Object Storage Service:Protection DDoS OSS

Scénarios

Les attaques DDoS constituent l'une des menaces les plus graves pour les entreprises. Une attaque peut interrompre vos services, nuire à l'image de votre entreprise, entraîner une perte de clients et provoquer une baisse des revenus. Ces attaques perturbent gravement le bon déroulement des activités commerciales.

OSS s'intègre à Anti-DDoS Pro et Anti-DDoS Premium pour offrir une protection robuste. Cette intégration assure une atténuation des attaques DDoS au niveau du térabit, prend en charge des millions de requêtes par seconde (QPS) et permet un basculement en quelques secondes en cas d'attaque. Elle contrecarre efficacement les inondations DDoS de niveau térabit, les attaques CC à grande échelle ainsi que d'autres types d'attaques telles que SYN Flood, ACK Flood, ICMP Flood, UDP Flood, NTP Flood, SSDP Flood, DNS Flood et HTTP Flood. Vos services restent ainsi disponibles pendant une attaque.

Précautions

• La protection DDoS OSS ne gère pas le trafic frauduleux à faible volume imitant les requêtes normales. Pour prévenir ce type de trafic, configurez le contrôle d'accès à l'aide de politiques ou de listes de contrôle d'accès (ACL), ou activez la protection Web Application Firewall (WAF). Pour plus d'informations, consultez la rubrique Comment empêcher mon bucket OSS d'être inondé par du trafic malveillant ?.

• La protection DDoS OSS n'atténue pas efficacement les attaques CC de moyenne ampleur.

Fonctionnement

Le schéma suivant illustre le fonctionnement de la protection DDoS OSS.

Par défaut, OSS utilise Anti-DDoS Origin pour protéger vos buckets. Si une attaque dépasse le seuil de protection d'Anti-DDoS Origin, la protection devient inefficace, ce qui peut empêcher l'accès à votre bucket.

Lorsque vous activez la protection DDoS OSS, si une attaque dépasse le seuil d'Anti-DDoS Origin, OSS redirige automatiquement tout le trafic du bucket attaqué vers les clusters Anti-DDoS. Les centres de nettoyage filtrent le trafic malveillant. Le trafic légitime est transféré vers le bucket cible via le transfert de port et de protocole. Cela garantit un accès stable au bucket pendant une attaque.

Une fois l'attaque terminée, le trafic du bucket est de nouveau acheminé vers Anti-DDoS Origin pour la protection.

Limites

• Vous pouvez configurer la protection DDoS OSS dans les régions suivantes : Chine (Hangzhou), Chine (Shanghai), Chine (Qingdao), Chine (Beijing), Chine (Shenzhen) et Chine (Hong Kong).

• La protection DDoS OSS protège uniquement les endpoints publics des buckets (par exemple, oss-cn-hangzhou.aliyuncs.com). Elle ne prend pas en charge les types de noms de domaine suivants :

  • Endpoints d'accélération (oss-accelerate.aliyuncs.com et oss-accelerate-overseas.aliyuncs.com)

  • Noms de domaine des points d'accès (par exemple, ap-01-3b00521f653d2b3223680ec39dbbe2****-ossalias.oss-cn-hangzhou.aliyuncs.com)

  • Noms de domaine des points d'accès Object FC (par exemple, fc-ap-01-3b00521f653d2b3223680ec39dbbe2****-opapalias.oss-cn-hangzhou.aliyuncs.com)

  • Endpoints accessibles via IPv6 (par exemple, cn-hangzhou.oss.aliyuncs.com)

  • Amazon S3 endpoints (par exemple, s3.oss-cn-hongkong.aliyuncs.com)

• Vous devez conserver une instance Anti-DDoS for OSS pendant au moins 7 jours après sa création. Si vous supprimez l'instance dans un délai de 7 jours, des frais de ressources de base vous seront facturés pour le reste de la période de 7 jours. Pour plus d'informations sur la facturation, consultez la rubrique Frais de protection DDoS.

• Vous pouvez créer une instance Anti-DDoS for OSS par région. Chaque instance peut être associée à un maximum de 10 buckets dans la même région.

