Anti-DDoS:Configuration d'une politique d'atténuation DDoS

Présentation de la fonctionnalité

Les politiques d'atténuation DDoS pour les services non web assurent une protection au niveau « adresse IP + port ». Pour les combinaisons « adresse IP + port » des services non web ajoutés aux instances Anti-DDoS Proxy, ces politiques limitent des paramètres tels que le taux de connexion et la longueur des paquets afin d'atténuer les attaques par inondation de connexions à faible volume. Une politique d'atténuation DDoS s'applique au niveau du port.

Prérequis

Un service non web a été ajouté à Anti-DDoS Proxy. Pour plus d'informations, consultez la rubrique Gestion des règles de transfert.

Configuration d'une seule politique d'atténuation DDoS

1. Connectez-vous à la page General Policies de la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Sur la page General Policies, cliquez sur l'onglet Protection for Non-website Services, puis sélectionnez l'instance Anti-DDoS Proxy que vous souhaitez configurer en haut de la page.

4. Dans la liste des règles de transfert située à gauche, cliquez sur la règle de transfert à configurer, puis définissez la politique d'atténuation.

   • False Source : s'applique uniquement aux règles de transfert de port TCP.

     Paramètre	Description
     False Source	Une fois cette fonctionnalité activée, les demandes de connexion provenant d'adresses IP sources forgées sont automatiquement filtrées. Lorsque vous désactivez False Source, Empty Connection est également désactivé. Si vous désactivez False Source, ni Empty Connection ni Advanced Attack Mitigation ne prend effet.
     Empty Connection	Une fois cette fonctionnalité activée, les demandes de connexion vides sont automatiquement filtrées. Vous devez d'abord activer False Source avant de pouvoir activer Empty Connection.

   • Advanced Attack Mitigation : s'applique uniquement aux règles de transfert de port TCP. Une fois cette fonctionnalité activée, le niveau de protection est défini sur Normal par défaut. Pour activer Advanced Attack Mitigation, vous devez d'abord activer False Source.

     Niveau de protection	Effet de la protection	Scénarios courants
     Loose	Bloque les requêtes présentant des caractéristiques d'attaque évidentes. Un petit nombre d'attaques peut passer, mais le taux de faux positifs est extrêmement faible.	Convient aux services impliquant de grandes quantités de transmission de données unidirectionnelles, tels que la diffusion en direct, les médias en continu et les téléchargements, ou aux services dont le serveur d'origine dispose d'une large bande passante.
     Normal (recommandé)	Dans la plupart des cas, ce niveau n'affecte pas les services normaux et équilibre l'efficacité de la protection par rapport au taux de faux positifs. Sélectionnez ce niveau pour une utilisation générale.	Adapté à la plupart des scénarios métier.
     Strict	Effectue une vérification stricte des attaques malveillantes, mais peut entraîner certains faux positifs.	Convient aux scénarios où la bande passante du serveur d'origine est limitée ou lorsque l'efficacité de la protection est insuffisante.

   • Session Feature Filtering : définit des règles personnalisées de contrôle d'accès précis basées sur les paquets de session (charge utile). Si une règle contient plusieurs conditions de correspondance, l'action n'est effectuée que lorsque toutes les conditions sont remplies.

     Remarque

     Les règles intelligentes de contrôle d'accès précis émises par la protection intelligente IA sont également affichées ici.

