Anti-DDoS Native renforce la protection DDoS de vos ressources Alibaba Cloud sans modifier votre architecture réseau. Une fois l'instance achetée et vos adresses IP publiques associées, la protection devient effective en quelques minutes. Le service atténue les attaques volumétriques de couche 3 et de couche 4 et offre un moyen rentable de consolider vos défenses DDoS de base.
Concepts
Attaques DDoS : les attaques par déni de service distribué (DDoS) utilisent du trafic malveillant pour saturer les ressources réseau ou matérielles et rendre un service indisponible. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'une attaque DDoS ?.
Fonctionnement
Anti-DDoS Native repose sur une architecture de déploiement en dérivation : les systèmes de détection DDoS et de nettoyage du trafic sont déployés au niveau de la sortie des centres de données Alibaba Cloud. Il utilise principalement un nettoyage passif, complété par une suppression active, afin d'identifier et d'éliminer le trafic d'attaque sans perturber les charges de travail légitimes.
Détection des attaques : le système surveille en temps réel le trafic transitant par les adresses IP publiques.
Nettoyage du trafic : lorsque le trafic entrant dépasse le seuil de nettoyage, le système redirige automatiquement ce trafic vers un centre de nettoyage.
Réinjection du trafic : le centre de nettoyage élimine le trafic d'attaque et réinjecte le trafic sain vers le serveur d'origine, garantissant ainsi l'accessibilité de vos services pendant l'attaque.
Avantages
Déploiement instantané : le déploiement s'effectue en une minute seulement après l'achat. La protection s'applique directement à vos ressources cloud, sans infrastructure supplémentaire ni modification des adresses IP.
Défense élastique : lors d'attaques à grande échelle, le système regroupe automatiquement toutes les ressources de protection DDoS disponibles dans la région actuelle pour offrir une protection optimale.
Connectivité BGP multi-opérateurs : la bande passante Border Gateway Protocol (BGP) permet un accès haut débit via plusieurs opérateurs, dont China Telecom, China Unicom et China Mobile, à travers une seule adresse IP.
Capacité de nettoyage à grande échelle : la bande passante de nettoyage répond aux exigences de sécurité des grands événements promotionnels, des lancements de produits et des charges de travail critiques.
Partage flexible des ressources : plusieurs adresses IP peuvent partager une même instance Anti-DDoS Native pour protéger plusieurs actifs.
Types de services cloud pris en charge
|
Dimension de comparaison |
Services cloud standard |
Services cloud améliorés |
|
Définition |
Services cloud bénéficiant de la protection DDoS par défaut d'Alibaba Cloud, tels que les instances Elastic Compute Service (ECS) standard, les adresses IP élastiques (EIP) et les instances Server Load Balancer (SLB). |
Services cloud pour lesquels l'amélioration de la protection DDoS est activée lors de l'achat. Actuellement, cela concerne spécifiquement les Anti-DDoS Native (Advanced) EIP(EIP Anti-DDoS Advanced). |
|
Activation des politiques |
Les politiques de protection, telles que les listes noires et blanches d'adresses IP ou le blocage géographique, prennent effet uniquement lorsque l'actif est attaqué et que son trafic est en cours de nettoyage. |
Les politiques de protection sont toujours actives. Tout le trafic transite par le centre de nettoyage. |
|
Capacité d'atténuation |
Partage la capacité de nettoyage au niveau de la région, qui peut atteindre plusieurs centaines de Gbps en Chine continentale. |
Fournit une capacité d'atténuation optimale de niveau Tbps. |
|
Configuration d'achat |
Lors de l'achat d'une EIP, définissez Security Protection sur Default. |
Lors de l'achat d'une EIP, définissez Security Protection sur Anti-DDoS (Pro/Premium). |
Éditions d'Anti-DDoS Native
Catégorie | Édition | Description |
Anti-DDoS Native 1.0 (Abonnement) | Enterprise | N'est plus disponible pour les nouveaux achats. |
Anti-DDoS Native 2.0 (Abonnement) | SMB, Enterprise | Prend en charge les services cloud standard et les EIP Anti-DDoS Advanced (EIP avec protection DDoS améliorée). L'édition SMB prend en charge uniquement les services cloud standard, et non les EIP Anti-DDoS Advanced.
