Anti-DDoS:FAQ for Anti-DDoS Proxy

Facturation et spécifications du produit

• Que se passe-t-il après l'expiration d'une instance Anti-DDoS Proxy ?

• Quelles sont les limites concernant le nombre de ports protégés et de noms de domaine pris en charge par Anti-DDoS Proxy ?

Intégration et configuration

• Comment obtenir les adresses IP de retour à l'origine d'Anti-DDoS Proxy ? Dois-je les ajouter manuellement à une liste blanche ?

• Puis-je spécifier une adresse IP privée comme adresse IP d'origine d'Anti-DDoS Proxy ? Y a-t-il un délai lors du changement de l'adresse IP d'origine ?

• Comment Anti-DDoS Proxy met-il en œuvre l'équilibrage de charge, les vérifications d'état et la persistance de session ?

• Anti-DDoS Proxy peut-il fonctionner conjointement avec CDN ou DCDN ? Comment le configurer ?

Fonctionnalités et prise en charge des protocoles

• Quels protocoles courants Anti-DDoS Proxy prend-il en charge ?

• Quelle est la durée d'expiration de connexion par défaut d'Anti-DDoS Proxy ?

• Comment Anti-DDoS Proxy prend-il en charge HTTPS ?

Mécanismes de protection et de sécurité

• Qu'est-ce que la bande passante épurée d'Anti-DDoS Proxy et que faire si la limite est dépassée ?

• Comment gérer le statut de filtrage en trou noir ? Une instance Anti-DDoS Proxy permet-elle de désactiver manuellement le filtrage en trou noir ?

• Pourquoi la page Security Overview affiche-t-elle du trafic atténué alors que le seuil de nettoyage du trafic n'est pas atteint ?

• Anti-DDoS Proxy prend-il en charge le blocage de l'accès depuis les adresses IP situées hors de Chine continentale ?

• Est-il sûr de télécharger des certificats HTTPS et des clés privées ? Anti-DDoS Proxy déchiffre-t-il le trafic HTTPS et consigne-t-il le contenu des demandes d'accès ?

• Les ports ouverts des clusters Anti-DDoS Proxy présentent-ils des risques ?

Que se passe-t-il après l'expiration d'une instance Anti-DDoS Proxy ?

L'exemple suivant concerne Anti-DDoS Proxy (Chine continentale) :

• Dans les 7 jours suivant l'expiration : la capacité d'atténuation de l'instance est rétrogradée au seuil de déclenchement du trou noir de base de 5 Gbit/s. Si le trafic de service ou le trafic d'attaque dépasse 5 Gbit/s, le filtrage en trou noir est déclenché pour l'adresse IP.

• De 7 à 30 jours après l'expiration : l'instance cesse de transférer tout le trafic de service. Si vous renouvelez l'instance durant cette période, le service est rétabli.

• 30 jours ou plus après l'expiration : les ressources de l'instance sont entièrement libérées. Les configurations sont perdues et ne peuvent pas être récupérées.

Pour plus d'informations, consultez Facturation d'Anti-DDoS Proxy (Chine continentale).

Quelles sont les limites concernant le nombre de ports protégés et de noms de domaine pris en charge par Anti-DDoS Proxy ?

• Nombre de ports protégés :

  • Instances en Chine continentale : 50 par défaut, extensible jusqu'à 1 500 selon les besoins.

  • Instances hors Chine continentale : 5 par défaut, extensible jusqu'à 1 500 selon les besoins.

• Nombre de noms de domaine protégés :

  • Instances en Chine continentale : 50 par défaut, extensible jusqu'à 200 selon les besoins.

  • Instances hors Chine continentale : 10 par défaut, extensible jusqu'à 200 selon les besoins.

Comment obtenir les adresses IP de retour à l'origine d'Anti-DDoS Proxy ? Dois-je les ajouter manuellement à une liste blanche ?

• Obtenir les adresses IP de retour à l'origine : consultez les derniers blocs CIDR de retour à l'origine sur la page Website Config ou sur une page associée dans la console Anti-DDoS Proxy.

• Ajouter les adresses IP à une liste blanche : ajoutez-les manuellement. Anti-DDoS Proxy ne modifie pas automatiquement les politiques de sécurité de votre serveur d'origine. Si votre serveur d'origine est équipé d'un pare-feu, de groupes de sécurité ou d'un logiciel de sécurité tiers, vous devez ajouter les blocs CIDR de retour à l'origine d'Anti-DDoS Proxy à la liste blanche. Sinon, le serveur d'origine bloquera tout le trafic non malveillant transféré par Anti-DDoS Proxy.

