Anti-DDoS Proxy s'appuie sur un réseau mondial de nettoyage du trafic pour contrer les attaques DDoS à grande échelle. Si vos serveurs d'origine sont déployés hors de Chine continentale, choisissez le plan de protection Global, Global Partner ou Outside Chinese Mainland en fonction de la localisation des utilisateurs et de la méthode de protection.
Fonctionnement
Anti-DDoS Proxy garantit la stabilité des services en suivant trois étapes :
Redirection du trafic : Modifiez les enregistrements DNS ou pointez l'adresse IP de votre service vers une adresse IP Anti-DDoS Proxy afin de rediriger tout le trafic Internet vers un centre de nettoyage Anti-DDoS Proxy. Pour plus de détails, consultez la section Méthodes de redirection du trafic.
Nettoyage du trafic : Le centre de nettoyage Anti-DDoS Proxy exploite des moteurs de détection et de filtrage multicouches. Il bloque les attaques volumétriques de couche 3 et de couche 4 (inondations SYN et UDP, par exemple) et protège contre les attaques applicatives de couche 7 (telles que les inondations HTTP). Le système identifie avec précision le trafic malveillant et le supprime.
Transfert du trafic vers l'origine : Après le nettoyage, le système renvoie le trafic légitime vers votre serveur d'origine de manière sécurisée et fiable via le transfert de port et de protocole.
Méthodes de redirection du trafic
Redirigez le trafic de service vers l'adresse IP Anti-DDoS Proxy pour nettoyage en utilisant l'une des méthodes suivantes.
|
Méthode de redirection |
Description |
Cas d'utilisation |
Avantages |
Inconvénients |
|
Résolution DNS |
Modifiez l'enregistrement DNS de votre nom de domaine de service (par exemple, |
Services accessibles via des noms de domaine, tels que les sites web, les applications web et les API. |
Configuration simple, prise d'effet rapide et basculement facile lors d'une attaque. |
Ne protège pas contre les attaques ciblant directement l'adresse IP d'origine. |
|
Pointage direct de l'IP |
Configurez des règles de transfert dans une instance Anti-DDoS Proxy pour utiliser l'adresse IP Anti-DDoS Proxy comme point d'entrée du service et transférer le trafic vers l'adresse IP du serveur réel. Les clients accèdent directement à l'adresse IP Anti-DDoS Proxy. |
Services non web accessibles directement via des adresses IP, tels que les jeux et les services backend d'applications. |
Protège directement l'adresse IP et masque le serveur d'origine. |
Le changement d'adresse IP peut affecter les connexions de certains clients. |
Avantages
-
Déploiement rapide et facile
Anti-DDoS Proxy propose deux méthodes d'intégration : la résolution DNS et le pointage direct de l'IP. Aucune installation logicielle ou matérielle ni modification du routage n'est requise. L'intégration prend généralement quelques minutes, selon des facteurs tels que le temps de propagation DNS. Votre adresse IP d'origine reste masquée, ce qui protège le serveur d'origine.
-
Protection intelligente et précise pilotée par l'IA
Protection contre les attaques au niveau réseau : En s'appuyant sur des techniques traditionnelles telles que la détection par signature, Anti-DDoS Proxy combine une base de données de réputation IP avec l'inspection approfondie des paquets (DPI) pour identifier et bloquer avec précision les attaques volumétriques.
Protection contre les attaques CC au niveau applicatif : Le moteur IA apprend automatiquement le modèle de votre service pour identifier et filtrer avec précision le trafic d'attaque CC. Les politiques de protection peuvent atteindre une granularité au niveau de l'URL, ce qui réduit considérablement la complexité opérationnelle.
-
Capacité mondiale massive d'atténuation
Le réseau de protection mondial d'Anti-DDoS Proxy offre plus de 20 Tbps de bande passante totale, dont plus de 5 Tbps de bande passante de protection hors de Chine continentale. Il contrecarre les attaques DDoS aux niveaux réseau, transport et application, et garantit une expérience d'accès mondiale pour vos services.
-
Protection flexible et extensible
Mettez à niveau la bande passante de protection en ligne en libre-service ; la mise à jour prend effet en quelques secondes. En cas d'attaque soudaine, augmentez la capacité d'atténuation à tout moment sans modifier ni interrompre vos services.