• Après avoir associé un bucket à une instance Anti-DDoS, vous ne pouvez pas prévisualiser les ressources du bucket depuis un navigateur. Par défaut, la protection DDoS OSS ne protège pas les noms de domaine personnalisés associés au bucket. Par conséquent, vous ne pouvez pas accéder à OSS via un nom de domaine personnalisé lorsque le bucket subit une attaque. Si vous souhaitez accéder au bucket via un nom de domaine personnalisé pendant une attaque, ajoutez le nom de domaine personnalisé à la liste de protection dans la console de protection DDoS OSS. Vous pouvez protéger jusqu'à cinq noms de domaine personnalisés pour chaque bucket.

  Si un nom de domaine personnalisé que vous souhaitez protéger pour un bucket (tel que www.example.com) correspond à un nom de domaine (www.example.com) ou à un nom de domaine générique (*.example.com) pour lequel une règle de transfert est configurée dans Anti-DDoS Pro, accédez à la console Anti-DDoS Pro pour détacher le nom de domaine ou le nom de domaine générique. Sinon, vous ne pourrez pas accéder à OSS via le nom de domaine personnalisé lorsque le bucket subira une attaque.

  Pour plus d'informations sur les règles de transfert pour les noms de domaine et les noms de domaine génériques, consultez la rubrique Ajouter une configuration de site web.

Utiliser la console OSS

1. Créez une instance Anti-DDoS for OSS.

   1. Connectez-vous à la console OSS.

   2. Dans le volet de navigation de gauche, choisissez Data Service > Anti-DDoS Pro.

   3. Facultatif : La première fois que vous utilisez la protection DDoS OSS, cliquez sur Activate Now dans la page Anti-DDoS Pro.

   4. Dans la page Anti-DDoS Pro, cliquez sur Create Anti-DDoS for OSS Instance et sélectionnez une Region.

   5. Cliquez sur OK.

2. Associez un bucket.

   1. Dans la colonne Actions de l'instance cible, cliquez sur View and Attach Buckets.

   2. Dans le panneau View and Attach Buckets, cliquez sur Attach Anti-DDoS Buckets.

   3. Dans la boîte de dialogue Attach Anti-DDoS Buckets, sélectionnez un bucket dans la liste déroulante Bucket.

      Les buckets déjà associés à une instance Anti-DDoS for OSS n'apparaissent pas dans la liste déroulante Anti-DDoS Bucket.

   4. Cliquez sur OK.

      Après avoir associé le bucket, son statut passe à Initializing. Lorsque le statut change pour Protecting, l'instance Anti-DDoS for OSS commence à protéger le nom de domaine du bucket.

3. Pour protéger un nom de domaine personnalisé, ajoutez-le.

   Important

   Par défaut, la protection DDoS OSS ne protège pas les noms de domaine personnalisés associés à un bucket. Par conséquent, vous ne pouvez pas accéder à OSS via un nom de domaine personnalisé lorsque le bucket subit une attaque. Si vous souhaitez accéder au bucket via un nom de domaine personnalisé pendant une attaque, ajoutez le nom de domaine personnalisé pour le protéger. Vous pouvez ajouter jusqu'à cinq noms de domaine personnalisés pour chaque bucket. Les noms de domaine peuvent appartenir à un maximum de quatre domaines de premier niveau (sites) différents. Par exemple, a.mycname.com et b.mycname.com appartiennent au même site, tandis que c.othercname.com appartient à un site différent.

   • Si le bucket n'est pas encore associé à un nom de domaine personnalisé, associez-en un. Pour plus d'informations, consultez la rubrique Associer un nom de domaine personnalisé.

   • Si le bucket est déjà associé à un nom de domaine personnalisé, suivez ces étapes pour ajouter le nom de domaine personnalisé afin de le protéger :

     1. Dans la colonne Actions du bucket Anti-DDoS associé, cliquez sur Modify Custom Domain Name.

     2. Sélectionnez le nom de domaine personnalisé que vous souhaitez protéger.

     3. Cliquez sur OK.

        L'instance Anti-DDoS for OSS commence à protéger le nom de domaine personnalisé sélectionné.