Puis-je spécifier une adresse IP privée comme adresse IP d'origine d'Anti-DDoS Proxy ? Y a-t-il un délai lors du changement de l'adresse IP d'origine ?

• Type d'adresse IP d'origine : Non. Anti-DDoS Proxy communique avec votre serveur d'origine via Internet. Par conséquent, l'adresse IP d'origine doit être une adresse IP publique.

• Délai de modification : Oui. Après avoir modifié l'adresse IP d'origine, la configuration prend environ 5 minutes pour s'appliquer à tous les nœuds du réseau. Nous vous recommandons d'effectuer cette opération pendant les heures creuses afin d'éviter d'impacter votre activité.

Comment Anti-DDoS Proxy met-il en œuvre l'équilibrage de charge, les vérifications d'état et la persistance de session ?

• Équilibrage de charge : lorsque vous configurez plusieurs adresses IP d'origine :

  • Services Web (couche 7) : trois politiques sont prises en charge : Round Robin, IP Hash et Least Time.

  • Services non Web (couche 4) : la politique Round Robin est utilisée par défaut et ne peut pas être modifiée.

• Vérifications d'état : prises en charge. Les vérifications d'état sont activées par défaut pour les services Web et désactivées par défaut pour les services non Web, mais vous pouvez les activer manuellement. Anti-DDoS Proxy sonde la disponibilité des services d'origine et supprime automatiquement les adresses IP d'origine anormales.

  Remarque

  Pour plus d'informations sur les vérifications d'état, consultez Vérifications d'état CLB et Configurer les vérifications d'état.

• Persistance de session : la configuration prend effet uniquement pour le transfert de port pur. La configuration ne prend pas effet lorsque l'amélioration de la protection au niveau de l'application est activée. Une fois la persistance de session activée, Anti-DDoS Proxy transfère continuellement les demandes provenant de la même adresse IP client vers le même serveur backend pendant une période donnée. Pour plus d'informations, consultez Configurer la persistance de session.

  Remarque

  Si l'environnement réseau du client change, par exemple si le client passe du Wi-Fi à la 4G, l'adresse IP publique du client change et la persistance de session échoue.

Anti-DDoS Proxy peut-il fonctionner conjointement avec CDN ou DCDN ? Comment le configurer ?

Oui, mais le chaînage direct est fortement déconseillé. L'approche correcte consiste à utiliser la solution d'interaction intelligente fournie par Anti-DDoS Proxy, qui prend en compte à la fois l'accélération et la protection.

• Chaînage direct :

  • Le trafic atteint CDN/DCDN avant Anti-DDoS Proxy : si un point de présence CDN/DCDN est attaqué, il peut être placé en bac à sable. Par conséquent, le trafic ne peut pas atteindre Anti-DDoS Proxy et la protection échoue.

  • Le trafic atteint Anti-DDoS Proxy avant CDN/DCDN : le processus de retour à l'origine d'Anti-DDoS Proxy augmente la latence et dégrade les performances d'accélération de CDN/DCDN.

• Solution d'interaction : utilisez le plan de fonctionnalités améliorées d'Anti-DDoS Proxy, qui fournit la fonctionnalité Sec-Traffic Manager pour l'interaction avec CDN/DCDN.

  • Fonctionnement : faites pointer votre nom de domaine vers l'enregistrement CNAME généré par Sec-Traffic Manager. Dans des conditions normales, le trafic est acheminé via CDN/DCDN pour l'accélération. En cas d'attaque, le trafic est automatiquement basculé vers Anti-DDoS Proxy pour le nettoyage. Une fois l'attaque terminée, le trafic est rebasculé.

  • Avantages : cette solution prend en compte à la fois l'expérience d'accélération de l'accès quotidien et la disponibilité du service pendant les attaques.

Quels protocoles courants Anti-DDoS Proxy prend-il en charge ?

• IPv6 : pris en charge par Anti-DDoS Proxy (Chine continentale). Non pris en charge par Anti-DDoS Proxy (hors Chine continentale) pour le moment.

• WebSocket : pris en charge. Pour plus d'informations, consultez Comment activer WebSocket ?.

• Authentification NTLM : non prise en charge. Les demandes transférées par Anti-DDoS Proxy peuvent échouer à l'authentification NTLM du serveur d'origine. Nous vous recommandons d'utiliser plutôt Anti-DDoS Native.