-
Stabilité et haute disponibilité de niveau financier
Une architecture entièrement redondante surveille les centres de données, les serveurs, les moteurs et les liens, et fournit des mécanismes automatiques de basculement et de récupération pour garantir une disponibilité de service de 99,95 %.
-
Reroutage intelligent du trafic
Anti-DDoS Proxy peut fonctionner avec d'autres services Alibaba Cloud pour rerouter automatiquement le trafic vers Anti-DDoS Proxy lorsqu'une attaque se produit. Pendant les opérations normales, il n'intervient pas, ce qui permet d'équilibrer coût et sécurité.
Nouveaux plans de protection
À partir du 15 octobre 2026, lors de l'achat d'une nouvelle instance Anti-DDoS Proxy (Outside Chinese Mainland), vous pourrez choisir le plan de protection Global, Global Partner ou Outside Chinese Mainland.
|
Plan de protection |
Cas d'utilisation |
Méthode de protection |
Spécifications disponibles |
|
Global |
Le serveur d'origine se trouve hors de Chine continentale et le service doit desservir les utilisateurs en Chine continentale et à l'étranger. |
Une seule adresse IP d'instance fournit une accélération transfrontalière et une protection mondiale hors de Chine continentale. Les attaques provenant de différentes directions partagent les sessions d'atténuation. |
0, 1, 2 ou un nombre illimité de sessions de nettoyage pleine capacité par mois. Le niveau 0 session offre uniquement un nettoyage au meilleur effort. |
|
Global Partner |
Services achetés via un canal qui doivent sélectionner des spécifications basées sur un seuil de protection transfrontalier. |
Le trafic transfrontalier est protégé jusqu'au seuil engagé sélectionné, et le trafic outre-mer bénéficie d'une protection au meilleur effort. Une protection gratuite au meilleur effort s'applique après dépassement du seuil ou des sessions d'atténuation. |
Les niveaux de 100 à 1 000 Gbit/s incluent une session de nettoyage pleine capacité outre-mer par mois. Le niveau de protection au meilleur effort inclut un nombre illimité de sessions de nettoyage pleine capacité outre-mer. Initialement disponible uniquement pour les clients de canal éligibles. |
|
Outside Chinese Mainland |
Le serveur d'origine et les utilisateurs se trouvent tous deux à l'étranger, et aucune accélération transfrontalière vers la Chine continentale n'est requise. |
Conserve le modèle de service international précédent et fournit un accès Anycast et un nettoyage pleine capacité hors de Chine continentale. |
Insurance : deux sessions par mois. Unlimited : aucune limite de session. |
Les plans Global et Global Partner incluent tous deux 10 Mbit/s de bande passante transfrontalière et fournissent une quantité équivalente de bande passante outre-mer selon un ratio 1:1. Pour Global Partner, le seuil de protection est engagé uniquement pour la direction transfrontalière, et les sessions outre-mer et le seuil transfrontalier sont calculés séparément.
Plans pour la Chine continentale et anciens plans hors de Chine continentale
Anti-DDoS Proxy se divise en deux catégories en fonction de la région physique dans laquelle vos serveurs de service sont déployés : Anti-DDoS Proxy (Chinese Mainland) et Anti-DDoS Proxy (Outside Chinese Mainland).
Les plans pour la Chine continentale suivent les descriptions existantes. Les anciens plans hors de Chine continentale figurant dans le tableau ci-dessous sont fournis à titre de référence uniquement pour les instances existantes. Pour un nouveau service transfrontalier desservant les deux emplacements, choisissez le plan Global au lieu d'acheter deux instances conjointement.
