Anti-DDoS:Ajouter une configuration de site web

Avant de commencer

• Vous avez acheté une instance Anti-DDoS Proxy (Chine continentale) ou Anti-DDoS Proxy (Hors Chine continentale). Pour plus d'informations, consultez Acheter une instance Anti-DDoS Proxy.

• Si votre service de site web est ajouté à une instance Anti-DDoS Proxy (Chine continentale), le nom de domaine doit disposer d'un dépôt ICP. Pour plus d'informations, consultez Dépôt ICP.

  Remarque

  Les sites web ajoutés aux instances Anti-DDoS Proxy (Hors Chine continentale) ne sont pas soumis aux exigences de dépôt ICP.

Procédure

1. Connectez-vous à la page Website Config dans la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : choisissez la région Outside Chinese Mainland.

3. Sur la page Website Config, cliquez sur Add Website.

   Remarque

   Vous pouvez également cliquer sur Batch Import en bas de la page pour importer plusieurs configurations de site web en une seule fois. Les configurations doivent se trouver dans un fichier XML. Pour plus d'informations sur le format de fichier, consultez Autres opérations.

4. Saisissez les informations de Website Config et cliquez sur Next.

   Configuration de base

   • Function Plan : sélectionnez le plan fonctionnel de l'instance Anti-DDoS Proxy que vous souhaitez associer. Options : Standard et Enhanced.

     Remarque

     Survolez l'icône située après Function Plan pour afficher les différences de fonctionnalités entre le plan fonctionnel Standard et le plan fonctionnel Enhanced. Pour plus d'informations, consultez différences entre les plans fonctionnels Standard et Enhanced.

   • Instance : sélectionnez l'instance Anti-DDoS Proxy que vous souhaitez associer.

     Important

     Un nom de domaine peut être associé à un maximum de huit instances Anti-DDoS Proxy. Les instances doivent utiliser le même Function Plan.

   • Websites : saisissez le nom de domaine du site web que vous souhaitez protéger. Vous pouvez saisir un nom de domaine exact, tel que www.example.com, ou un nom de domaine générique, tel que *.example.com.

     Remarque

     • Si des configurations existent à la fois pour un nom de domaine générique (par exemple, *.aliyundoc.com) et un nom de domaine exact (par exemple, www.aliyundoc.com), Anti-DDoS Proxy donne la priorité aux règles de transfert et aux politiques d'atténuation du nom de domaine exact (www.aliyundoc.com).

     • Si vous saisissez un domaine racine, seul le domaine racine est protégé. Les domaines de deuxième niveau et les autres sous-domaines ne sont pas protégés. Si vous souhaitez protéger un domaine de deuxième niveau, saisissez le domaine de deuxième niveau ou un nom de domaine générique.

     • Vous ne pouvez saisir qu'un nom de domaine, pas une adresse IP.

   • Protocol Type : sélectionnez les protocoles pris en charge par le site web.

     • HTTP / HTTPS : les protocoles de base pour les services web.

       Remarque

       Pour obtenir des informations sur les paramètres HTTPS, consultez la description dans l'onglet HTTPS configuration.

     • Websocket / Websockets : protocoles de communication en temps réel. Si vous sélectionnez l'un de ces protocoles, HTTP ou HTTPS est automatiquement sélectionné.

   • Server Address : définissez l'adresse du serveur backend (serveur d'origine) qu'Anti-DDoS Proxy utilise lors d'une requête vers l'origine.

     • Origin IP Address : saisissez les adresses IP publiques du serveur d'origine. Vous pouvez saisir plusieurs adresses IP, séparées par des virgules. Exemples :

       • Serveur d'origine sur Alibaba Cloud : saisissez l'adresse IP publique de l'instance ECS d'origine. Si une instance SLB est déployée avant l'instance ECS, saisissez l'adresse IP publique de l'instance SLB.

       • Serveur d'origine dans un centre de données non géré par Alibaba Cloud ou sur une autre plateforme cloud : exécutez la commande ping <nom de domaine> pour interroger l'adresse IP publique vers laquelle le nom de domaine résout. Ensuite, saisissez l'adresse IP publique.