• GRPC : non pris en charge.

• SSE : pris en charge.

Quelle est la durée d'expiration de connexion par défaut d'Anti-DDoS Proxy ?

• Connexions TCP de couche 4 : 900 secondes.

• Connexions HTTP/HTTPS de couche 7 : 120 secondes.

Comment Anti-DDoS Proxy prend-il en charge HTTPS ?

• Authentification mutuelle HTTPS : prise en charge. Pour plus d'informations, consultez Configurer l'authentification mutuelle HTTPS à l'aide d'Anti-DDoS Proxy.

  • Website Config (couche 7) : vous devez télécharger le certificat du serveur et le certificat CA du client dans la console Anti-DDoS Proxy. Les nœuds Anti-DDoS Proxy effectuent la vérification des certificats clients.

  • Port Config (couche 4) : Anti-DDoS Proxy sert de canal de transmission transparent. Le processus d'authentification mutuelle est entièrement géré par votre serveur d'origine.

• Protocoles SSL et suites de chiffrement : TLS 1.0 à TLS 1.3 sont pris en charge, ainsi que plusieurs suites de chiffrement courantes et héritées, y compris ECDHE-ECDSA-AES128-GCM-SHA256. Vous pouvez personnaliser la politique de sécurité TLS dans la console.

  Pour plus d'informations, consultez Personnaliser la politique de sécurité TLS d'un certificat HTTPS de serveur.

• Compatibilité SNI : si un navigateur obsolète ou certains clients Android ne peuvent pas accéder à votre site Web HTTPS, la cause la plus probable est qu'ils ne prennent pas en charge Server Name Indication (SNI). Anti-DDoS Proxy utilise SNI pour héberger des services HTTPS pour plusieurs noms de domaine. Les clients incompatibles ne peuvent pas terminer la négociation TLS. Pour plus d'informations sur les problèmes que l'authentification SNI peut provoquer, consultez Problèmes d'accès HTTPS causés par SNI.

Qu'est-ce que la bande passante épurée d'Anti-DDoS Proxy et que faire si la limite est dépassée ?

Bande passante épurée : le trafic de service non malveillant qui est transféré vers Anti-DDoS Proxy pour protection. Le système utilise la valeur la plus élevée entre le trafic entrant et le trafic sortant comme norme de mesure. Unité : Mbit/s.

Impact du dépassement de la limite : si votre trafic de service réel dépasse la spécification de bande passante épurée de l'instance achetée, la limitation du débit du trafic est déclenchée. Cela provoque des accès au service saccadés, des réponses lentes, des échecs de connexion intermittents ou une perte aléatoire de paquets. Effectuez les étapes suivantes :

1. Confirmez l'utilisation de la bande passante : dans la console Anti-DDoS Proxy, sur la page Instances, surveillez le graphique de bande passante de l'instance et confirmez si la spécification est dépassée.

2. Mettez à niveau l'instance en urgence

   • Objectif : augmenter immédiatement la limite supérieure de la bande passante épurée et rétablir les performances du service.

   • Procédure :

     1. Connectez-vous à la console Anti-DDoS Proxy.

     2. Sur la page Instances, recherchez l'instance cible et cliquez sur Upgrade dans la colonne Actions.

     3. Dans l'élément de configuration clean bandwidth, sélectionnez une spécification supérieure et effectuez le paiement.

   • Délai d'effet : la modification de configuration prend effet sur l'ensemble du réseau dans un délai de 3 à 5 minutes.

Comment gérer le statut de filtrage en trou noir ? Une instance Anti-DDoS Proxy permet-elle de désactiver manuellement le filtrage en trou noir ?

Lorsque le trafic d'attaque dépasse la limite supérieure de la capacité d'atténuation de l'instance, le filtrage en trou noir est déclenché pour l'adresse IP de l'instance afin de protéger la stabilité globale des centres de données Alibaba Cloud. Par conséquent, tous les services sont interrompus. Tous les services transférés par l'instance Anti-DDoS Proxy deviennent totalement inaccessibles. Effectuez les étapes suivantes :

1. Évaluez la situation d'attaque : connectez-vous à la console Anti-DDoS Proxy. Sur la page Security Overview, consultez la valeur de pointe et la tendance du trafic d'attaque, et confirmez si l'attaque a cessé ou diminué.

