Anti-DDoS:Protection par niveaux

Prérequis

• Votre service utilise des ressources IP publiques Alibaba Cloud, notamment des instances Elastic Compute Service (ECS) ou Server Load Balancer (SLB) dotées d'adresses IP publiques, d'adresses IP élastiques (EIP) et de Web Application Firewall (WAF).

• Anti-DDoS Native : Vous avez acheté une instance Anti-DDoS Native et activé le service pour vos actifs IP publics. Pour plus d'informations, consultez Acheter une instance Anti-DDoS Native et Objets protégés.

• Anti-DDoS Proxy : Vous avez acheté l'une des éditions Anti-DDoS Proxy suivantes et ajouté vos services web à Anti-DDoS Proxy. Pour plus d'informations, consultez Acheter une instance Anti-DDoS Proxy et Ajouter une configuration de site web.

  • Anti-DDoS Proxy (Chinese Mainland) : Professional Edition et Premium Edition

  • Anti-DDoS Proxy (Outside Chinese Mainland) : Insurance et Unlimited mitigation plan

• L'instance Anti-DDoS Proxy transfère le trafic de service comme prévu. Pour plus d'informations, consultez Valider localement votre configuration de transfert.

Fonctionnement des règles d'interaction de la protection par niveaux

La protection par niveaux adopte une stratégie « Protection Native par défaut, Anti-DDoS Proxy à la demande » qui ajuste dynamiquement le niveau de protection selon le volume du trafic d'attaque. Cette défense en couches maintient une faible latence pour les services courants tout en offrant une capacité de nettoyage élastique pour les attaques volumétriques massives.

• Protection courante (aucune attaque ou attaques à petite échelle) :

  • Fournisseur de protection : Anti-DDoS Native.

  • Chemin du trafic : Client → Anti-DDoS Native → Adresse IP de la ressource cloud.

  • Fonctionnement :

    • Par défaut, la fonctionnalité Anti-DDoS Native intégrée à la ressource cloud nettoie le trafic de service.

    • Ce mode convient aux attaques courantes à petite échelle ou aux analyses. Aucun basculement du chemin du trafic n'est nécessaire, ce qui minimise la latence d'accès au service.

• Protection d'urgence (déclenchée par une attaque volumétrique) :

  Remarque

  Vous pouvez également basculer manuellement le trafic vers Anti-DDoS Proxy. Pour plus de détails, consultez Basculer le trafic.

  • Condition de déclenchement : Une attaque DDoS volumétrique est détectée sur les adresses IP des ressources cloud, et toutes sont en filtrage blackhole.

  • Fournisseur de protection : Anti-DDoS Proxy.

  • Chemin du trafic : Client → Anti-DDoS Proxy (nettoyage approfondi) → Adresse IP de la ressource cloud.

  • Fonctionnement :

    1. Le système modifie automatiquement l'enregistrement DNS pour pointer le nom de domaine vers l'adresse CNAME d'Anti-DDoS Proxy.

    2. Le trafic de service est redirigé vers le cluster Anti-DDoS Proxy pour le nettoyage du trafic malveillant.

    3. Seul le trafic de service normal est renvoyé vers la ressource cloud, garantissant ainsi la continuité du service.

• Basculement automatique de retour (après la fin d'une attaque)

  • Condition de déclenchement : Le trafic d'attaque s'arrête complètement et reste stable pendant une durée supérieure au temps de retour configuré.

  • Fonctionnement :

    • Le système rebascule automatiquement le trafic, rétablissant la résolution DNS ou le routage vers l'adresse IP de la ressource cloud.

    • Le trafic de service est à nouveau géré par Anti-DDoS Native et quitte le mode de nettoyage Anti-DDoS Proxy.

Configurer une règle d'interaction de protection par niveaux

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : Choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : Choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, choisissez Onboarding > Sec-Traffic Manager.

4. Dans l'onglet General Interaction, cliquez sur Add Rule. Dans le panneau qui s'affiche, sélectionnez Tiered Protection comme scénario d'interaction. Configurez le nom de la règle, l'adresse IP Anti-DDoS, la ressource pour l'interaction et le temps de retour, puis cliquez sur OK.

