Configurez les listes de contrôle d'accès après avoir ajouté votre site à Anti-DDoS Proxy, protégez le serveur d'origine - Anti-DDoS

Protégez l'adresse IP d'origine après avoir ajouté votre site à Anti-DDoS Proxy. Dans le cas contraire, les attaquants pourraient contourner Anti-DDoS Proxy et accéder directement au serveur d'origine. Cette rubrique explique comment configurer les listes de contrôle d'accès (ACL) pour différentes architectures réseau.

Les listes de contrôle d'accès sur le serveur d'origine ne prennent effet qu'une fois que le trafic d'attaque a atteint la périphérie du réseau Alibaba Cloud où réside le serveur d'origine.

Les listes de contrôle d'accès peuvent atténuer les attaques par inondation HTTP et les attaques web à petite échelle, mais pas les attaques DDoS volumétriques. Si une attaque DDoS volumétrique atteint la périphérie du réseau, elle peut dépasser la capacité d'atténuation du serveur d'origine et déclencher un filtrage en trou noir.

Si l'adresse IP d'origine est exposée, modifiez-la dès que possible. Pour plus d'informations, consultez Gérer l'exposition de l'adresse IP d'origine.

Architecture réseau de votre site	Description de la configuration des listes de contrôle d'accès
Anti-DDoS Proxy + instance Elastic Compute Service (ECS)	Le serveur d'origine est une instance ECS. Les adresses IP de retour vers l'origine de votre instance Anti-DDoS Proxy constituent les adresses IP source des requêtes transférées vers le serveur d'origine. Nous vous recommandons de configurer les listes de contrôle d'accès pour le serveur d'origine en définissant les règles du groupe de sécurité de l'instance ECS. Vous pouvez configurer les règles du groupe de sécurité pour autoriser uniquement le trafic provenant des adresses IP de retour vers l'origine et refuser tout trafic provenant d'autres adresses IP afin de protéger le serveur d'origine. Vous pouvez obtenir les adresses IP de retour vers l'origine d'une instance Anti-DDoS Proxy dans la console Anti-DDoS Proxy.
Anti-DDoS Proxy + Serveur d'origine non déployé sur Alibaba Cloud	Les adresses IP de retour vers l'origine de votre instance Anti-DDoS Proxy constituent les adresses IP source des requêtes transférées vers le serveur d'origine. Nous vous recommandons de configurer les listes de contrôle d'accès pour le serveur d'origine dans le logiciel de sécurité installé sur ce dernier, tel que iptables ou un pare-feu, afin d'autoriser uniquement le trafic provenant des adresses IP de retour vers l'origine et de refuser tout trafic provenant d'autres adresses IP pour protéger le serveur d'origine.
Anti-DDoS Proxy + instance Server Load Balancer (SLB) de couche 4 + instance ECS	Les adresses IP de retour vers l'origine de votre instance Anti-DDoS Proxy constituent les adresses IP source des requêtes transférées vers le serveur d'origine. Nous vous recommandons d'ajouter les adresses IP de retour vers l'origine d'Anti-DDoS Proxy à la liste d'autorisation de l'instance SLB. Activez ensuite le contrôle d'accès pour autoriser uniquement le trafic provenant des adresses IP de retour vers l'origine afin de protéger le serveur d'origine. Pour plus d'informations, consultez Activer le contrôle d'accès.
Anti-DDoS Proxy + instance Application Load Balancer (ALB) de couche 7 + instance ECS	Le serveur d'origine est une instance ECS. Les adresses IP de retour vers l'origine de l'instance ALB constituent les adresses IP source des requêtes transférées vers le serveur d'origine. Nous vous recommandons d'ajouter les adresses IP de retour vers l'origine de votre instance Anti-DDoS Proxy à la liste d'autorisation de l'instance ALB. Activez ensuite le contrôle d'accès pour autoriser uniquement le trafic provenant des adresses IP de retour vers l'origine afin de protéger le serveur d'origine. Pour plus d'informations, consultez Contrôle d'accès.
Anti-DDoS Proxy + Web Application Firewall (WAF), Alibaba Cloud CDN (CDN) ou Dynamic Content Delivery Network (DCDN) + instance ECS (Recommandé) Solution 1 : Activez les fonctionnalités d'atténuation des attaques DDoS et WAF sur DCDN En cas d'attaque DDoS, le trafic de service est transféré vers Anti-DDoS Proxy, puis vers DCDN, et enfin vers l'instance ECS. En l'absence d'attaques DDoS, le trafic de service est transféré vers DCDN, puis vers l'instance ECS. Remarque Cette solution est disponible uniquement pour DCDN. Si vous utilisez CDN, optez pour la Solution 2 ou migrez votre site vers DCDN. Les capacités de protection de WAF sont intégrées aux points de présence de DCDN. Votre trafic de service n'a pas besoin d'être transféré vers WAF. Solution 2 : Utilisez la fonctionnalité d'interaction CDN ou DCDN pour permettre le transfert du trafic de service vers WAF, puis vers l'instance ECS En cas d'attaque DDoS, le trafic de service est transféré vers Anti-DDoS Proxy, puis vers WAF, et enfin vers l'instance ECS. En l'absence d'attaques DDoS, le trafic de service est transféré vers CDN, puis vers WAF, et enfin vers l'instance ECS. Remarque Si votre serveur d'origine n'est pas une instance ECS, l'architecture réseau reste identique.	Solution 1 : Le serveur d'origine est une instance ECS. Les adresses IP de retour vers l'origine de DCDN constituent les adresses IP source des requêtes transférées vers le serveur d'origine. Lorsque vous utilisez DCDN, l'adresse IP de l'instance ECS est masquée. Dans la plupart des cas, il n'est pas nécessaire de configurer des listes de contrôle d'accès. Si vous souhaitez en configurer, contactez le support technique Alibaba Cloud. Solution 2 : Le serveur d'origine est une instance ECS. Les adresses IP de retour vers l'origine de WAF constituent les adresses IP source des requêtes transférées vers le serveur d'origine. Nous vous recommandons de configurer les listes de contrôle d'accès pour l'instance ECS. Pour plus d'informations, consultez Configurer la protection d'un serveur d'origine.