Type de produit | Edition d'instance | Fonctionnalités principales et différences | Notes |
Anti-DDoS Proxy (Chinese Mainland) | Profession | Fournit une adresse IP dédiée et une protection BGP multiligne, et prend en charge la protection de base et extensible. | - |
Advanced | Fournit deux sessions Concepts clés par mois, qui sont réinitialisées mensuellement. | Contactez votre gestionnaire de compte pour activer cette edition. | |
Anti-DDoS Proxy (Outside Chinese Mainland) | Insurance, Unlimited |
| - |
Sec-CMA 2.0 | Fournit une accélération d'accès pour la Chine continentale et une protection DDoS au niveau applicatif. Après avoir sélectionné un nombre spécifique de sessions d'atténuation DDoS, il peut se défendre contre les attaques DDoS volumétriques sur les lignes China Telecom, China Unicom et China Mobile. | Aucune | |
Sec-CMA 2.0 (Insurance), Sec-CMA 2.0 (Unlimited) | Les fonctionnalités sont essentiellement les mêmes que celles de Sec-CMA 2.0. Vous pouvez désactiver les modes Metering Method of 95th Percentile Burstable Clean Bandwidth et 95th Percentile Burstable QPS. | Les fonctionnalités ont été migrées vers Sec-CMA 2.0. Les nouveaux achats ne sont pas recommandés. Ce plan est conservé uniquement pour les instances existantes. | |
Chinese Mainland Acceleration, Sec-CMA 1,0 | Editions héritées qui ne prennent pas en charge les lignes China Mobile. | Les nouveaux achats ne sont pas recommandés. Effectuez une mise à niveau vers Sec-CMA 2.0. Contactez votre gestionnaire de compte pour activer la mise à niveau. |
À propos de l'emplacement d'enregistrement de l'IP : L'emplacement d'enregistrement de l'IP fait uniquement référence à l'adresse enregistrée d'une adresse IP Anti-DDoS Proxy et sert à respecter les exigences de conformité. Il ne s'agit pas de l'emplacement physique de déploiement des ressources de protection ou des clusters de nettoyage. Alibaba Cloud Anti-DDoS utilise une architecture de réseau Anycast mondial ; ainsi, quel que soit l'emplacement d'enregistrement de l'IP que vous sélectionnez, le trafic de service accède au centre de nettoyage le plus proche pour la protection. Même si vous sélectionnez un emplacement d'enregistrement de l'IP hors du Japon, un serveur d'origine déployé au Japon bénéficie toujours d'une protection efficace et à faible latence. Cette configuration n'affecte pas les performances réelles de protection.
L'adresse IP Anti-DDoS Proxy est-elle statique ? Change-t-elle lors d'une attaque ?
Chaque instance Anti-DDoS Proxy reçoit une adresse IP statique dédiée. L'adresse IP ne change pas après l'achat et peut être utilisée à long terme. Elle reste inchangée lors d'une attaque DDoS ou d'un nettoyage du trafic, ce qui garantit un accès stable au service.
Après l'achat d'Anti-DDoS Proxy, le système attribue une nouvelle adresse IP Anti-DDoS Proxy. L'adresse IP d'origine n'est pas directement protégée par Anti-DDoS Proxy. La protection prend effet uniquement après avoir terminé la configuration d'intégration :
Services web : Modifiez l'enregistrement DNS de votre nom de domaine pour le faire pointer vers l'adresse CNAME fournie par Anti-DDoS Proxy afin de rediriger le trafic d'accès vers le centre de nettoyage Anti-DDoS Proxy.
Services non web : Configurez des règles de transfert de port dans l'instance Anti-DDoS Proxy et pointez l'adresse IP de destination accessible par les clients directement vers l'adresse IP Anti-DDoS Proxy.
Référence pour la sélection du plan
Emplacement du serveur | Source des utilisateurs | Besoins métier | Edition recommandée |
Chine continentale | Chine continentale et hors de Chine continentale | Protection DDoS polyvalente. | Anti-DDoS Proxy (Chinese Mainland) - Profession |
Hors de Chine continentale | Uniquement hors de Chine continentale | Aucune accélération transfrontalière nécessaire. | Anti-DDoS Proxy (Outside Chinese Mainland) -Insurance ou Unlimited |
Hors de Chine continentale | Chine continentale | Nécessite une accélération transfrontalière pour garantir une faible latence et une stabilité. | Anti-DDoS Proxy (Outside Chinese Mainland)-Sec-CMA 2.0 |
Hors de Chine continentale | Chine continentale et hors de Chine continentale | Accélération transfrontalière nécessaire sans migration de serveur, plus accès depuis l'extérieur de la Chine continentale. | Achat combiné :
|
Hors de Chine continentale | à l'intérieur et à l'extérieur de la Chine continentale | Migrez les serveurs par région utilisateur. Après la migration, les utilisateurs de chaque région accèdent aux services hébergés localement protégés par l'edition correspondante. |
|
Facturation
Les frais Anti-DDoS Proxy se composent des frais d'instance par abonnement et des frais extensibles au paiement à l'utilisation.
