sélectionnez l'instance cible.
Dans la liste des ressources, localisez la ressource IP publique ou l'EIP Advanced cible et cliquez sur Delete dans la colonne Actions.
Dans la boîte de dialogue Delete Protected Object, examinez l'avertissement et cliquez sur OK.

Réaffecter des ressources par lot

Connectez-vous à la console Traffic Security. Dans le volet de navigation de gauche, choisissez DDoS.
Dans le coin supérieur gauche de la barre de navigation supérieure, sélectionnez le groupe de ressources de l'instance et choisissez All Regions comme région.
Dans le volet de navigation de gauche, choisissez Network Security > Anti-DDoS Native > Protected Objects.
Accédez à l'onglet de ressource correspondant, tel que Advanced EIP, et cliquez sur Batch Reassign Assets sous la liste.
Dans la boîte de dialogue, sélectionnez l'instance Anti-DDoS Native cible et cliquez sur OK.
Avertissement
La migration par lot entière échoue si l'une des conditions suivantes se produit. La migration partielle n'est pas prise en charge :
- Incompatibilité de région de ressource : L'instance de destination ne prend pas en charge la région des ressources à migrer (par exemple, des ressources de Chine continentale migrées vers une instance qui ne prend en charge que les ressources des régions hors de Chine continentale).
- Capacité insuffisante : Le nombre de ressources à migrer dépasse la limite d'IP protégées de l'instance de destination.
- Sous attaque : Les IP en état de nettoyage ne peuvent pas changer d'instances de liaison.

Étapes suivantes

FAQ

Les EIP Advanced sont-elles automatiquement ajoutées en tant qu'objets protégés ?

Oui. Après l'achat d'une EIP Advanced, elle est automatiquement ajoutée en tant qu'objet protégé. Aucune configuration manuelle n'est requise. Pour plus de détails, consultez les Règles d'ajout automatique.
Puis-je activer le blocage du trafic transfrontalier pour les EIP Advanced ?

Oui. En tant qu'objet protégé, une EIP Advanced peut activer la fonctionnalité lorsqu'elle subit des attaques DDoS transfrontalières pour bloquer le trafic en provenance de l'extérieur de la Chine continentale. La politique de blocage du trafic transfrontalier a un quota mensuel de 10 utilisations. Utilisez-la uniquement en cas d'attaque.
Comment le cycle de vie de l'EIP Advanced est-il lié à l'instance Anti-DDoS Native ?

Le cycle de vie des EIP Advanced est aligné sur les instances Anti-DDoS Native 2.0 (Enterprise). Lorsqu'une EIP Advanced est libérée, la ressource est automatiquement supprimée de l'instance Anti-DDoS Native. Lorsqu'une instance Anti-DDoS Native expire et est libérée, l'EIP Advanced associée est également automatiquement libérée. Pour plus de détails, consultez le Cycle de vie des EIP Advanced.
Que faire si la capacité IP est pleine ?

Augmentez la capacité d'IP protégées de votre instance Anti-DDoS Native ou achetez une nouvelle instance. Pour les opérations connexes, consultez Gérer les instances et Tarification.
Comment transférer une ressource d'un compte membre vers le compte de gestion ?

Une ressource IP publique ne peut être protégée que par une seule instance. Supprimez d'abord l'objet protégé sous le compte membre, puis ajoutez-le sous le compte de gestion.
Que faire si je reçois l'erreur « The IP address does not belong to you » ?

Résolvez le problème en suivant ces étapes :
1. Vérifiez que l'adresse IP saisie est correcte.
2. Vérifiez la région du produit cloud correspondant à l'IP protégée et confirmez qu'elle correspond à la région de l'instance Anti-DDoS Native.
3. Si l'IP protégée est une IP WAF, vérifiez la région de l'instance WAF et confirmez qu'Anti-DDoS Native prend en charge cette région. Pour les régions prises en charge, consultez Qu'est-ce qu'Anti-DDoS Native ?
4. Si le type d'IP protégée est IPv6, vérifiez si la bande passante publique est activée. Pour savoir comment activer la bande passante publique IPv6 pour ECS, consultez Communication IPv6.
Que faire si l'ajout d'une EIP Advanced échoue ?

Si l'ajout d'une EIP Advanced en tant qu'objet protégé échoue, vérifiez les causes courantes et les solutions suivantes :
- SLR non autorisé : La fonctionnalité EIP Advanced nécessite une autorisation SLR. Accédez à la page Instance Management et complétez l'autorisation comme indiqué.
- Incompatibilité de région : La région de l'EIP Advanced ne correspond pas à la région de l'instance Anti-DDoS Native. Mettez à niveau l'instance pour inclure la région de l'EIP Advanced.
- Capacité insuffisante : La capacité IP de l'instance est pleine. Mettez à niveau l'instance pour augmenter la capacité IP.
- Incompatibilité d'édition : L'édition actuelle de l'instance ne prend pas en charge cette fonctionnalité. Passez à Anti-DDoS Native 2.0 (Enterprise).
- Instance expirée : L'instance a expiré. Renouvelez l'instance.
- Instance libérée : L'instance a été libérée. Achetez une nouvelle instance.
- Erreur de vérification STS : Une erreur côté service s'est produite. Réessayez plus tard ou contactez le support technique.