|
Anti-DDoS Native 2.0 (Paiement à l'utilisation) | Enterprise | N'est plus disponible pour les nouveaux achats. Prend en charge les services cloud standard et améliorés. |
Spécifications des instances
Fonctionnalité | Anti-DDoS Native 1.0 | Anti-DDoS Native 2.0 (Abonnement) | Anti-DDoS Native 2.0 (Paiement à l'utilisation) (N'est plus disponible pour les nouveaux achats) | |
Enterprise | SMB | Enterprise | Enterprise | |
Actifs protégés | Services Alibaba Cloud : ECS, SLB, EIP (y compris les EIP associées aux passerelles NAT), passerelles IPv6, Simple Application Server, Web Application Firewall (WAF) et Global Accelerator (GA) |
| ||
Méthode de facturation | Abonnement | Abonnement | Abonnement | Paiement à l'utilisation |
Nombre d'atténuations | Illimité | 2 par mois | Illimité | Illimité |
Types d'actifs | Services cloud standard | Services cloud standard et services cloud améliorés (EIP Anti-DDoS Advanced) | ||
Prise en charge des régions | Protège les adresses IP publiques dans une seule région. | Protège les adresses IP publiques dans une seule région. | Protège les adresses IP publiques dans toutes les régions sous votre compte Alibaba Cloud. | Protège les adresses IP publiques dans toutes les régions sous votre compte Alibaba Cloud. |
Type de réseau | Prend en charge un seul type d'adresse IP publique : IPv4 ou IPv6. | Prend en charge un seul type d'adresse IP publique : IPv4 ou IPv6. | Prend en charge simultanément les adresses IP publiques IPv4 et IPv6. | Prend en charge simultanément les adresses IP publiques IPv4 et IPv6. |
Quota d'adresses IP | Sélectionnez un quota commençant à 100 adresses IP lors de l'achat d'une instance. | Sélectionnez de 1 à 29 adresses IP lors de l'achat d'une instance. | Sélectionnez de 30 à 2 000 adresses IP lors de l'achat d'une instance. Pour un quota supérieur, contactez votre gestionnaire de compte. | Jusqu'à 2 000 adresses IP. |
Bande passante métier | Sélectionnez la bande passante lors de l'achat d'une instance. Prend en charge les mises à niveau de bande passante sans limite supérieure. | Sélectionnez de 50 Mbps à 1 000 Mbps lors de l'achat d'une instance. | Sélectionnez une bande passante commençant à 100 Mbps lors de l'achat d'une instance. Prend en charge les mises à niveau de bande passante sans limite supérieure. Les services cloud standard n'ont aucune limite de bande passante ; les services cloud améliorés (EIP Anti-DDoS Advanced) ont des limites de bande passante. |
|
Bande passante métier extensible | Non pris en charge. | Pris en charge. La facturation au 95e percentile quotidien est activée par défaut. Lorsqu'elle est activée, la bande passante métier totale prise en charge est cinq fois supérieure à la bande passante métier de base. | Sans objet. | |
Journalisation SLS | Pris en charge. | Non pris en charge. | Pris en charge. | Pris en charge. |
Gestion multi-comptes | Non pris en charge. | Non pris en charge. | Pris en charge. | Pris en charge. |
Performances de protection
Anti-DDoS Native existe en versions 1.0 et 2.0. La version 1.0 n'est plus disponible pour les nouveaux achats. Le tableau suivant fournit des valeurs de référence pour la version 2.0 uniquement.
Anti-DDoS Native utilise une protection optimale. Sa capacité d'atténuation n'est pas fixe et s'ajuste dynamiquement en fonction de la capacité de protection globale du centre de données cloud. La capacité augmente généralement à mesure qu'Alibaba Cloud étend son infrastructure réseau, mais peut diminuer temporairement lorsque les ressources sont limitées.
