Anti-DDoS Diversion protège les serveurs des centres de données Internet (IDC) situés hors de Chine continentale contre les attaques DDoS. Le service redirige le trafic entrant vers le centre de nettoyage d'Alibaba Cloud, filtre le trafic malveillant et réinjecte le trafic légitime dans votre réseau, sans modifier vos adresses IP ni votre architecture réseau d'origine.
Fonctionnement
Le processus Anti-DDoS Diversion comprend quatre étapes :
Détection des attaques : Votre équipe d'exploitation et de maintenance surveille les modèles de trafic (tels que des pics soudains du volume de paquets ou une distribution inhabituelle des sources) et confirme la présence d'une attaque DDoS. La détection étant manuelle, l'équipe d'exploitation et de maintenance lance la diversion via la console de sécurité du trafic ou par API.
Diversion du trafic : Le centre de nettoyage annonce des mises à jour du protocole BGP (Border Gateway Protocol) aux opérateurs mondiaux en utilisant l'AS134963, redirigeant ainsi tout le trafic entrant destiné au bloc CIDR (Classless Inter-Domain Routing) protégé vers le centre de nettoyage. La modification du routage prend généralement effet en deux à trois minutes.
Réinjection du trafic : Après le nettoyage, le trafic sain est renvoyé vers votre IDC via des tunnels GRE (Generic Routing Encapsulation) ou des connexions directes (Cross Connects). La réinjection utilise un transfert de couche 2 ou de couche 2,5 (modèle OSI du protocole TCP/IP), empêchant le trafic nettoyé de boucler vers le centre de nettoyage.
Rapports d'atténuation : Des journaux complets et des statistiques sont générés pour tout le trafic d'attaque détecté et atténué, incluant les données de trafic avant l'attaque et après le nettoyage, ainsi que l'ampleur de l'attaque.
Modes de diversion
Anti-DDoS Diversion prend en charge deux modes : À la demande et Toujours activé.
Mode À la demande
Le trafic circule normalement via votre IDC. Lorsque votre équipe d'exploitation et de maintenance détecte une attaque, elle active manuellement la diversion pour acheminer le trafic via le centre de nettoyage. Une fois l'attaque résolue, elle arrête la diversion pour rétablir le chemin de trafic direct.
L'activation étant manuelle, un court délai s'écoule entre la détection de l'attaque et la prise d'effet de la protection. Pendant cette période, votre service peut subir une dégradation. Le mode À la demande convient mieux aux entreprises confrontées à des attaques occasionnelles.
Le mode À la demande comprend deux types d'instances basés sur les limites mensuelles de sessions d'atténuation :
Insurance : Fournit deux sessions d'atténuation par mois. Après épuisement de ces sessions, contactez le support technique d'Alibaba Cloud pour passer au mode Unlimited.
Unlimited : Fournit un nombre illimité de sessions d'atténuation par mois.
Mode Toujours activé
Tout le trafic est continuellement acheminé via le centre de nettoyage, offrant une protection immédiate contre les attaques. Cela élimine le délai entre la détection et l'activation, mais introduit une légère latence due au saut de traitement du trafic supplémentaire. Le mode Toujours activé offre des sessions d'atténuation illimitées et convient mieux aux entreprises fréquemment exposées aux attaques.
Choisir un mode
| À la demande | Toujours activé | |
|---|---|---|
| Chemin de trafic normal | Direct vers l'IDC | Via le centre de nettoyage |
| Réponse aux attaques | Activation manuelle requise | Immédiate et automatique |
| Impact sur la latence | Aucun en fonctionnement normal | Légère, toujours présente |
| Sessions d'atténuation | Limitées (Insurance) ou illimitées | Illimitées |
| Idéal pour | Attaques occasionnelles | Attaques fréquentes |
Parcours de la diversion à la demande
L'exemple suivant illustre le fonctionnement du mode À la demande en utilisant des tunnels GRE pour la réinjection du trafic.
Configuration (avant une attaque)
Configurez un tunnel GRE entre le routeur de bordure virtuel (VBR) de votre IDC et le centre de nettoyage d'Alibaba Cloud.
Établissez une relation d'appairage BGP entre le VBR et le centre de nettoyage.
Activation de la diversion (pendant une attaque)
Lorsque votre équipe d'exploitation et de maintenance détecte une attaque DDoS, activez la diversion depuis la console de sécurité du trafic ou via l'API.
Le centre de nettoyage annonce globalement le bloc CIDR protégé en utilisant l'AS134963. Le trafic entrant est redirigé de votre IDC vers le centre de nettoyage. Le trafic sortant reste inchangé et continue de circuler directement de votre IDC vers le fournisseur de services Internet (ISP).
-
Si le trafic entrant continue d'atteindre votre IDC alors que la diversion est active, vérifiez les points suivants :
Vérifiez que la base de données des actifs de routage (RADB) et l'infrastructure à clé publique des ressources (RPKI) fonctionnent correctement.
Confirmez que votre serveur IDC et le centre de nettoyage annoncent le même bloc CIDR de sous-réseau dans le même format (par exemple,
1.1.XX.XX/24). Si c'est le cas, empêchez votre VBR d'annoncer les mêmes mises à jour BGP à l'ISP que le centre de nettoyage.
Le trafic nettoyé est renvoyé vers votre IDC via le tunnel GRE établi.
Arrêt de la diversion (après l'attaque)
Si vous avez précédemment arrêté l'annonce des mises à jour BGP à l'ISP, assurez-vous de republier l'annonce avant d'arrêter la diversion.
Arrêtez la diversion. Le centre de nettoyage cesse d'annoncer votre bloc CIDR et le trafic revient à son chemin direct normal.
Anti-DDoS Diversion vs Anti-DDoS Proxy
Ces deux produits protègent les serveurs IDC déployés sur site ou dans le cloud. Les principales différences résident dans l'étendue de la protection et l'utilisation prévue.
| Anti-DDoS Diversion | Anti-DDoS Proxy | |
|---|---|---|
| Couches de protection | Couche réseau (inondation ICMP, inondation UDP) et couche transport (inondation TCP SYN) | Couche réseau, couche transport et couche application (inondation HTTP/HTTPS) |
| Focus principal | Infrastructure réseau sous-jacente | Applications spécifiques et systèmes métier |
| Idéal pour | Protéger les blocs CIDR publics et l'infrastructure de niveau ISP | Protéger les applications web et les services |
Anti-DDoS Diversion fonctionne avec une capacité d'atténuation en Tbit/s et convient à la protection des serveurs sur site et des petits fournisseurs de services Internet (ISP) hors de Chine continentale.