Intégrez Anti-DDoS Proxy à CDN ou DCDN afin que le trafic utilise les nœuds d'accélération en fonctionnement normal et bascule automatiquement vers Anti-DDoS Proxy pour le nettoyage lors des attaques.
Présentation de la fonctionnalité
Alibaba Cloud propose deux solutions pour les services nécessitant à la fois l'accélération et la protection DDoS :
-
Solution 1 : Atténuation des DDoS en périphérie pour DCDN (recommandée)
Ajoutez un domaine à DCDN, puis activez l'atténuation des DDoS en périphérie dans la console DCDN en un seul clic. Aucune configuration d'Anti-DDoS Proxy n'est requise. Configuration de la protection.
RemarqueSeul DCDN prend en charge l'atténuation des DDoS en périphérie. Pour utiliser cette fonctionnalité avec CDN, migrer d'abord votre domaine vers DCDN.
-
Solution 2 : Interaction entre Anti-DDoS Proxy et CDN ou DCDN
Cette rubrique décrit cette solution. Anti-DDoS nettoie le trafic d'attaque et transfère le trafic légitime directement vers le serveur d'origine. Configurez votre domaine à la fois dans le service d'accélération et dans Anti-DDoS Proxy, puis définissez l'interaction dans le planificateur de trafic (Traffic Scheduler).
Avec la fonction d'interaction, le trafic nettoyé est acheminé directement vers le serveur d'origine. Avec l'atténuation des DDoS en périphérie, le trafic nettoyé transite par DCDN, ce qui maintient l'accélération pendant les attaques.
Précautions
Si votre bande passante dépasse 3 Gbit/s ou si le nombre de QPS dépasse 10 000, contactez votre gestionnaire de compte pour une évaluation avant d'utiliser cette fonctionnalité.
Pour les sites web subissant plus de trois attaques par semaine, utilisez uniquement Anti-DDoS Proxy afin d'éviter les interruptions dues aux basculements fréquents du trafic.
La fonction d'interaction prend en charge les adresses IP Anti-DDoS IPv4 et IPv6.
Lorsque le trafic bascule vers Anti-DDoS Proxy pendant une attaque, le TTL DNS peut affecter le temps d'activation.
Avant d'utiliser cette fonctionnalité, vérifiez que votre domaine n'est pas dans un état Sandbox au sein du service d'accélération. Si c'est le cas, contactez votre gestionnaire de compte pour le retirer avant de configurer la protection DDoS.
Types d'instances Anti-DDoS pris en charge
Anti-DDoS Proxy (Chine continentale) avec les formules Professional ou Advanced, et Anti-DDoS Proxy (hors Chine continentale) avec les formules Insurance ou Unlimited. Toutes les instances doivent utiliser la formule Enhanced Function.
Prérequis
L'accélération CDN ou DCDN est activée pour votre domaine. Ajouter un nom de domaine à CDN ou Ajouter un nom de domaine à DCDN.
Vous avez acheté une instance Anti-DDoS Proxy et y avez ajouté votre site web. Pour plus d'informations, consultez les rubriques Acheter une instance Anti-DDoS Proxy et Ajouter un site web.
L'instance Anti-DDoS Proxy transfère correctement le trafic. Vérifier localement la configuration de transfert.
Procédure
Connectez-vous à la console Anti-DDoS Proxy.
-
Dans la barre de navigation supérieure, sélectionnez la région de votre instance.
Anti-DDoS Proxy (Chinese Mainland) : Choisissez la région Chinese Mainland.
Anti-DDoS Proxy (Outside Chinese Mainland) : Choisissez la région Outside Chinese Mainland.
-
Dans le volet de navigation de gauche, choisissez et cliquez sur l'onglet CDN/DCDN Interaction.
RemarqueSi vous utilisez la fonction d'interaction pour la première fois, cliquez sur Authorize Now et suivez les instructions à l'écran pour autoriser Anti-DDoS Proxy à accéder au service d'accélération.
-
Recherchez le domaine que vous souhaitez gérer et cliquez sur Actions dans la colonne Actions. Dans le panneau Create Interaction Rule, configurez les paramètres et cliquez sur OK.