2. Effectuez la désactivation du trou noir

   • Instances Anti-DDoS Proxy (Chine continentale)

     • Objectif : rétablir manuellement l'accès au service après avoir confirmé que le trafic d'attaque est retombé dans les limites de la capacité d'atténuation de l'instance.

     • Prérequis : chaque compte Alibaba Cloud dispose d'un total de cinq opportunités pour désactiver manuellement le filtrage en trou noir par jour. Le quota est réinitialisé tous les jours à 00:00.

     • Procédure : pour plus d'informations sur la désactivation manuelle du filtrage en trou noir, consultez Désactiver le filtrage en trou noir.

       1. Connectez-vous à la console Anti-DDoS Proxy. Sur la page Mitigation Settings > General Policies, recherchez et sélectionnez l'instance que vous souhaitez débloquer.

       2. Localisez la section Blackhole Filtering Deactivation sous l'instance et cliquez sur Unblock pour effectuer l'opération manuelle.

   • Instances Anti-DDoS Proxy (hors Chine continentale)

     • Limites : la désactivation manuelle du statut de filtrage en trou noir n'est pas prise en charge pour le moment.

     • Recommandations :

       • Instances Insurance : si le filtrage en trou noir est déclenché parce que les sessions d'atténuation avancées du mois en cours sont épuisées, nous vous recommandons de mettre à niveau l'instance vers Unlimited immédiatement. Après la mise à niveau, le statut de filtrage en trou noir est automatiquement désactivé.

       • Les instances Unlimited fournissent une atténuation avancée sans limite supérieure. Dans des circonstances normales, le filtrage en trou noir n'est pas déclenché par un dépassement de la capacité d'atténuation. Si le filtrage en trou noir est déclenché, soumettez un ticket.

Pourquoi la page Security Overview affiche-t-elle du trafic atténué alors que le seuil de nettoyage du trafic n'est pas atteint ?

Ceci est normal. Anti-DDoS Proxy filtre automatiquement les paquets malformés dans tout le trafic entrant, tels que les petits paquets SYN et les paquets de données avec des indicateurs anormaux qui ne respectent pas les spécifications du protocole TCP. Ces paquets malformés interceptés sont comptabilisés comme « trafic atténué ». Par conséquent, une petite quantité de trafic atténué peut être enregistrée même si votre service ne subit pas d'attaque à grande échelle.

Anti-DDoS Proxy prend-il en charge le blocage de l'accès depuis les adresses IP situées hors de Chine continentale ?

Oui. Anti-DDoS Proxy fournit la fonctionnalité Location Blacklist. Vous pouvez configurer une politique de contrôle d'accès par pays ou région en fonction de vos besoins métier pour bloquer ou autoriser précisément les adresses IP situées hors de Chine continentale.

Est-il sûr de télécharger des certificats HTTPS et des clés privées ? Anti-DDoS Proxy déchiffre-t-il le trafic HTTPS et consigne-t-il le contenu des demandes d'accès ?

• Sécurité des clés : extrêmement sécurisée. Anti-DDoS Proxy utilise un serveur de certificats dédié (Key Server) pour stocker et gérer les certificats et les clés privées. Le service s'appuie sur Alibaba Cloud Key Management Service (KMS) et a obtenu plusieurs certifications internationales faisant autorité, telles que ISO 27001, SOC 1/2/3 et Payment Card Industry Data Security Standard (PCI DSS), ce qui garantit la sécurité des clés privées. Il dispose de qualifications de conformité en matière de sécurité au même niveau qu'Alibaba Cloud. Pour plus d'informations, consultez Alibaba Cloud Trust Center.

• Confidentialité du trafic : le contenu intégral n'est pas consigné. Anti-DDoS Proxy déchiffre le trafic HTTPS uniquement pour la détection en temps réel. Il ne consigne pas le contenu intégral des demandes ou des réponses, et consigne uniquement certaines caractéristiques d'attaque (payload) pour l'analyse des rapports lorsqu'une attaque est détectée.

Les ports ouverts des clusters Anti-DDoS Proxy présentent-ils des risques ?

Non. Les ports que les clusters Anti-DDoS Proxy ouvrent au public sont utilisés uniquement pour l'ingestion et le transfert du trafic. Le trafic de service est transféré uniquement via les ports spécifiés que vous configurez dans la console pour vos noms de domaine ou ports. Les demandes d'accès aux ports de service d'origine qui ne sont pas configurés dans Anti-DDoS Proxy ne sont pas transférées vers votre serveur d'origine. Par conséquent, aucun risque de sécurité supplémentaire n'est introduit.