:Troubleshoot slow response, high latency, and access failures for services protected by Anti-DDoS Proxy

Étape 1 : Collecter les adresses IP concernées et tester la connectivité

Exécutez MTR ou traceroute sur l'adresse IP concernée pour identifier où se produisent la latence ou la perte de paquets sur le chemin réseau.

Quand utiliser MTR : MTR combine traceroute et ping pour une surveillance continue du chemin. Utilisez-le lorsque vous suspectez une perte de paquets ou une latence élevée au niveau de sauts spécifiques entre votre client et Anti-DDoS Proxy, ou entre le proxy et le serveur d'origine.

Cette section utilise MTR à titre d'exemple. Utiliser MTR pour analyser les chemins réseau couvre les deux outils en détail.

mtr --no-dns [$IP]

Remplacez [$IP] par l'adresse IP concernée.

L'exemple de sortie suivant montre que la latence se produit sur un nœud spécifique :

Étape 2 : Déterminer si la latence se situe dans la plage normale

Anti-DDoS Proxy ajoute de la latence due au transit du trafic et à l'inspection de sécurité. La latence réelle varie selon la région du client et le FAI. Le tableau suivant répertorie les valeurs de référence.

Si votre latence se situe dans la plage de référence, appliquez les conseils de la section Réduire la latence dans la plage normale. Si elle dépasse significativement cette plage, passez à l'étape suivante.

Étape 3 : Identifier où se situe la latence

Examinez la sortie MTR pour déterminer si le nœud à haute latence est votre serveur d'origine ou votre instance Anti-DDoS Proxy.

• La latence provient du serveur d'origine -- Résoudre les problèmes du serveur d'origine.

• La latence provient de l'instance Anti-DDoS Proxy -- Résoudre les problèmes de l'instance Anti-DDoS Proxy.

Instance Server Load Balancer (SLB)

1. Utilisez TCPing pour tester l'adresse IP et le port de l'instance SLB. Vérifiez la présence de latence ou de perte de paquets. Annexe : Utiliser TCPing pour tester la connectivité.

2. Vérifiez l'état de l'instance SLB. Assurez-vous que le nombre de connexions ne dépasse pas la spécification Max Connection.

3. Vérifiez si les politiques de contrôle d'accès de l'instance SLB bloquent les plages CIDR de retour vers l'origine d'Anti-DDoS Proxy. Le cas échéant, autorisez-les. Autoriser les adresses IP de retour vers l'origine à accéder au serveur d'origine.

4. Vérifiez si un logiciel de sécurité ou un blocage IP sur le serveur backend de SLB bloque les plages CIDR de retour vers l'origine. Le cas échéant, autorisez-les. Autoriser les adresses IP de retour vers l'origine à accéder au serveur d'origine.

   Lorsque l'équilibrage de charge de couche 7 n'est pas utilisé, le serveur backend voit toutes les requêtes comme provenant des plages CIDR de retour vers l'origine d'Anti-DDoS Proxy. Le volume élevé de requêtes provenant de chaque plage peut amener les logiciels de sécurité à les bloquer. Ajoutez ces plages CIDR à la liste d'autorisation du serveur d'origine.

5. Vérifiez si l'adresse IP de l'instance SLB a été exposée. Si elle est exposée ou inconnue, utilisez une autre instance SLB pour empêcher les attaquants de contourner Anti-DDoS Proxy.

Instance Elastic Compute Service (ECS)

1. Utilisez TCPing pour tester l'adresse IP et le port de l'instance ECS. Consultez les journaux pour détecter les exceptions. Annexe : Utiliser TCPing pour tester la connectivité.

2. Vérifiez si l'instance ECS présente des problèmes de performance tels qu'une utilisation élevée du CPU, des requêtes de base de données lentes ou une bande passante sortante élevée. Vérifiez également la présence d'événements de filtrage blackhole et de nettoyage du trafic.

3. Vérifiez si les groupes de sécurité ou les logiciels de sécurité bloquent les plages CIDR de retour vers l'origine. Le cas échéant, autorisez-les. Autoriser les adresses IP de retour vers l'origine à accéder au serveur d'origine.

4. Si vous utilisez un service non web, vérifiez si une règle de groupe de sécurité autorise les requêtes provenant des adresses IP sources vers l'instance ECS.