Frais d'instance (abonnement) : Vous payez mensuellement ou annuellement en fonction des spécifications que vous sélectionnez, telles que la bande passante de protection de base, la bande passante de nettoyage et le QPS. Pour plus de détails, consultez les sections Facturation des plans d'atténuation Insurance et Unlimited d'Anti-DDoS Proxy (Outside Chinese Mainland), Facturation des lignes d'accélération d'Anti-DDoS Proxy (Outside Chinese Mainland) et Facturation d'Anti-DDoS Proxy (Outside Chinese Mainland).
Frais de protection extensible (paiement à l'utilisation) : Vous êtes facturé uniquement lorsque le trafic d'attaque DDoS dépasse la bande passante de protection de base. Les frais sont calculés quotidiennement en fonction du pic réel du trafic d'attaque. Pour plus de détails, consultez la section Facturation de la capacité de protection élastique.
Frais de bande passante de nettoyage extensible et de QPS (paiement à l'utilisation) : Vous êtes facturé uniquement lorsque le trafic de service normal ou le QPS dépasse les spécifications de base. Les frais sont calculés sur la base du 95e percentile d'un jour civil ou d'un mois civil. Pour plus de détails, consultez les sections Facturation de la bande passante de nettoyage extensible et Facturation du QPS extensible.
Plan de ressources d'atténuation avancée : Pour certaines instances, vous pouvez également acheter un plan de ressources d'atténuation avancée selon vos besoins. Pour plus de détails, consultez la section Facturation des sessions globales d'atténuation avancée.
Quelles sont les différences entre Anti-DDoS Proxy, Anti-DDoS Basic et ESA (Edge Security Acceleration) ?
Ces trois services diffèrent par leur positionnement en matière de protection et leurs cas d'utilisation :
|
Dimension de comparaison |
Anti-DDoS Proxy |
Anti-DDoS Basic |
ESA (Edge Security Acceleration) |
|
Cas d'utilisation |
Services confrontés à des attaques intenses et devant se défendre contre les attaques volumétriques et les attaques CC au niveau applicatif. |
Protection contre les attaques à petite échelle, adaptée aux services non critiques qui peuvent être interrompus. |
Services sensibles à la latence et nécessitant principalement une accélération en périphérie et une diffusion de contenu. |
|
Capacité de protection |
Protection professionnelle approfondie prenant en charge une bande passante de protection de base et extensible, et se défendant contre les attaques volumétriques de couche 3 et 4 ainsi que contre les attaques CC de couche 7. |
Défense de base au niveau de la plateforme couvrant les attaques DDoS de base. |
Protection DDoS de base intégrée qui, par défaut, offre des capacités comparables à celles d'Anti-DDoS Basic. Il ne s'agit pas d'un produit de protection DDoS professionnel. |
|
Méthode d'intégration du trafic |
Redirige le trafic via DNS vers un centre de nettoyage dédié, ou pointe l'adresse IP directement vers l'adresse IP Anti-DDoS Proxy. Peut masquer l'adresse IP d'origine. |
Aucune configuration requise. La plateforme assure la défense automatiquement. |
Distribue et accélère le trafic via des nœuds périphériques distribués mondialement. |
|
Facturation |
Service payant, facturé en fonction de spécifications telles que la bande passante de protection de base et la bande passante de nettoyage. |
Gratuit. |
Facturé en fonction de l'utilisation de l'accélération en périphérie. Une protection DDoS améliorée nécessite une demande distincte. |
Recommandations de sélection :
Si vos services sont exposés au risque d'attaques DDoS ou CC à grande échelle, choisissez Anti-DDoS Proxy pour une protection professionnelle approfondie.
Si vos services sont de petite ampleur et peuvent tolérer de brèves interruptions, la défense gratuite d'Anti-DDoS Basic répond aux besoins de base.
Si votre exigence principale est l'accélération en périphérie et que le risque DDoS est faible, choisissez ESA. Si vous êtes également confronté à un risque DDoS important, utilisez ESA conjointement avec Anti-DDoS Proxy.