     • Origin Domain Name :

       • Scénarios : cette option convient aux scénarios où un autre service proxy est configuré entre le serveur d'origine et Anti-DDoS Proxy. Exemples :

         • Si WAF est utilisé comme proxy précédent, vous pouvez saisir le CNAME de l'instance WAF. Pour plus d'informations, consultez Améliorer la protection du site web en déployant conjointement Anti-DDoS Proxy et WAF.

         • Si vous définissez Origin Domain Name sur le endpoint public par défaut d'un bucket OSS, vous devez attacher un nom de domaine personnalisé au bucket. Pour plus d'informations, consultez Attacher un nom de domaine personnalisé.

       • Limites : vous pouvez configurer un maximum de 10 noms de domaine d'origine. Séparez-les par des sauts de ligne.

   • Server Port : définissez le port que le serveur d'origine utilise pour écouter les services de site web.

     • HTTP/Websocket : le port par défaut est 80.

     • HTTPS/Websockets : le port par défaut est 443.

     • Custom Server Port :

       • Plusieurs ports : vous pouvez spécifier plusieurs ports, séparés par des virgules. Le nombre total de ports personnalisés pour tous les services de site web protégés par l'instance Anti-DDoS Proxy ne peut pas dépasser 10. Cela inclut les ports personnalisés pour différents protocoles.

       • Plage de ports (HTTP/HTTPS) : 80 à 65535

   Configuration HTTPS

   Si vous sélectionnez HTTPS pour l'authentification chiffrée, effectuez les configurations suivantes.

   • Configurer un certificat : Pour activer HTTPS, vous devez configurer un certificat SSL correspondant au nom de domaine du site web.

   • Configurez les TLS Security Settings :

     Remarque

     Pour plus d'informations, consultez Personnaliser la politique de sécurité TLS pour un certificat HTTPS d'un serveur.

     • TLS Versions for SSL Certificate : sélectionnez les versions TLS prises en charge par le certificat HTTPS standard international.

       • TLS 1.0 and later. This setting provides the best compatibility but low security. : prend en charge TLS 1.0, TLS 1.1 et TLS 1.2.

       • TLS 1.1 and later. This setting provides good compatibility and medium security. : prend en charge TLS 1.1 et TLS 1.2.

       • TLS 1.2 and later. This setting provides good compatibility and high security level. : prend en charge TLS 1.2.

       • Enable TLS 1.3 Support : prend en charge TLS 1.3.

     • Cipher Suites for SSL Certificate : sélectionnez une suite de chiffrement prise en charge pour le certificat HTTPS standard international, ou sélectionnez une suite de chiffrement personnalisée. Placez le pointeur sur l'icône d'une option de suite de chiffrement pour afficher les suites de chiffrement qu'elle inclut.

   • Mutual Authentication :

     • Issued by Alibaba Cloud : sélectionnez un certificat CA par défaut dans la liste déroulante A default CA certificate is required.. Ce certificat est émis par le service Certificate Management Service (Original SSL Certificate) d'Alibaba Cloud.

     • Not Issued by Alibaba Cloud :

       • Tout d'abord, téléchargez le certificat CA auto-signé vers le service Certificate Management Service (Original SSL Certificate). Pour des instructions détaillées, consultez Upload Certificate Repository.

       • Dans la liste déroulante A default CA certificate is required., sélectionnez le certificat CA auto-signé téléchargé.

   • Enable OCSP Stapling : OCSP signifie Online Certificate Status Protocol. Il est utilisé pour interroger l'autorité de certification (CA) qui a émis le certificat du serveur afin de vérifier si le certificat a été révoqué. Lors d'une négociation TLS avec le serveur, le client doit obtenir à la fois le certificat et sa réponse OCSP correspondante.

     Important

     Les réponses OCSP sont signées numériquement par la CA et ne peuvent pas être falsifiées. L'activation de cette fonctionnalité n'introduit pas de risques de sécurité supplémentaires.

     • Disabled (Default) : le client envoie une requête OCSP à la CA lors de la négociation TLS pour vérifier si le certificat a été révoqué. Ce processus bloque la connexion et peut provoquer des retards de chargement de page si le réseau est de mauvaise qualité.