     Paramètre	Description
     Rule Name	Nom personnalisé de la règle.
     Match Conditions	Match Conditions : format du paquet de session (charge utile). Vous pouvez sélectionner String ou Hexadecimal. Match Range : positions de début et de fin de la charge utile à faire correspondre. Les valeurs valides pour la position de début et la position de fin vont de 0 à 1499. Unité : octets. La position de début doit être inférieure ou égale à la position de fin. Logical Operator : valeurs valides : Include et Not Include. Field Value : Match Conditions est défini sur String. Dans ce cas, la longueur du contenu de correspondance ne peut pas dépasser 1500, et la longueur du contenu de correspondance doit être inférieure ou égale à (position de fin - position de début + 1). Match Conditions est défini sur Hexadecimal. Dans ce cas, le contenu de correspondance doit être composé de caractères hexadécimaux, la longueur ne peut pas dépasser 3000 et doit être un nombre pair. La longueur du contenu de correspondance divisée par 2 doit être inférieure ou égale à (position de fin - position de début + 1).
     Action	Monitor : si la requête correspond à la règle d'observation, la demande d'accès est autorisée. Block : si la requête correspond à la règle de blocage, la demande d'accès est refusée. Block and Add to Blacklist : si la requête correspond à la règle de blocage, la demande d'accès est refusée et l'adresse IP source est ajoutée à la liste noire. La durée de la liste noire peut être définie entre 300 et 600 secondes.

   • Whitelist : vous pouvez ajouter manuellement jusqu'à 2000 adresses IP ou blocs CIDR à chaque liste blanche.

     • Les instances Anti-DDoS Proxy IPv4 prennent en charge uniquement les adresses IP ou les blocs CIDR au format IPv4. Les instances Anti-DDoS Proxy IPv6 prennent en charge uniquement les adresses IP ou les blocs CIDR au format IPv6.

     • Les blocs CIDR IPv4 prennent en charge /8 à /32. Les blocs CIDR IPv6 prennent en charge /32 à /128.

     • Les adresses IPv4 ne peuvent pas être définies sur 0.0.0.0 ou 255.255.255.255. Les adresses IPv6 ne peuvent pas être définies sur :: ou ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff.

   • Rate Limit for Source :

     • Description des paramètres :

       Paramètre	Description
       New Connections Limit for Source	Limite le nombre de nouvelles connexions par seconde provenant d'une seule adresse IP source. Valeurs valides : 1 à 50 000. Unité : connexions. Les nouvelles connexions dépassant la limite sont rejetées. Automatic : le système calcule dynamiquement et automatiquement le seuil de limitation de débit pour les nouvelles connexions par adresse IP source. Vous n'avez pas besoin de définir manuellement le seuil. Manual : vous devez définir manuellement le seuil de limitation de débit pour les nouvelles connexions par adresse IP source. Remarque Étant donné que les dispositifs de protection sont déployés en cluster, la limitation de débit sur les nouvelles connexions comporte une marge d'erreur.
       Concurrent Connections Limit for Source	Limite le nombre de connexions simultanées provenant d'une seule adresse IP source. Valeurs valides : 1 à 50 000. Unité : connexions. Les connexions simultanées dépassant la limite sont rejetées.
       PPS Limit for Source	Limite le nombre de paquets transférés depuis une seule adresse IP source. Valeurs valides : 1 à 100 000. Unité : paquets/s. Les paquets de données dépassant la limite sont rejetés.
       Bandwidth Limit for Source	Limite la bande passante des requêtes sources provenant d'une seule adresse IP source. Valeurs valides : 1024 à 268 435 456. Unité : octets/s.

     • Politique de liste noire :

       • L'option If the number of new connections from a source exceeds the limit five times within 60 seconds, the source IP address is added to the blacklist. est prise en charge. Si une adresse IP source est ajoutée à la liste noire, toutes les demandes de connexion provenant de cette adresse IP sont rejetées.

       • Lorsque vous activez la politique de liste noire, vous devez définir la Blacklist Validity Period. Valeurs valides : 1 à 10 080. Unité : minutes. Valeur par défaut : 30 minutes. Une fois qu'une adresse IP source est ajoutée à la liste noire, l'adresse IP est automatiquement libérée à la fin de la période de validité.

   • Speed Limit for Destination : les règles de transfert de port TCP et les règles de transfert de port UDP ont des paramètres par défaut différents.

