Anti-DDoS:Désactiver le filtrage en trou noir

Recommandations après un filtrage en trou noir

La capacité de protection d'une instance Anti-DDoS Proxy est déterminée par sa bande passante de protection de base et sa bande passante de protection extensible. Nous vous recommandons d'augmenter la capacité de protection avant de désactiver le filtrage en trou noir afin d'éviter que l'instance ne repasse en état de trou noir après la désactivation. Pour plus d'informations, consultez les rubriques Facturation de la bande passante nettoyée extensible et Mise à niveau des instances.

Limites

• Seules les instances Anti-DDoS Proxy (Chine continentale) supportent la désactivation du filtrage en trou noir. Les instances Anti-DDoS Proxy (Hors Chine continentale) ne prennent pas en charge cette fonctionnalité.

  Remarque

  Contrairement aux instances Anti-DDoS Proxy (Chine continentale) qui disposent d'une bande passante de protection fixe, les instances Anti-DDoS Proxy (Hors Chine continentale) offrent une protection avancée illimitée. Une désactivation manuelle n'est généralement pas nécessaire.

• La désactivation du filtrage en trou noir s'applique uniquement aux adresses IP des instances Anti-DDoS Proxy. Elle ne permet pas de désactiver directement l'état de trou noir des adresses IP du serveur d'origine.

  Remarque

  Si votre nom de domaine est configuré avec une résolution CNAME vers une adresse Anti-DDoS Proxy mais que l'état de trou noir persiste, ou si vous ne parvenez pas à désactiver le filtrage en trou noir via cette fonctionnalité après l'accès par CNAME, vérifiez si l'état de trou noir concerne l'adresse IP du serveur d'origine. Lorsque l'adresse IP du serveur d'origine est en état de trou noir, votre site web reste accessible via l'adresse IP d'Anti-DDoS Proxy. Pour rétablir l'adresse IP du serveur d'origine, attendez la désactivation automatique ou utilisez Anti-DDoS Native. Pour résoudre à la source le filtrage en trou noir causé par l'exposition de l'adresse IP du serveur d'origine, consultez la section Gérer l'exposition de l'adresse IP du serveur d'origine de cette rubrique.

Gérer l'exposition de l'adresse IP du serveur d'origine

Si l'adresse IP de votre serveur d'origine est exposée, les attaquants peuvent contourner Anti-DDoS Proxy et attaquer directement l'adresse IP du serveur d'origine, ce qui place cette dernière en état de trou noir. Ce type de trou noir ne peut pas être désactivé à l'aide de la fonctionnalité décrite dans cette rubrique. Vous devez résoudre l'exposition de l'adresse IP du serveur d'origine à la source. Pour la procédure complète, consultez la rubrique Gérer l'exposition de l'adresse IP d'origine. Voici les étapes clés :

1. Identifiez et éliminez les causes de l'exposition de l'adresse IP du serveur d'origine. Vérifiez la présence de chevaux de Troie ou de portes dérobées sur le serveur d'origine. Assurez-vous qu'aucun enregistrement DNS non web, tel que les enregistrements MX ou BBS, ne résout directement vers l'adresse IP du serveur d'origine. Recherchez les fuites de code source, comme les adresses IP exposées par phpinfo(). Pour prévenir les analyses malveillantes, configurez la protection d'origine afin d'autoriser uniquement le trafic entrant provenant des adresses IP de retour vers l'origine d'Anti-DDoS Proxy.

2. Remplacez l'adresse IP du serveur d'origine ou optimisez l'architecture. Après avoir éliminé les causes de l'exposition, remplacez l'adresse IP du serveur d'origine, associez la nouvelle adresse IP à Anti-DDoS Proxy et mettez à jour l'adresse IP dans la configuration de votre service. Si vous ne pouvez pas remplacer l'adresse IP ou si l'exposition persiste après le remplacement, déployez une instance Server Load Balancer (SLB) devant votre instance Elastic Compute Service (ECS) et utilisez l'architecture Client → Anti-DDoS Proxy → SLB → ECS. Le trafic entre SLB et le serveur d'origine transite par le réseau interne. Par conséquent, Anti-DDoS Proxy peut toujours atteindre le serveur d'origine via SLB même si l'adresse IP du serveur d'origine est en état de trou noir. Dans la console Anti-DDoS Proxy, saisissez l'adresse IP de SLB comme adresse du serveur d'origine.

Quota de désactivation

Chaque compte Alibaba Cloud dispose de cinq tentatives de désactivation du filtrage en trou noir par jour. Le quota est automatiquement réinitialisé à cinq chaque jour à 00:00 (UTC+8) et ne peut pas être augmenté.

• Une tentative de désactivation n'est comptabilisée que si elle aboutit.

• La première désactivation de la journée prend généralement effet immédiatement. Si vous utilisez la désactivation du filtrage en trou noir plusieurs fois le même jour, l'intervalle entre deux désactivations consécutives doit être supérieur à 10 minutes.

Procédure

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez Chinese Mainland.

3. Dans le volet de navigation de gauche, choisissez Mitigation Settings > General Policies.

4. Sous l'onglet Protection for Infrastructure, sélectionnez l'instance Anti-DDoS Proxy que vous souhaitez gérer dans la liste des instances située à gauche. Vous pouvez rechercher l'instance cible par son ID ou sa description.

5. Repérez la section Blackhole Filtering Deactivation et désactivez le filtrage en trou noir en fonction de l'état actuel de l'instance.

   Remarque

   L'intervalle entre deux tentatives de désactivation consécutives doit être supérieur à 10 minutes.

   • Si l'instance est en état Blackhole Filtering et que vous ne souhaitez pas attendre la désactivation automatique, cliquez sur Unblock et attendez que l'état de trou noir soit correctement désactivé.

   • Si l'instance est en état Normal, le bouton Unblock n'est pas disponible.

Résultats

• La désactivation du filtrage en trou noir relève de la politique de gestion du contrôle des risques du système backend d'Alibaba Cloud. La désactivation peut échouer (une tentative échouée ne consomme pas votre quota). En cas d'échec, vous recevrez un message d'erreur. Attendez un certain temps puis réessayez.

• Si le système affiche le message « Affected by data center risk control, deactivation is temporarily unavailable. Try again in 10 minutes », patientez et réessayez ultérieurement.

• Si aucun message n'apparaît, la désactivation a réussi. Vous pouvez actualiser l'état de la ligne pour confirmer si la ligne Anti-DDoS Proxy est revenue à la normale.

FAQ

Comment vérifier l'heure estimée de levée automatique du filtrage en trou noir sur une instance ou une adresse IP Anti-DDoS Proxy ?

La désactivation du filtrage en trou noir décrite dans cette rubrique est une opération manuelle et s'applique uniquement aux instances Anti-DDoS Proxy (Chine continentale). Pour consulter l'heure estimée de désactivation automatique, reportez-vous à la description de la durée du trou noir dans la rubrique Politique de filtrage en trou noir d'Alibaba Cloud.

L'heure de désactivation automatique est calculée dynamiquement par le système en fonction des conditions d'attaque et ne peut pas faire l'objet d'une intervention manuelle. Si vous devez rétablir les services immédiatement, utilisez la fonctionnalité de désactivation manuelle décrite dans cette rubrique (disponible uniquement pour les instances Anti-DDoS Proxy Chine continentale).