5. Vérifiez si l'adresse IP de l'instance ECS a été exposée. Si elle est exposée ou inconnue, modifiez-la pour empêcher les attaquants de contourner Anti-DDoS Proxy. Modifier l'adresse IP publique d'un serveur d'origine ECS.

Serveur non déployé sur Alibaba Cloud

1. Utilisez TCPing pour tester l'adresse IP et le port du serveur. Consultez les journaux pour détecter les exceptions. Annexe : Utiliser TCPing pour tester la connectivité.

2. Vérifiez si le serveur présente des problèmes de performance tels qu'une utilisation élevée du CPU, des requêtes de base de données lentes ou une bande passante sortante élevée.

3. Vérifiez si les politiques de contrôle d'accès (liste de blocage, liste d'autorisation ou logiciel de sécurité) bloquent les plages CIDR de retour vers l'origine. Le cas échéant, autorisez-les. Autoriser les adresses IP de retour vers l'origine à accéder au serveur d'origine.

4. Vérifiez si l'adresse IP du serveur a été exposée. Si elle est exposée ou inconnue, modifiez-la pour empêcher les attaquants de contourner Anti-DDoS Proxy.

Résoudre les événements de nettoyage du trafic

La figure suivante montre les événements de nettoyage du trafic sur la page Instances.

Quand utiliser TCPing ici : Comparez les ports affectés aux ports non affectés à l'aide de TCPing. Cela permet de déterminer si la politique de nettoyage ou votre serveur backend est à l'origine de la latence.

Utilisez TCPing pour tester les ports affectés et non affectés. Vérifiez la présence de latence ou de perte de paquets, puis utilisez le tableau suivant pour identifier la cause.

Résoudre les événements de filtrage blackhole

1. La figure suivante montre un événement de filtrage blackhole sur la page Instances. Identifiez l'adresse IP à l'état blackholing et vérifiez si le service affecté utilise cette adresse IP.

2. Désactivez le filtrage blackhole. Chaque compte Alibaba Cloud peut le désactiver jusqu'à cinq fois par jour. Désactiver le filtrage blackhole.

3. Pour éviter que le filtrage blackhole ne soit à nouveau déclenché après la désactivation, mettez à niveau votre instance Anti-DDoS Proxy.

Chemin 1 : Anti-DDoS Proxy > WAF (mode CNAME) > Cloud Firewall > serveur backend

Dans la console WAF, accédez à la page Rapport de sécurité. Vérifiez si les règles de protection WAF bloquent par erreur l'adresse IP source. Le cas échéant, ajoutez l'adresse IP à la liste d'autorisation ou autorisez l'ID de règle correspondant. Configurer les règles de protection pour le module de liste blanche afin d'autoriser des requêtes spécifiques.

Chemin 2 : Anti-DDoS Proxy > Cloud Firewall > WAF (mode cloud native) > serveur backend

1. Dans la console Cloud Firewall, accédez à la page Audit des journaux. Vérifiez si l'adresse IP est bloquée par erreur par les règles du système de prévention des intrusions (IPS).

2. Ajouter l'adresse IP source à un carnet d'adresses.

3. Ajouter le carnet d'adresses à la liste blanche IPS.

Utiliser TCPing sur Windows

Copiez l'outil TCPing dans le répertoire cible et exécutez la commande suivante :

tcping [$Domain_Name] [$Port]

[$Domain_Name] est le nom de domaine ou l'adresse IP que vous souhaitez tester.

[$Port] est le port que vous souhaitez tester.

Exemple de sortie :

Probing 192.168.XX.XX:80/tcp - Port is open - time=19.550ms
Probing 140.XXX.XXX.8:80/tcp - Port is open - time=8.761ms
Probing 192.168.XX.XX:80/tcp - Port is open - time=10.899ms
Probing 192.168.XX.XX:80/tcp - Port is open - time=13.013ms

Ping statistics for 192.168.XX.XX:80
     4 probes sent.
     4 successful, 0 failed.
Approximate trip times in milliseconds:
     Minimum = 8.761ms, Maximum = 19.550ms, Average = 13.056ms

Utiliser TCPing sur Linux

1. Installez TCPing :

      tar zxvf tcping-1.3.5.tar.gz
      cd tcping-1.3.5
      make tcping.linux

2. Testez la connectivité. Exemple de sortie :

      for ((i=0; i<10; ++i)) ; do ./tcping www.example.com 80;done

      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.