     • Règles de transfert de port TCP

       Paramètre	Description
       New Connections Limit for Destination	Limite le nombre maximal de nouvelles connexions par seconde sur le port de l'adresse IP Anti-DDoS Proxy. Les nouvelles connexions dépassant la limite sont rejetées. Valeurs valides : 100 à 100 000. Unité : connexions. Cette fonctionnalité est activée par défaut et la valeur est de 100 000. Cette fonctionnalité ne peut pas être désactivée. Si vous désactivez la fonctionnalité, la valeur est rétablie à la valeur par défaut de 100 000. Remarque Étant donné que les dispositifs de protection sont déployés en cluster, la limitation de débit sur les nouvelles connexions comporte une marge d'erreur.
       Concurrent Connections Limit for Destination	Limite le nombre maximal de connexions simultanées sur le port de l'adresse IP Anti-DDoS Proxy. Les connexions simultanées dépassant la limite sont rejetées. Valeurs valides : 1000 à 2 000 000. Unité : connexions. Cette fonctionnalité est activée par défaut et la valeur est de 2 000 000. Cette fonctionnalité ne peut pas être désactivée. Si vous désactivez la fonctionnalité, la valeur est rétablie à la valeur par défaut de 2 000 000.

     • Règles de transfert de port UDP

       Paramètre	Description
       New Connections Limit for Destination	Limite le nombre maximal de nouvelles connexions par seconde sur le port de l'adresse IP Anti-DDoS Proxy. Les nouvelles connexions dépassant la limite sont rejetées. Cette fonctionnalité est désactivée par défaut. Valeurs valides : 100 à 50 000. Unité : connexions. Remarque Étant donné que les dispositifs de protection sont déployés en cluster, la limitation de débit sur les nouvelles connexions comporte une marge d'erreur.
       Concurrent Connections Limit for Destination	Limite le nombre maximal de connexions simultanées sur le port de l'adresse IP Anti-DDoS Proxy. Les connexions simultanées dépassant la limite sont rejetées. Valeurs valides : 1000 à 200 000. Unité : connexions. Cette fonctionnalité est activée par défaut et la valeur est de 200 000. Cette fonctionnalité ne peut pas être désactivée. Si vous désactivez la fonctionnalité, la valeur est rétablie à la valeur par défaut de 200 000.

   • Packet Length Limit : dans la section Packet Length Limit, cliquez sur Settings, puis définissez les longueurs minimale et maximale de la charge utile contenue dans les paquets autorisés à traverser le port de l'adresse IP Anti-DDoS Proxy. Valeurs valides : 0 à 1500. Unité : octets. Ensuite, cliquez sur OK.

Ajout de politiques d'atténuation DDoS par lots

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, choisissez Onboarding > Port Config.

4. Sur la page Port Config, sélectionnez l'instance Anti-DDoS Proxy, puis cliquez sur Batch Operations > Create Mitigation Policy sous la liste des règles.

5. Dans la boîte de dialogue Create Mitigation Policy, saisissez le contenu de la politique d'atténuation que vous souhaitez ajouter au format requis, puis cliquez sur OK.

   Remarque

   Vous pouvez également exporter par lot les politiques d'atténuation DDoS actuelles, ajuster les politiques dans le fichier TXT exporté, puis copier et coller le contenu dans la boîte de dialogue. Le format des politiques d'atténuation DDoS dans le fichier exporté est identique au format requis pour l'ajout de politiques d'atténuation DDoS par lots. Pour plus d'informations, consultez la rubrique Exportation de plusieurs configurations de port à la fois.

   • Chaque ligne correspond à la politique d'atténuation DDoS d'une règle de transfert.

   • Chaque politique d'atténuation DDoS contient les champs suivants, de gauche à droite : port du protocole de transfert, protocole de transfert (tcp ou udp), limite de nouvelles connexions par source, limite de connexions simultanées par source, limite de nouvelles connexions par destination, limite de connexions simultanées par destination, longueur minimale du paquet, longueur maximale du paquet, commutateur False Source et commutateur Empty Connection. Les champs sont séparés par des espaces.

   • Le port du protocole de transfert doit être un port pour lequel une règle de transfert est configurée.

   • Les valeurs des commutateurs False Source et Empty Connection sont on et off. Si la valeur est vide, le commutateur est désactivé (c'est-à-dire off).