Anti-DDoS:Interaction avec les services cloud

Avant de commencer

Fonctionnement

L'interaction avec les services cloud utilise un routage intelligent basé sur le DNS pour diriger dynamiquement le trafic en fonction de l'état de sécurité de vos ressources cloud.

Le trafic traverse trois états :

Créer une règle d'interaction avec les services cloud

1. Connectez-vous à la console Anti-DDoS Proxy.

2. Dans la barre de navigation supérieure, sélectionnez la région de votre instance.

   • Anti-DDoS Proxy (Chinese Mainland) : Choisissez la région Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland) : Choisissez la région Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, choisissez Onboarding > Sec-Traffic Manager.

4. Sous l'onglet General Interaction, cliquez sur Create Rule.

5. Dans le panneau Create Rule, configurez les paramètres restants décrits dans le tableau suivant, puis cliquez sur Next.

   Paramètre	Description
   Scénario d'interaction	Sélectionnez Cloud Service Interaction.
   Rule Name	Saisissez un nom comportant au maximum 128 caractères. Seules les lettres, les chiffres et les traits de soulignement (_) sont autorisés.
   Anti-DDoS Pro or Anti-DDoS Premium Instance	Sélectionnez l'instance Anti-DDoS Proxy à associer à cette règle.
   Resource for Interaction	Saisissez l'adresse IP publique de la ressource cloud que vous souhaitez protéger. Les types suivants sont acceptés : EIP (Elastic IP Address) Adresse IP de l'instance ECS Adresse IP de l'instance SLB Adresse IP de l'instance WAF Cliquez sur Ajouter l'adresse IP de la ressource cloud pour ajouter d'autres adresses. Vous pouvez ajouter jusqu'à 20 adresses IP. Remarque Lorsque vous ajoutez plusieurs adresses IP, toutes les adresses partagent la même instance Anti-DDoS Proxy. Si une adresse IP est attaquée, le trafic est redistribué vers les autres adresses. Le trafic ne bascule vers Anti-DDoS Proxy que lorsque toutes les adresses sont simultanément sous attaque. Pour un basculement indépendant de chaque adresse IP, consultez Basculement multi-chemins.
   Délai d'attente du basculement inverse	Période d'attente de basculement inverse (durée pendant laquelle Anti-DDoS Proxy attend après la fin d'une attaque avant de rerouter le trafic vers votre ressource cloud). Plage valide : 30 à 120 minutes. Remarque Nous recommandons 60 minutes.

6. Mettez à jour vos enregistrements DNS comme indiqué : Pour activer la règle, pointez l'enregistrement DNS de votre domaine vers le CNAME fourni par Sec-Traffic Manager. Suivez ces étapes :

   1. Vérifiez localement avant de mettre à jour le DNS : Avant de mettre à jour vos enregistrements DNS publics, vérifiez la règle en modifiant le fichier hosts de votre ordinateur local. Cela vous permet de détecter les conflits de politique de transfert vers l'origine avant qu'ils n'affectent le trafic de production. Pour les étapes détaillées, consultez Valider localement votre configuration de transfert.

      Cas de risque typiques : Conflit CDN + Anti-DDoS Proxy + OSS

      Si vous utilisez conjointement un CDN et Anti-DDoS Proxy pour diffuser du contenu depuis Object Storage Service (OSS), tenez compte des points suivants :

      • Le CDN peut personnaliser l'en-tête Host de l'origine pour qu'il corresponde au nom du bucket OSS, afin qu'OSS identifie correctement la requête.

      • Anti-DDoS Proxy ne modifie pas l'en-tête Host de l'origine. Il transmet l'en-tête Host original issu de la requête du client.

      • Lorsqu'une attaque déclenche un basculement vers Anti-DDoS Proxy, l'en-tête Host peut ne plus correspondre à ce qu'attend OSS, ce qui entraîne l'échec des requêtes. Pour éviter cela, liez le CNAME d'Anti-DDoS Proxy dans votre fichier hosts local et vérifiez le scénario avant de mettre à jour le DNS public.

   2. Mettez à jour vos enregistrements DNS : Après avoir vérifié la règle localement, mettez à jour l'enregistrement DNS de votre domaine pour qu'il pointe vers le CNAME fourni par Sec-Traffic Manager.

      Registraire de domaine	Procédure de mise à jour
      Alibaba Cloud	Mettez à jour l'enregistrement dans la console Alibaba Cloud DNS.
      Fournisseur tiers	Connectez-vous à la console de gestion de votre registraire de domaine et mettez à jour l'enregistrement DNS de votre domaine.

   3. Résultats de la validation

      Après la mise à jour DNS, vérifiez que votre site web est accessible.

      Remarque

      • Après la mise à jour de l'enregistrement DNS, la règle peut mettre un certain temps à prendre pleinement effet en raison de la propagation DNS (TTL). Pour plus de détails, consultez Modifier un enregistrement CNAME pour Traffic Scheduler.

      • En cas de problème, consultez Résoudre les problèmes de réponse lente, de latence élevée et d'échecs d'accès pour les services protégés par Anti-DDoS Proxy.

Basculer le trafic

L'interaction avec les services cloud prend en charge deux modes de basculement pour s'adapter à différents scénarios opérationnels.

Gérer les règles

Après avoir créé une règle, vous pouvez effectuer les opérations suivantes depuis l'onglet General Interaction.