     • Enabled : Anti-DDoS Proxy effectue la requête OCSP et met en cache le résultat pendant 3 600 secondes. Lorsqu'un client initie une demande de négociation TLS vers le serveur, Anti-DDoS Proxy envoie la réponse OCSP mise en cache ainsi que la chaîne de certificats au client. Cela évite le problème de blocage causé par les requêtes côté client et améliore les performances HTTPS.

   • SM Certificate : seules les instances Anti-DDoS Proxy (Chine continentale) prennent en charge le téléchargement de certificats HTTPS basés sur SM. Seul l'algorithme SM2 est pris en charge.

     • Allow Access Only from SM Certificate-based Clients : désactivé par défaut. Options :

       • On : accepte uniquement les clients utilisant un certificat SM.

         Remarque

         Lorsqu'il est activé, les paramètres de suites TLS, d'authentification mutuelle et d'OCSP stapling pour les certificats HTTPS standards internationaux ne s'appliquent pas.

       • Off : accepte les clients disposant d'un certificat SM ou d'un certificat standard international.

     • SM Certificate : sélectionnez un certificat SM dans la liste. Téléchargez d'abord le certificat vers Certificate Management Service.

     • SM Cipher Suites for HTTPS Support : les suites de chiffrement suivantes sont activées par défaut (non configurables) :

       • ECC-SM2-SM4-CBC-SM3

       • ECC-SM2-SM4-GCM-SM3

       • ECDHE-SM2-SM4-CBC-SM3

       • ECDHE-SM2-SM4-GCM-SM3

   Paramètres avancés

   • Enable HTTPS Redirection : ce paramètre convient aux sites web prenant en charge à la fois HTTP et HTTPS. Après avoir activé ce paramètre, toutes les requêtes HTTP sont redirigées de force vers des requêtes HTTPS sur le port 443 par défaut.

     Important

     • Vous ne pouvez activer ce paramètre que si vous sélectionnez les protocoles HTTP et HTTPS et que vous ne sélectionnez pas le protocole Websocket.

     • Si vous accédez à un site web via un port HTTP non standard (autre que 80) et que vous activez la redirection forcée vers HTTPS, les demandes d'accès sont redirigées vers le port HTTPS 443 par défaut.

   • HTTP/2 Listener : si cet interrupteur est activé, les clients utilisant HTTP/2 peuvent accéder à Anti-DDoS Proxy. Toutefois, Anti-DDoS Proxy utilise toujours HTTP/1.1 pour les requêtes vers l'origine. Les spécifications de la fonctionnalité HTTP/2 sont les suivantes :

     • Spécifications de base :

       • Délai d'inactivité après la fermeture d'une connexion (http2_idle_timeout) : 120 s

       • Nombre maximal de requêtes par connexion (http2_max_requests) : 1 000

       • Nombre maximal de flux simultanés par connexion (http2_max_concurrent_streams) : 4

       • Taille maximale de la liste complète des en-têtes de requête après décompression HPACK (http2_max_header_size) : 256 K

       • Taille maximale d'un champ d'en-tête de requête compressé HPACK (http2_max_field_size) : 64 K

     • Spécifications configurables : vous pouvez définir la Upper Limit for HTTP/2 Streams, qui correspond au nombre maximal de flux simultanés autorisés entre le client et Anti-DDoS Proxy.

   • Set Forward Connection Timeout : il s'agit du délai d'inactivité pour une connexion TCP persistante établie entre un client et Anti-DDoS Proxy. C'est le temps d'attente maximal entre deux requêtes client.

     Remarque

     Si aucune nouvelle requête n'est reçue dans le délai spécifié, Anti-DDoS Proxy ferme la connexion pour libérer des ressources.

5. Saisissez les Forwarding Settings et cliquez sur Next.

   Paramètres de retour vers l'origine

   • Back-to-origin Scheduling Algorithm : si vous configurez plusieurs Origin IP Addresses ou Origin Domain Names, vous pouvez modifier l'algorithme d'équilibrage de charge ou définir des pondérations pour différents serveurs afin de déterminer comment le trafic est distribué parmi les serveurs d'origine.

