Anti-DDoS:Interaction avec les services cloud

Champ d'application

• Votre service utilise des ressources d'adresse IP publiques Alibaba Cloud, notamment des instances Elastic Compute Service (ECS) ou des instances Server Load Balancer (SLB) disposant d'adresses IP publiques, d'adresses IP élastiques (EIP) et de Web Application Firewall (WAF).

• Vous avez souscrit à Anti-DDoS Proxy (Chinese Mainland) - Profession ou Anti-DDoS Proxy (Outside Chinese Mainland) - Insurance ou Unlimited.

  Important

  La bande passante nettoyée, les QPS et autres spécifications de l'instance Anti-DDoS Proxy doivent répondre aux exigences de protection de votre service normal. Pour plus d'informations, consultez la rubrique Achat d'une instance Anti-DDoS Proxy.

• Le service de votre site web est ajouté à une instance Anti-DDoS Proxy pour être protégé. Pour plus d'informations, consultez la rubrique Ajout d'une configuration de site web.

• Vous avez vérifié que l'instance Anti-DDoS Proxy transfère correctement le trafic de service. Pour plus d'informations, consultez la rubrique Validation locale de votre configuration de transfert.

Contexte

Après l'ajout de votre service à Anti-DDoS Proxy, tout le trafic de service est transféré via Anti-DDoS Proxy par défaut. Le trafic malveillant est éliminé après le nettoyage du trafic, et seul le trafic de service légitime est transféré vers le serveur d'origine. Lors d'un accès normal au service en l'absence d'attaque, le trafic légitime transite également par Anti-DDoS Proxy, ce qui ajoute une légère latence à l'accès au service.

Pour éviter cette latence supplémentaire lors de l'accès normal au service, créez une règle d'interaction avec les services cloud dans Sec-Traffic Manager. Le trafic atteint alors directement le serveur d'origine sans latence supplémentaire lors des accès normaux, et ne bascule vers Anti-DDoS Proxy que lorsque votre service subit une attaque. Anti-DDoS Proxy nettoie ensuite le trafic avant de le transférer vers le serveur d'origine.

Fonctionnement d'une règle d'interaction avec les services cloud

La solution d'interaction avec les services cloud utilise la résolution intelligente basée sur DNS pour planifier dynamiquement le trafic et ajuster le chemin du trafic en fonction de l'état de sécurité de vos ressources cloud.

• État normal (aucune attaque) : le trafic de service ne transite pas par Anti-DDoS Proxy pour le nettoyage. Le trafic va directement du client à la ressource cloud.

  • Chemin du trafic : client → ressource cloud (accès direct).

  • Fonctionnement : lorsque la ressource cloud ne subit pas d'attaque DDoS, le trafic de service contourne le nœud de nettoyage Anti-DDoS Proxy. Le trafic est résolu directement du client vers l'adresse IP de la ressource cloud, ce qui garantit une latence minimale et des performances optimales.

• État d'attaque (nettoyage du trafic déclenché) : le trafic bascule automatiquement vers Anti-DDoS Proxy pour le nettoyage, afin que seul le trafic de service légitime soit transféré vers la ressource cloud.

  Remarque

  Vous pouvez également commuter manuellement le trafic vers Anti-DDoS Proxy. Pour plus d'informations, consultez la section Commutation du trafic.

  • Condition de déclenchement : le système de surveillance détecte que la ressource cloud subit une attaque DDoS et que toutes les adresses IP de la ressource cloud entrent en filtrage blackhole.

  • Chemin du trafic : client → Anti-DDoS Proxy (nettoyage du trafic) → ressource cloud.

  • Fonctionnement :

    1. Le système met automatiquement à jour l'enregistrement DNS pour pointer votre nom de domaine vers l'adresse CNAME d'Anti-DDoS Proxy.

    2. Le trafic de service est dirigé vers le cluster Anti-DDoS Proxy pour le nettoyage du trafic malveillant.

    3. Seul le trafic de service légitime est renvoyé vers la ressource cloud, ce qui garantit la continuité du service.

• État de récupération (retour automatique)

  • Condition de déclenchement : l'attaque DDoS prend fin et le trafic reste stable pendant une période donnée.

  • Fonctionnement :

    1. Une fois l'attaque terminée, Anti-DDoS Proxy entre dans une période d'attente de retour (Fallback Time configurable) pour vérifier si l'attaque ne rebondit pas.

    2. À la fin de la période d'attente, le système restaure automatiquement l'enregistrement DNS vers l'adresse IP de la ressource cloud.

    3. Le trafic de service se connecte à nouveau directement à la ressource cloud et quitte le mode de nettoyage Anti-DDoS Proxy.

Configuration d'une règle d'interaction avec les services cloud

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, choisissez Onboarding > Sec-Traffic Manager.

4. Pour le scénario Cloud Service Interaction, sous l'onglet General Interaction, cliquez sur Create Rule.

5. Dans le panneau Create Rule, sous l'onglet Cloud Service Interaction, configurez les paramètres suivants et cliquez sur Next.

