Contrôlez les adresses IP sources autorisées à accéder à votre instance Anti-DDoS Proxy en les ajoutant à une liste noire (refus) ou à une liste blanche (autorisation). Ce paramètre s'applique à tous les services associés à l'instance.
Fonctionnement
Anti-DDoS Proxy gère deux types de listes de contrôle d'accès basées sur les adresses IP :
Liste noire : les requêtes provenant des adresses IP figurant dans la liste noire sont refusées.
Liste blanche : les requêtes provenant des adresses IP figurant dans la liste blanche sont toujours autorisées.
Si une même adresse IP figure dans les deux listes, la liste blanche est prioritaire.
Anti-DDoS Proxy prend en charge les listes noires et blanches basées sur les adresses IP ainsi que celles basées sur les noms de domaine :
Basées sur les adresses IP (cette rubrique) : affectent tous les services ajoutés à une instance. Utilisez cette option lorsque vous avez besoin d'un contrôle d'accès au niveau de l'instance.
Basées sur les noms de domaine : affectent uniquement des noms de domaine spécifiques. Utilisez cette option lorsque vous devez
Résoudre les faux positifs
Si des requêtes d'accès légitimes sont bloquées de manière inattendue, suivez les étapes ci-dessous pour identifier la cause et rétablir l'accès.
Étape 1 : Ajouter l'adresse IP bloquée à la liste blanche
Dans le volet de navigation de gauche, choisissez Mitigation Settings > General Policies. Localisez la section Blacklist and Whitelist (IP address-based) et cliquez sur Settings. Dans le panneau Configure Blacklist and Whitelist, sélectionnez Whitelist, saisissez l'adresse IP qui a été bloquée par erreur (séparez plusieurs adresses par des virgules) et enregistrez la modification. Une fois une adresse IP ajoutée à la liste blanche, les requêtes provenant de cette adresse sont autorisées.
Étape 2 : Identifier le module de mitigation ayant bloqué la requête à l'aide de la requête de journal complète
Si plusieurs adresses IP sont bloquées par erreur, accédez à Investigation > Full Log Query dans le volet de navigation de gauche. Full Log Query est un service à valeur ajoutée qui doit être activé avant utilisation. Recherchez la requête bloquée à l'aide de son ID de requête et vérifiez le champ last_module dans le résultat renvoyé pour identifier le module de mitigation qui a bloqué la requête.
Valeurs valides pour last_module :
|
Valeur |
Description |
|
gfareaban |
Liste noire géographique |
|
gfbwip |
Liste noire et liste blanche |
|
gfacl |
Politiques de mitigation personnalisées |
|
gfcc |
Mode de mitigation des attaques HTTP flood |
|
gfglobal |
Politique de mitigation globale |
Étape 3 : Désactiver ou ajuster le module de blocage
En fonction du module identifié par last_module, ajustez la politique correspondante sur la page Mitigation Settings. Par exemple, modifiez le niveau de protection de la politique de mitigation globale via la liste déroulante, désactivez la liste noire géographique ou mettez à jour les paramètres dans l'onglet Protection for Website Services pour la mitigation des attaques HTTP flood.
Période de validité
|
Type de liste |
Durée |
|
Liste noire personnalisée |
Permanente |
|
Liste noire générée par l'algorithme de protection intelligente |
De 5 minutes à 1 heure. Pour les adresses IP qui lancent fréquemment des attaques, la période de blocage peut être automatiquement prolongée. |
|
Liste blanche personnalisée |
Permanente |
Remarque : Seules les listes blanches personnalisées sont prises en charge. Il n'existe pas de liste blanche générée par algorithme.
Limites
Vous pouvez ajouter jusqu'à 2 000 adresses IP ou blocs CIDR à la liste noire et 2 000 autres à la liste blanche, pour l'ensemble des instances Anti-DDoS Proxy associées à un même compte Alibaba Cloud.
Pour déplacer une adresse IP de la liste blanche vers la liste noire, supprimez-la d'abord de la liste blanche.
-
Contraintes de format des adresses IP :
Les instances IPv4 uniquement prennent en charge les adresses IPv4 et les blocs CIDR (/8–/32).
Les instances IPv6 uniquement prennent en charge les adresses IPv6 et les blocs CIDR (/32–/128).
Les adresses suivantes ne sont pas autorisées :
0.0.0.0,255.255.255.255(IPv4) ;::,ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff(IPv6).
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Une instance Anti-DDoS Proxy (Chine continentale) ou Anti-DDoS Proxy (hors Chine continentale).
Configurer la liste noire ou la liste blanche d'adresses IP
Connectez-vous à la console Anti-DDoS Proxy.
-
Dans la barre de navigation supérieure, sélectionnez la région de votre instance :
Chinese Mainland pour les instances Anti-DDoS Proxy (Chinese Mainland)
Outside Chinese Mainland pour les instances Anti-DDoS Proxy (Outside Chinese Mainland)
Dans le volet de navigation de gauche, choisissez Mitigation Settings > General Policies.
Dans l'onglet Protection for Infrastructure, sélectionnez votre instance Anti-DDoS Proxy dans la liste. Vous pouvez effectuer une recherche par ID d'instance ou par description.
Dans la section Blacklist and Whitelist (IP address-based), cliquez sur Settings.
-
Dans le panneau Configure Blacklist and Whitelist, sélectionnez Blacklist ou Whitelist, puis saisissez les adresses IP ou les blocs CIDR à ajouter.
Séparez plusieurs entrées par des virgules. Le format d'adresse IP ou de masque de sous-réseau est pris en charge. Exemples :
Format
Exemple
Description
Adresse IPv4 unique
203.0.113.42Bloque ou autorise une adresse IP spécifique
Bloc CIDR IPv4
203.0.113.0/24Couvre la plage 203.0.113.0–203.0.113.255
Adresse IPv6 unique
2001:db8::1Bloque ou autorise une adresse IPv6 spécifique
Bloc CIDR IPv6
2001:db8::/32Couvre une plage d'adresses IPv6
Après l'enregistrement, vous pouvez supprimer, télécharger ou vider la liste en lot.