     Méthode	Scénarios	Description
     Round-robin (Par défaut)	Scénarios utilisant plusieurs serveurs d'origine et nécessitant des performances élevées en matière d'équilibrage de charge.	Toutes les requêtes sont distribuées à tour de rôle à toutes les adresses de serveur. Par défaut, toutes les adresses de serveur ont la même pondération. Vous pouvez modifier les pondérations des serveurs. Une pondération plus élevée indique une probabilité plus grande de recevoir des requêtes.
     IP hash	Scénarios nécessitant une cohérence de session. Dans des cas extrêmes, un déséquilibre de charge peut survenir.	Les requêtes provenant de la même adresse IP client sont toujours dirigées vers le même serveur d'origine pour garantir la cohérence de la session. Vous pouvez définir des pondérations pour les serveurs tout en utilisant l'algorithme de hachage IP. Cela vous permet de distribuer le trafic en fonction des capacités de traitement du serveur et de prioriser les serveurs aux meilleures performances.
     Least time	Services très sensibles à la vitesse d'accès et à la latence de réponse, tels que les jeux et les transactions en ligne.	La capacité de résolution DNS intelligente et l'algorithme de temps minimal pour la requête vers l'origine garantissent la latence la plus courte pour l'ensemble du lien, du point de présence (POP) au serveur d'origine.

   • Retry Back-to-origin Requests : nombre de sondes de vérification de l'état pour vérifier la disponibilité du serveur d'origine pour la transmission de domaine. La valeur par défaut est 3. Le mécanisme de nouvelle tentative fonctionne comme suit :

     1. La fonctionnalité de nouvelle tentative de retour vers l'origine est déclenchée uniquement lorsque le trafic de service accède à une zone périphérique. Lorsque la zone périphérique détecte que le serveur d'origine d'un nom de domaine est indisponible, elle relance la requête vers l'origine.

     2. Si le serveur d'origine reste inaccessible après le nombre maximal de tentatives, il entre dans une période de silence. Pendant cette période, aucun trafic n'est transmis au serveur d'origine et aucune sonde n'est envoyée.

     3. Une fois la période de silence terminée, la fonctionnalité de nouvelle tentative de retour vers l'origine est à nouveau déclenchée en fonction du trafic de service. Si la tentative réussit, le serveur d'origine est réactivé.

   • Traffic Marking :

     • Request Header Forwarding Configuration : Anti-DDoS Proxy prend en charge la transmission des en-têtes de requête. Vous pouvez ajouter ou modifier des en-têtes de requête HTTP lors de la transmission des requêtes à votre serveur d'origine. Cela permet d'identifier et de marquer le trafic transitant par Anti-DDoS Proxy.

       • Insert X-Client-IP to Get Originating IP Address : transmet l'adresse IP d'origine du client.

       • Insert X-True-IP to Forward Client IP : transmet l'adresse IP utilisée par le client pour établir la connexion.

       • Insert Web-Server-Type to Get Service Type : généralement ajouté par le premier proxy. Indique au serveur backend quel serveur web ou proxy frontend a traité la requête.

       • Insert WL-Proxy-Client-IP to Get Connection IP : même fonction que X-Client-IP. Un en-tête spécifique à Oracle WebLogic Server.

       • X-Forwarded-Proto (Listener Protocol) : le protocole utilisé entre le client et le premier proxy.

     • Marques de trafic

       • Marques par défaut

         Remarque

         • JA3 Fingerprint, JA4 Fingerprint, Client TLS Fingerprint et HTTP/2 Fingerprint nécessitent l'assistance de votre gestionnaire de compte pour la configuration.

         • Si votre service utilise des champs personnalisés au lieu des marques par défaut, consultez Custom Header ci-dessous. Après configuration, votre serveur d'origine analyse ce champ à partir des requêtes transmises par Anti-DDoS Proxy. Pour des exemples d'analyse, consultez Obtenir l'adresse IP source réelle après la configuration d'Anti-DDoS Proxy.

         • Originating Port : le nom du champ d'en-tête pour le port d'origine du client dans l'en-tête HTTP. Généralement enregistré dans le champ X-Forwarded-ClientSrcPort.

         • Originating IP Address : le nom du champ d'en-tête pour l'adresse IP d'origine du client dans l'en-tête HTTP. Généralement enregistré dans le champ X-Forwarded-For.