Paramètre
Description
Anti-DDoS Proxy Instance
Sélectionnez l'instance Anti-DDoS Proxy à intégrer au service d'accélération.
RemarqueSi le message To enable CDN interaction, you must use an instance of the Enhanced function plan. s'affiche, suivez les instructions pour mettre à niveau votre instance.
Si le message No instance is selected. s'affiche, ajoutez d'abord votre domaine à une instance Anti-DDoS Proxy. Ajouter un site web.
Resource for Interaction
La ressource associée est automatiquement sélectionnée.
Si le domaine n'a pas été ajouté à un service d'accélération, ajoutez-le et attendez environ 10 minutes avant de configurer l'interaction. Ajouter un nom de domaine à CDN ou Ajouter un nom de domaine à DCDN.
Access QPS
Définissez le seuil minimal de QPS pour déclencher le basculement vers Anti-DDoS Proxy.
Pour plus d'informations sur le basculement du trafic, consultez la section Basculement du trafic.
RemarqueDéfinissez le seuil à au moins 2 ou 3 fois votre pic historique de QPS. La valeur minimale recommandée est de 500, même pour les sites web à faible trafic.
-
Vérifiez que la règle de planification du trafic fonctionne en modifiant votre fichier hosts local. Cela permet d'éviter les problèmes de compatibilité liés à des politiques de retour à l'origine incohérentes. Vérifier localement la configuration de transfert.
Par exemple, si CDN interagit avec Anti-DDoS et que l'origine est un bucket OSS : CDN permet de modifier l'en-tête HOST de retour à l'origine, mais pas Anti-DDoS. Si le trafic bascule vers Anti-DDoS pendant une attaque, le bucket OSS risque de rejeter les requêtes, provoquant une panne de service.
-
Pointez l'enregistrement DNS de votre domaine vers le CNAME généré par le Traffic Scheduler. Modifier l'enregistrement CNAME pour utiliser le Traffic Scheduler.
RemarqueTrois CNAME sont générés : un par le service d'accélération, un par Anti-DDoS et un par le Traffic Scheduler. Pointez votre enregistrement DNS vers le CNAME du Traffic Scheduler.
Basculement du trafic
Le trafic bascule automatiquement ou manuellement entre le service d'accélération et Anti-DDoS Proxy. Le basculement automatique est recommandé.
Basculement automatique
Type de basculement | Condition de basculement |
Du service d'accélération vers Anti-DDoS Proxy | Déclenché lorsque l'une des conditions suivantes est remplie :
|
D'Anti-DDoS Proxy vers le service d'accélération | Déclenché lorsque toutes les conditions suivantes sont remplies :
Important Les retours automatiques vers le service d'accélération ne se produisent qu'entre 08:00 et 23:00. |
Basculement manuel
Opération | Description |
Du service d'accélération vers Anti-DDoS Proxy | Basculez manuellement le trafic vers Anti-DDoS pour le nettoyage lorsque le trafic augmente soudainement, mais que les conditions de basculement automatique ne sont pas remplies. Important
|
D'Anti-DDoS Proxy vers le service d'accélération | Rebasculer manuellement le trafic vers le service d'accélération s'il a été acheminé vers Anti-DDoS en raison d'un pic de trafic normal. Important Avant de revenir au service d'accélération, confirmez que l'attaque est terminée et que le domaine n'est pas dans un état sandbox. |
Opérations connexes
Modifier une règle d'interaction : Dans l'onglet CDN/DCDN Interaction, recherchez le domaine cible, cliquez sur Actions dans la colonne Actions, puis modifiez l'Anti-DDoS Proxy Instance ou l'Access QPS.
-
Supprimer une règle d'interaction : Dans l'onglet CDN/DCDN Interaction, recherchez le domaine cible et cliquez sur Actions dans la colonne Actions.
AvertissementAvant de supprimer une règle d'interaction, assurez-vous que votre enregistrement DNS ne pointe plus vers le CNAME du Traffic Scheduler. Sinon, votre site web deviendra inaccessible.