Anti-DDoS:Resolving origin IP exposure

Identification des causes de l'exposition de l'adresse IP du serveur d'origine

Avant de modifier l'adresse IP du serveur d'origine, identifiez et éliminez tous les facteurs susceptibles de l'exposer. Sinon, la nouvelle adresse IP pourrait être exposée par les mêmes canaux.

Vérifiez les points suivants :

• Les vulnérabilités de sécurité sur le serveur d'origine, telles que les chevaux de Troie ou les portes dérobées.

  Nous vous recommandons d'utiliser Alibaba Cloud Security Center pour détecter et corriger les vulnérabilités de sécurité de votre serveur. Pour plus d'informations, consultez la rubrique Présentation de Security Center.

• Les services non protégés sur le serveur d'origine qui ne sont pas acheminés via Anti-DDoS Proxy, tels que les enregistrements MX des serveurs de messagerie, les enregistrements BBS et autres enregistrements non web.

  Important

  Vérifiez tous les enregistrements DNS de votre domaine et assurez-vous qu'aucun enregistrement ne pointe directement vers l'adresse IP du serveur d'origine.

• La fuite d'informations dans le code source. Par exemple, la commande phpinfo() peut exposer l'adresse IP.

• Les analyses malveillantes. Après avoir configuré Anti-DDoS Proxy, configurez une protection de l'origine pour autoriser uniquement le trafic entrant provenant des adresses IP de retour à l'origine d'Anti-DDoS Proxy sur le serveur d'origine. Pour plus d'informations, consultez la rubrique Configuration des listes de contrôle d'accès pour le serveur d'origine.

Modification de l'adresse IP du serveur d'origine

Une fois que vous avez éliminé tous les facteurs susceptibles d'exposer l'adresse IP du serveur d'origine, modifiez cette adresse IP. Pour plus d'informations, consultez la rubrique Adresses IP publiques statiques.

Si vous ne souhaitez pas modifier l'adresse IP du serveur d'origine, ou si celle-ci reste exposée après la modification, nous vous recommandons de déployer une instance Server Load Balancer (SLB) devant vos instances ECS backend. Pour plus d'informations sur SLB, consultez la rubrique Démarrage rapide de Server Load Balancer. Utilisez l'architecture réseau suivante : Client → Anti-DDoS Proxy → SLB → ECS.

Le trafic entre l'instance SLB et l'instance ECS transite par le réseau interne. Même si l'adresse IP du serveur d'origine est attaquée et mise en blackhole, Anti-DDoS Proxy peut toujours accéder au serveur d'origine via l'instance SLB sur le réseau interne. Les services accessibles via Anti-DDoS Proxy restent inchangés.