         • JA3 Fingerprint : le nom du champ d'en-tête HTTP contenant le hachage MD5 de l'empreinte JA3 du client. Le champ par défaut est ssl_client_ja3_fingerprinting_md5.

         • JA4 Fingerprint : le nom du champ d'en-tête HTTP contenant le hachage MD5 de l'empreinte JA4 du client. Le champ par défaut est ssl_client_ja4_fingerprinting_md5.

         • Client TLS Fingerprint : le nom du champ d'en-tête HTTP contenant le hachage MD5 de l'empreinte TLS du client. Le champ par défaut est ssl_client_tls_fingerprinting_md5.

         • HTTP/2 Fingerprint : le nom du champ d'en-tête pour la valeur de hachage MD5 générée à partir de l'empreinte HTTP/2.0 du client dans l'en-tête HTTP. Généralement enregistré dans le champ http2_client_fingerprint_md5.

       • Custom Header : ajoutez un en-tête HTTP personnalisé (y compris le nom du champ et la valeur) pour marquer les requêtes transitant par Anti-DDoS Proxy. Lorsqu'Anti-DDoS Proxy transmet le trafic du site web, il ajoute la valeur de champ configurée aux requêtes envoyées à votre serveur d'origine. Cela aide votre service backend à analyser et suivre le trafic.

         • Restrictions de nommage : pour éviter d'écraser les champs d'en-tête de requête d'origine, n'utilisez pas les noms de champs réservés ou courants suivants pour votre en-tête personnalisé :

           • Champs par défaut d'Anti-DDoS Proxy :

             • X-Forwarded-ClientSrcPort : utilisé par défaut pour obtenir le port client pour l'accès au moteur de couche 7.

             • X-Forwarded-ProxyPort : utilisé par défaut pour obtenir le port d'écoute pour l'accès au moteur de couche 7.

             • X-Forwarded-For : utilisé par défaut pour obtenir l'adresse IP client pour l'accès au moteur de couche 7.

             • ssl_client_ja3_fingerprinting_md5 : utilisé par défaut pour récupérer le hachage MD5 de l'empreinte JA3 du client.

             • ssl_client_ja4_fingerprinting_md5 : utilisé par défaut pour récupérer le hachage MD5 de l'empreinte JA4 du client.

             • ssl_client_tls_fingerprinting_md5 : utilisé par défaut pour récupérer le hachage MD5 de l'empreinte TLS du client.

             • http2_client_fingerprint_md5 : utilisé par défaut pour obtenir la valeur de hachage MD5 de l'empreinte HTTP/2.0 du client.

           • Champs HTTP standard : tels que host, user-agent, connection et upgrade.

           • Champs de proxy courants : tels que x-real-ip, x-true-ip, x-client-ip, web-server-type, wl-proxy-client-ip, eagleeye-rpcid, eagleeye-traceid, x-forwarded-cluster et x-forwarded-proto.

         • Limite de quantité : vous pouvez ajouter jusqu'à cinq étiquettes d'en-tête personnalisées.

         • Recommandations de configuration :

           • Utilisez d'abord les marques par défaut.

           • Vérifiez la configuration du champ d'en-tête dans l'environnement de préproduction avant de l'appliquer à l'environnement de production.

           • Nous vous recommandons de limiter les valeurs des champs à 100 caractères ou moins pour éviter d'affecter les performances de transmission.

   • CNAME Reuse : sélectionnez si vous souhaitez activer la réutilisation du CNAME. Après avoir activé la réutilisation du CNAME, vous pouvez ajouter plusieurs noms de domaine hébergés sur le même serveur à Anti-DDoS Proxy en faisant pointer leurs enregistrements DNS vers le même CNAME Anti-DDoS Proxy. Vous n'avez pas besoin d'ajouter une configuration de site web distincte pour chaque nom de domaine. Pour plus d'informations, consultez Réutilisation du CNAME.

     Important

     Ce paramètre est pris en charge uniquement par Anti-DDoS Proxy (Hors Chine continentale).

