La fonctionnalité de liste noire géographique bloque le trafic issu de certaines zones géographiques au niveau des centres de nettoyage, avant qu'il n'atteigne vos serveurs d'origine. Utilisez-la pour stopper les attaques par inondation de connexions provenant de régions où vous ne comptez aucun utilisateur légitime.
Fonctionnement
Lorsque vous configurez la liste noire géographique pour une instance Anti-DDoS Proxy, tout le trafic en provenance des régions spécifiées est rejeté au niveau des centres de nettoyage. Cette fonction identifie le trafic selon l'emplacement géographique de l'adresse IP source. Elle ne réduit pas la bande passante entrante liée à l'attaque, mais elle met fin aux inondations de connexions en supprimant les requêtes avant qu'elles n'épuisent votre pool de connexions.
Choisir entre les fonctionnalités de liste noire géographique
Anti-DDoS Proxy propose deux fonctionnalités de blocage basées sur la localisation :
| Fonctionnalité | Portée | Utilisation typique |
|---|---|---|
| Location blacklist | Tous les services d'une instance Anti-DDoS Proxy | Services de port (couche 4) |
| Location blacklist (domain names) | Noms de domaine spécifiques uniquement | Services Web (couche 7) |
Lorsque les deux fonctionnalités sont actives, la liste noire géographique (Location blacklist) est prioritaire. Par exemple, si la liste noire géographique bloque toutes les régions hors de Chine continentale, les utilisateurs de ces régions ne peuvent pas accéder aux noms de domaine associés, même si la fonctionnalité Location blacklist (domain names) l'autorise.
La liste noire géographique bloque le trafic au niveau des centres de nettoyage (à proximité de la destination). Pour rejeter le trafic d'attaque en amont via les routeurs principaux des fournisseurs d'accès à Internet (FAI), utilisez plutôt la fonctionnalité de diversion du trafic proche de l'origine . Cette fonctionnalité est disponible uniquement pour Anti-DDoS Proxy (Chine continentale).
Cas d'utilisation
Services géographiquement isolés : Si tous vos utilisateurs se trouvent en Chine continentale, bloquez toutes les régions hors de Chine continentale afin d'éliminer les tentatives de connexion non sollicitées en provenance de l'étranger.
Les configurations de la liste noire géographique sont valables de manière permanente ; il n'y a pas d'expiration automatique.
Limites
Configurez la liste noire géographique individuellement pour chaque instance Anti-DDoS Proxy. La configuration par lot sur plusieurs instances n'est pas prise en charge.
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Configurer la liste noire géographique
Connectez-vous à la console Anti-DDoS Proxy.
-
Dans la barre de navigation supérieure, sélectionnez la région correspondant à votre instance :
Chinese Mainland pour les instances Anti-DDoS Proxy (Chine continentale)
Outside Chinese Mainland pour les instances Anti-DDoS Proxy (Hors Chine continentale)
Dans le volet de navigation de gauche, choisissez Mitigation Settings > General Policies.
-
Sous l'onglet Protection for Infrastructure, sélectionnez l'instance dans la liste située à gauche.
Recherchez par ID d'instance ou par description pour trouver rapidement votre instance.
Dans la section Location Blacklist, cliquez sur Settings.
Dans le panneau Configure Location Blacklist, sélectionnez les régions à bloquer et cliquez sur OK.
Dans la section Location Blacklist, activez l'interrupteur Status pour appliquer la configuration.
Rubriques connexes
Pour bloquer des régions spécifiques pour des noms de domaine individuels plutôt que pour tous les services de l'instance, consultez la rubrique Configurer la fonctionnalité Location blacklist (domain names).
Pour toute question concernant le blocage de pays spécifiques par rapport à celui de toutes les régions outre-mer, consultez la FAQ.