Région | Native 2.0 (Abonnement) SMB | Native 2.0 (Abonnement) Enterprise | Native 2.0 (Paiement à l'utilisation) Enterprise (N'est plus disponible pour les nouveaux achats) | |||
Services cloud standard | Services cloud standard | Services cloud améliorés | Services cloud standard | Services cloud améliorés | ||
Chine continentale | Chine (Pékin), Chine (Shanghai), Chine (Hangzhou), Chine (Shenzhen), Chine (Ulanqab), Chine (Zhangjiakou), Chine (Hohhot), Chine (Heyuan) | Capacité maximale : 300 Gbps à 600 Gbps. | Jusqu'à une capacité de niveau Tbps. Disponible à l'achat uniquement en Chine (Pékin), Chine (Shanghai) et Chine (Hangzhou). | Capacité maximale : 300 Gbps à 600 Gbps. | Jusqu'à une capacité de niveau Tbps. Disponible à l'achat uniquement en Chine (Pékin), Chine (Shanghai) et Chine (Hangzhou). | |
Chine (Chengdu), Chine (Guangzhou), Chine (Qingdao) | Jusqu'à plusieurs dizaines de Gbps. | Jusqu'à plusieurs dizaines de Gbps. | ||||
Hors Chine continentale | Chine (Hong Kong), Singapour, Allemagne (Francfort), États-Unis (Silicon Valley), États-Unis (Virginie), France (Paris) | Capacité maximale : 100 Gbps à 200 Gbps. | Jusqu'à une capacité de niveau Tbps. | Capacité maximale : 100 Gbps à 200 Gbps. | Jusqu'à une capacité de niveau Tbps. | |
Japon (Tokyo) | Jusqu'à plusieurs dizaines de Gbps. | Jusqu'à une capacité de niveau Tbps. | Jusqu'à plusieurs dizaines de Gbps. | Jusqu'à une capacité de niveau Tbps. | ||
Autres régions | Capacité limitée (inférieure à 10 Gbps). | Jusqu'à une capacité de niveau Tbps. | Capacité limitée (inférieure à 10 Gbps). | Jusqu'à une capacité de niveau Tbps. | ||
Prise en main d'Anti-DDoS Native
Achetez une instance Anti-DDoS Native. Pour ajouter des EIP Anti-DDoS Advanced, autorisez d'abord le rôle lié au service (SLR). Pour plus d'informations, consultez la rubrique Autoriser Anti-DDoS Native (configuration initiale).
Ajoutez vos adresses IP publiques à l'instance en tant qu'objets protégés. Pour plus d'informations, consultez la rubrique Ajouter des objets protégés.
Configurez des politiques d'atténuation personnalisées en fonction des modèles de trafic de votre activité. Pour plus d'informations, consultez la rubrique Configurations de protection.
Surveillez le trafic de votre activité. Pour plus d'informations, consultez la rubrique Surveillance métier.
Activez les journaux de protection. Utilisez l'analyse d'atténuation pour interroger et analyser les journaux et consulter les rapports intégrés. Pour plus d'informations, consultez la rubrique Activer l'analyse d'atténuation.
Consultez les détails des événements d'attaque lorsque vos adresses IP publiques sont ciblées. Pour plus d'informations, consultez la rubrique Analyse des attaques.
Consultez les événements de filtrage blackhole et de nettoyage du trafic. Pour plus d'informations, consultez la rubrique Centre d'événements.
FAQ
-
Quelle est la différence entre Anti-DDoS Native et Anti-DDoS Proxy ?
Dimension de comparaison
Anti-DDoS Native
Anti-DDoS Proxy
Positionnement principal
Protection améliorée pour les services cloud.
Protection professionnelle indépendante.
Méthode de routage
S'associe aux adresses IP publiques existantes. Aucune modification d'adresse IP requise.
Réoriente le trafic métier vers une adresse IP Anti-DDoS.
Capacité d'atténuation
Capacité partagée au niveau de la région avec une limite supérieure (niveau Gbps).
Ressources indépendantes avec une capacité d'atténuation de niveau Tbps et un accord de niveau de service (SLA) plus élevé.
Scénarios applicables
Amélioration pratique et rentable des défenses de base.
Charges de travail critiques nécessitant une protection contre les attaques à grande échelle.
Coût
Relativement faible.
Relativement élevé.
-
Anti-DDoS Native peut-il se défendre contre les attaques CC (attaques de couche application) ?
Non. Anti-DDoS Native atténue principalement les attaques volumétriques de couche 3 et de couche 4, telles que les inondations UDP et SYN.