   Autres paramètres

   • Enable HTTP Redirection of Back-to-origin Requests : si votre site web ne prend pas en charge HTTPS pour la requête vers l'origine, vous devez activer ce paramètre. Après avoir activé ce paramètre, toutes les requêtes HTTPS sont envoyées au serveur d'origine via HTTP, et toutes les requêtes Websockets sont envoyées via Websocket. Le port d'origine par défaut est 80.

     Remarque

     Si vous accédez à un site web via un port HTTPS non standard (autre que 443) et que vous activez HTTP pour la requête vers l'origine, les demandes d'accès sont redirigées vers le port HTTP 80 du serveur d'origine par défaut.

   • HTTP/2.0 Origin : après avoir activé HTTP/2.0 pour les requêtes de retour vers l'origine, Anti-DDoS Proxy utilise HTTP/2.0 pour envoyer des requêtes à l'origine.

     Avertissement

     • Pour configurer cette fonctionnalité, contactez votre gestionnaire de compte.

     • Si votre serveur d'origine ne prend pas en charge HTTP/2.0, ne configurez pas cette fonctionnalité. Sinon, votre site web deviendra inaccessible.

   • Cookie Settings

     • Delivery Status : activé par défaut. Anti-DDoS Proxy insère un cookie dans le client, tel qu'un navigateur, pour différencier les clients ou obtenir des empreintes client. Pour plus d'informations, consultez Configurer la protection contre les inondations HTTP.

       Important

       Si vous rencontrez des échecs de connexion ou des pertes de session après avoir ajouté votre application à Anti-DDoS Proxy, vous pouvez essayer de désactiver cet interrupteur. Notez que si vous désactivez cet interrupteur, certaines fonctionnalités de protection contre les inondations HTTP deviennent inefficaces.

     • Secure Attribute : désactivé par défaut. Si vous activez cet attribut, le cookie est envoyé uniquement via des connexions HTTPS, et non via des connexions HTTP. Cela permet de protéger le cookie contre le vol.

       Remarque

       Nous vous recommandons d'activer cet attribut si votre service de site web prend uniquement en charge les connexions HTTPS.

   • Configure New Connection Timeout Period : le temps qu'Anti-DDoS Proxy attend pour établir une connexion au serveur d'origine.

     Remarque

     Si une connexion n'est pas établie dans ce délai, la tentative est considérée comme un échec.

   • Configure Read Connection Timeout Period : le temps maximal qu'Anti-DDoS Proxy attend pour une réponse du serveur d'origine après avoir établi une connexion et envoyé une requête de lecture.

   • Configure Write Connection Timeout Period : le temps qu'Anti-DDoS Proxy attend après l'envoi des données et avant que le serveur d'origine ne commence à les traiter.

     Remarque

     Si Anti-DDoS Proxy ne parvient pas à envoyer toutes les données au serveur d'origine ou si le serveur d'origine ne commence pas à traiter les données dans ce délai, la tentative est considérée comme un échec.

   • Back-to-origin Persistent Connections : une connexion TCP entre un serveur de cache et un serveur d'origine reste active pendant une période au lieu de se fermer après chaque requête. Cela peut gaspiller des ressources. Activez Back-to-origin Persistent Connections pour réduire le temps d'établissement de connexion et la consommation de ressources, et améliorer l'efficacité et la vitesse de traitement des requêtes.

     • Requests Reusing Persistent Connections : le nombre de requêtes HTTP pouvant être envoyées via une seule connexion TCP d'Anti-DDoS Proxy au serveur d'origine. Cela réduit la latence et la consommation de ressources causées par l'établissement et la terminaison fréquents de connexions.

       Remarque

       Nous vous recommandons de définir cette valeur inférieure ou égale au nombre de requêtes par connexion persistante configuré sur le serveur d'origine backend, tel qu'une instance WAF ou SLB. Cela empêche l'inaccessibilité du service causée par la terminaison de la connexion.

     • Timeout Period of Idle Persistent Connections : le temps maximal pendant lequel une connexion TCP persistante inactive d'Anti-DDoS Proxy au serveur d'origine peut rester ouverte dans le pool de connexions d'Anti-DDoS Proxy. Si aucune nouvelle requête n'est reçue dans ce délai, la connexion est fermée pour libérer les ressources système.