   Paramètre	Description
   Interaction Scenario	Sélectionnez Tiered Protection.
   Rule Name	Le nom de la règle peut contenir des lettres, des chiffres et des traits de soulignement (_) et ne doit pas dépasser 128 caractères.
   Anti-DDoS IP Address	Sélectionnez l'instance Anti-DDoS Proxy à associer.
   Resource for Interaction	Configurez les adresses IP des ressources cloud à associer : sélectionnez la région où chaque ressource cloud est déployée et saisissez son adresse IP. Important Les adresses IP des ressources cloud (ECS, SLB, EIP et WAF) doivent déjà avoir Anti-DDoS Native (Enterprise) activé. Pour plus d'informations, consultez Objets protégés. Cliquez sur Add IP Address of Cloud Resource pour ajouter plusieurs ressources cloud. Vous pouvez ajouter jusqu'à 20 adresses IP. Remarque Si vous ajoutez plusieurs adresses IP de ressources cloud, elles sont associées à une seule adresse IP Anti-DDoS Proxy. Lorsqu'une attaque DDoS se produit sur une adresse IP de ressource cloud, les autres adresses IP de ressources cloud sont utilisées en priorité. Le trafic bascule vers Anti-DDoS Proxy pour la protection uniquement lorsqu'aucune adresse IP de ressource cloud n'est disponible. Si vous souhaitez que plusieurs ressources cloud partagent le trafic et que chaque ressource bascule indépendamment vers Anti-DDoS Proxy lorsqu'elle est attaquée, consultez Basculement multi-chemins.
   Temps de retour	Période d'attente avant qu'un retour vers l'adresse IP de la ressource cloud puisse être déclenché après que le trafic de service a basculé vers Anti-DDoS Proxy. Une fois l'attaque terminée et cette période écoulée, le trafic de service rebascule automatiquement vers l'adresse IP de la ressource cloud. Valeurs valides : 30 à 120 minutes. Valeur recommandée : 60 minutes.

5. Modifier les enregistrements DNS : Pour garantir que la règle d'interaction Sec-Traffic Manager prenne effet, effectuez les modifications d'enregistrements DNS comme indiqué sur la page.

   Remarque

   (Recommandé) Vérifiez la configuration localement avant le basculement officiel afin d'éviter les risques potentiels de compatibilité des services.

   1. Vérification locale : Par bonne pratique, avant de modifier les enregistrements DNS publics, simulez la modification en modifiant le fichier hosts sur votre ordinateur local pour vérifier la règle de redirection du trafic. Cela permet d'éviter les problèmes de compatibilité causés par des politiques de retour à l'origine incohérentes.

      Remarque

      Pour obtenir des instructions sur la vérification de la règle de redirection du trafic, consultez Valider localement votre configuration de transfert.

   2. Mettre à jour l'enregistrement DNS : Après avoir effectué la vérification locale et confirmé que tout fonctionne comme prévu, effectuez la modification DNS réelle. Mettez à jour l'enregistrement DNS de votre nom de domaine pour qu'il pointe vers l'adresse CNAME fournie par Sec-Traffic Manager. Suivez les instructions de votre bureau d'enregistrement de noms de domaine :

      Bureau d'enregistrement de noms de domaine	Instructions
      Alibaba Cloud	Connectez-vous à la console Alibaba Cloud DNS et mettez à jour l'enregistrement.
      Plateforme tierce	Connectez-vous à la plateforme de gestion du bureau d'enregistrement tiers où votre nom de domaine est enregistré et mettez à jour l'enregistrement DNS du nom de domaine.

Basculer le trafic

Pour offrir une flexibilité adaptée à différents scénarios de service, Tiered Protection prend en charge deux modes de basculement :

Autres opérations

Après avoir ajouté une règle General Interaction, vous pouvez effectuer les opérations suivantes sur les règles ajoutées dans la liste des règles.