   Paramètre	Description
   Scénario d'interaction	Sélectionnez Cloud Service Interaction.
   Rule Name	Le nom de la règle peut contenir des lettres, des chiffres et des traits de soulignement (_) et ne doit pas dépasser 128 caractères.
   Anti-DDoS Pro or Anti-DDoS Premium Instance	Sélectionnez l'instance Anti-DDoS Proxy que vous souhaitez associer à la règle.
   Resource for Interaction	Saisissez l'IP Address of Cloud Resource que vous souhaitez associer à la règle. Vous pouvez utiliser une adresse IP d'instance ECS, une adresse IP d'instance SLB, une adresse IP d'instance WAF ou une EIP. Cliquez sur Add IP Address of Cloud Resource pour ajouter plusieurs ressources cloud. Vous pouvez ajouter jusqu'à 20 adresses IP. Remarque Si vous ajoutez plusieurs adresses IP de ressources cloud, elles sont associées à une seule adresse IP Anti-DDoS Proxy. Lorsqu'une attaque DDoS se produit sur une adresse IP de ressource cloud, les autres adresses IP de ressources cloud sont utilisées en priorité. Le trafic ne bascule vers Anti-DDoS Proxy pour la protection que lorsqu'aucune adresse IP de ressource cloud n'est disponible. Si vous souhaitez que plusieurs ressources cloud partagent le trafic et que chaque ressource bascule indépendamment vers Anti-DDoS Proxy en cas d'attaque, consultez la rubrique Basculement multichemin.
   Fallback Time	Délai d'attente avant que le processus de retour (commutation du trafic vers les adresses IP des ressources cloud) puisse être déclenché après que le trafic de service a été commuté vers Anti-DDoS Proxy pour la protection. Une fois l'attaque terminée et ce délai écoulé, le trafic de service revient automatiquement vers les adresses IP des ressources cloud. Valeurs valides : 30 à 120 minutes. La valeur recommandée est de 60 minutes.

6. Mise à jour de la configuration DNS : pour garantir que la règle d'interaction dans Sec-Traffic Manager prenne effet, effectuez les modifications de configuration DNS comme indiqué sur la page.

   1. Vérification locale : (fortement recommandée) Avant de mettre à jour les enregistrements DNS publics, modifiez le fichier hosts sur votre ordinateur local pour simuler le changement de résolution et vérifier la règle de réacheminement du trafic. Cela vous permet d'éviter les problèmes d'incompatibilité causés par des politiques de retour à l'origine incohérentes. Voici des cas de risque typiques :

      Remarque

      Pour plus d'informations sur la vérification d'une règle de réacheminement du trafic, consultez la rubrique Validation locale de votre configuration de transfert.

      • Scénario : interaction CDN + Anti-DDoS Proxy + OSS

      • Conflit potentiel :

        • CDN : prend en charge la personnalisation du HOST de retour à l'origine afin que le bucket OSS soit correctement identifié.

        • Anti-DDoS Proxy : ne prend pas en charge la modification du HOST de retour à l'origine et utilise par défaut l'en-tête Host de la requête.

      • Symptôme : lorsqu'une attaque déclenche un basculement automatique vers Anti-DDoS Proxy, l'en-tête Host transmis par Anti-DDoS Proxy ne correspond pas à ce qu'attend OSS. OSS ne peut pas identifier le trafic légitime, ce qui entraîne des échecs d'accès au service.

   2. Mise à jour de l'enregistrement DNS : une fois la vérification locale effectuée et confirmée que tout fonctionne comme prévu, effectuez la modification DNS réelle. Mettez à jour l'enregistrement DNS de votre nom de domaine pour qu'il pointe vers l'adresse CNAME fournie par Sec-Traffic Manager. Suivez les instructions de votre bureau d'enregistrement de noms de domaine :

      Bureau d'enregistrement de noms de domaine	Instructions
      Alibaba Cloud	Connectez-vous à la console Alibaba Cloud DNS et mettez à jour l'enregistrement.
      Plateforme tierce	Connectez-vous à la plateforme de gestion du bureau d'enregistrement tiers où votre nom de domaine est enregistré et mettez à jour l'enregistrement DNS du nom de domaine.

   3. Vérification du résultat : après la mise à jour de l'enregistrement DNS, utilisez un navigateur pour tester si votre site web est accessible.

      Remarque

      • Après la mise à jour, la règle peut prendre un certain temps pour prendre pleinement effet en raison du temps de propagation DNS global (TTL). Pour plus d'informations, consultez la rubrique Modification d'un enregistrement CNAME pour Traffic Scheduler.

      • Si votre site web ne fonctionne pas comme prévu, commencez par résoudre le problème. Pour plus d'informations, consultez la rubrique Résolution des problèmes de réponse lente, de latence élevée et d'échecs d'accès pour les services protégés par Anti-DDoS Proxy.

Commutation du trafic

Pour répondre aux exigences de flexibilité des différents scénarios de service, les règles Cloud Service Interaction prennent en charge deux modes de commutation :

Autres opérations

Après avoir ajouté une règle General Interaction, vous pouvez effectuer les opérations suivantes sur les règles ajoutées dans la liste des règles.