       Remarque

       Nous vous recommandons de définir cette valeur inférieure ou égale au délai d'expiration configuré sur le serveur d'origine backend, tel qu'une instance WAF ou SLB. Cela empêche l'inaccessibilité du service causée par la terminaison de la connexion.

Vérification et mise en production

Après avoir terminé la configuration du site web, suivez cette liste de contrôle pour effectuer la validation et mettre le service en production. Cela permet d'éviter les interruptions de service.

• Étapes principales (Obligatoires)

  1. Autoriser les adresses IP de retour vers l'origine : dans les politiques de sécurité de votre serveur d'origine, telles qu'un pare-feu ou un groupe de sécurité, ajoutez les plages d'adresses IP de retour vers l'origine d'Anti-DDoS Proxy à la liste d'autorisation. Cela empêche le trafic transmis d'Anti-DDoS Proxy vers votre origine d'être bloqué par erreur. Pour plus d'informations, consultez Ajouter les adresses IP de retour vers l'origine d'Anti-DDoS Proxy à une liste d'autorisation.

  2. Vérifier la configuration localement : avant de modifier vos enregistrements DNS, modifiez le fichier local hosts pour vérifier que la configuration de transmission fonctionne comme prévu. Cela permet d'éviter les interruptions de service. Pour plus d'informations, consultez Vérifier les paramètres de transmission sur une machine locale.

  3. Basculer la résolution DNS : après la réussite de la vérification locale, modifiez l'enregistrement DNS de votre nom de domaine de site web pour le faire pointer vers le CNAME fourni par Anti-DDoS Proxy. Cette action transfère votre trafic de service vers Anti-DDoS Proxy pour protection. Pour plus d'informations, consultez Utiliser un CNAME ou une adresse IP pour résoudre un nom de domaine vers Anti-DDoS Proxy.

• Étapes facultatives

  • Modifier l'adresse IP d'origine : si votre serveur d'origine est une instance ECS Alibaba Cloud et que son adresse IP est exposée, nous vous recommandons de modifier l'adresse IP publique de l'instance ECS. Cela empêche les attaquants de contourner Anti-DDoS Proxy pour attaquer votre serveur d'origine. Pour plus d'informations, consultez Adresse IP publique statique.

  • Configurer des politiques d'atténuation DDoS : en plus des politiques d'atténuation par défaut d'Anti-DDoS Proxy (Anti-DDoS Global Mitigation Policy, Intelligent Protection et Frequency Control), vous pouvez activer davantage de fonctionnalités de protection dans l'onglet Protection for Website Services selon vos besoins. Pour plus d'informations, consultez Protection for Website Services.

    Important

    L'activation des politiques de protection contre les inondations HTTP peut insérer un cookie dans le client. Pour plus d'informations, consultez Insertion de cookie.

  • Configurer les alertes CloudMonitor : configurez des règles d'alerte pour les métriques de service courantes d'Anti-DDoS Proxy, telles que le trafic et les connexions, ainsi que pour les événements d'attaque, tels que les événements de filtrage blackhole et de nettoyage. Cela vous permet de recevoir des alertes rapides en cas d'activité anormale et de réagir rapidement. Pour plus d'informations, consultez Alertes CloudMonitor.

  • Configurer le service d'analyse des journaux : activez le service d'analyse des journaux pour collecter et stocker les journaux d'accès au site web pendant 180 jours par défaut. Cela est utile pour l'analyse commerciale et pour répondre aux exigences de conformité en matière de protection classifiée. Pour plus d'informations, consultez Utiliser rapidement la fonctionnalité d'analyse des journaux.

Quotas et limites

• Un nom de domaine peut être associé à un maximum de huit instances Anti-DDoS Proxy.

• Le nombre total de ports personnalisés (autres que 80 ou 443) pour toutes les configurations de site web sous une instance Anti-DDoS Proxy ne peut pas dépasser 10.

• Vous pouvez ajouter un maximum de cinq étiquettes d'en-tête personnalisées.

Références

FAQ

• Pourquoi obtiens-je une erreur 502 ou 504 lorsque j'accède à mon site web après avoir terminé la configuration ?

  Cette erreur survient généralement parce que la requête vers l'origine échoue. Vérifiez les éléments suivants dans l'ordre :

  1. Vérifiez le pare-feu/groupe de sécurité du serveur d'origine : confirmez que vous avez ajouté les plages d'adresses IP de retour vers l'origine d'Anti-DDoS Proxy à la liste d'autorisation.

  2. Vérifiez la configuration « Enable HTTP for Origin Fetch » : si votre serveur d'origine prend uniquement en charge HTTP (écoute sur le port 80), mais que vous avez configuré HTTPS dans Anti-DDoS Proxy sans activer « Enable HTTP for Origin Fetch », la requête vers l'origine échouera.

  3. Vérifiez l'état du serveur d'origine : confirmez que l'Origin IP Address est correcte et que le serveur d'origine lui-même fonctionne correctement.

• Pourquoi mon navigateur signale-t-il une erreur de certificat après avoir activé HTTPS ?

  Vérifiez les éléments suivants :

  1. Incompatibilité certificat-nom de domaine : assurez-vous que le certificat couvre le nom de domaine que vous avez ajouté, y compris les domaines www et racine. Par exemple, un certificat pour www.example.com ne peut pas être utilisé pour example.com sauf s'il s'agit d'un certificat générique ou multi-domaines.

  2. Chaîne de certificats incomplète : lorsque vous téléchargez un certificat, assurez-vous de télécharger la chaîne de certificats complète (certificat du serveur plus certificat CA intermédiaire).

  3. Certificat expiré : vérifiez si le certificat téléchargé est toujours valide.

• Comment puis-je confirmer que le trafic de mon site web passe par Anti-DDoS Proxy ?

  1. Requête DNS : dans la ligne de commande, exécutez ping <votre nom de domaine> ou dig <votre nom de domaine>. Vérifiez si l'adresse résolue est le CNAME de l'instance Anti-DDoS Proxy ou l'adresse IP vers laquelle il pointe.

  2. Rapports de la console : sur la page des rapports de la console Anti-DDoS Proxy, vérifiez s'il existe des données de trafic entrant.

  3. Journaux du serveur d'origine : vérifiez les journaux d'accès web de votre serveur d'origine pour confirmer que les adresses IP source des requêtes appartiennent aux plages d'adresses IP de retour vers l'origine d'Anti-DDoS Proxy.

• Les journaux de mon application n'enregistrent que l'adresse IP d'Anti-DDoS Proxy. Comment puis-je obtenir l'adresse IP réelle du visiteur ?

  Ceci est normal. En tant que proxy, Anti-DDoS Proxy utilise ses adresses IP de retour vers l'origine pour accéder à votre serveur d'origine. Pour obtenir l'adresse IP réelle du visiteur, vous devez configurer votre serveur web (tel que Nginx ou Apache) pour extraire l'adresse IP de l'en-tête de requête X-Forwarded-For. Pour plus d'informations, consultez Obtenir les adresses IP réelles des clients après avoir configuré une instance Anti-DDoS Proxy.

• Comment puis-je vérifier l'efficacité de l'atténuation d'Anti-DDoS Proxy ?

  Notez que vous ne pouvez pas déclencher manuellement le filtrage blackhole sur votre serveur à des fins de test. Le filtrage blackhole est déclenché automatiquement lorsque le système détecte une attaque DDoS volumétrique dépassant le seuil d'atténuation. Pour vérifier l'efficacité du nettoyage et de la transmission d'Anti-DDoS Proxy :

  • Utiliser un service de test : connectez un service de test, plutôt que votre service de production, à Anti-DDoS Proxy pour éviter tout impact sur le trafic de production.

  • Simuler du trafic DDoS : utilisez un outil de test de charge pour simuler du trafic DDoS et observer le comportement de nettoyage et de transmission d'Anti-DDoS Proxy.

  • Vérifier les rapports de la console : sur la page des rapports de la console Anti-DDoS Proxy, vérifiez les données d'atténuation et les résultats de nettoyage.

  • Vérifier les journaux du serveur d'origine : vérifiez les journaux d'accès web de votre serveur d'origine et confirmez que les adresses IP source des requêtes appartiennent aux plages d'adresses IP de retour vers l'origine d'Anti-DDoS Proxy.