Anti-DDoS:Menambahkan konfigurasi website

Cakupan

• Instans Anti-DDoS Proxy (Tiongkok Daratan) atau Anti-DDoS Proxy (Luar Tiongkok Daratan) telah dibeli. Untuk informasi selengkapnya, lihat Membeli instans Anti-DDoS Proxy.

• Untuk menambahkan layanan website ke instans Anti-DDoS Proxy (Tiongkok Daratan), nama domain website harus memiliki Pendaftaran ICP. Untuk informasi selengkapnya, lihat Pendaftaran ICP.

  Catatan

  Website yang ditambahkan ke instans Anti-DDoS Proxy (Luar Tiongkok Daratan) tidak memerlukan Pendaftaran ICP.

Prosedur

1. Masuk ke halaman Konfigurasi Situs Web di konsol Anti-DDoS Proxy.

2. Di bilah navigasi atas, pilih wilayah instans Anda.

   • Anti-DDoS Proxy (Tiongkok Daratan): Pilih wilayah Tiongkok Daratan.

   • Anti-DDoS Proxy (Luar Tiongkok Daratan): Pilih wilayah Luar Tiongkok Daratan.

3. Pada halaman Website Config, klik Add Website.

   Catatan

   Anda juga dapat mengeklik Batch Import di bagian bawah halaman untuk mengimpor beberapa konfigurasi website sekaligus. Konfigurasi website diimpor dalam format XML. Untuk informasi selengkapnya tentang format file, lihat Operasi lainnya.

4. Konfigurasikan informasi Website Config, lalu klik Next.

   Konfigurasi dasar

   • Function Plan: Pilih paket fungsi dari instans Anti-DDoS Proxy yang ingin dikaitkan. Opsi yang tersedia: Standard dan Enhanced.

     Catatan

     Arahkan kursor ke Function Plan (ikon ) untuk melihat perbedaan fitur antara Paket fungsi standar dan Rencana fungsi ditingkatkan. Untuk informasi selengkapnya, lihat Perbedaan antara Paket fungsi standar dan Rencana fungsi ditingkatkan.

   • Instance: Pilih instans Anti-DDoS Proxy yang ingin dikaitkan.

     Penting

     Satu nama domain website dapat dikaitkan dengan maksimal 8 instans Anti-DDoS Proxy, dan semua instans harus menggunakan Function Plan yang sama.

   • Websites: Masukkan nama domain website yang ingin dilindungi. Nama domain eksak (seperti www.example.com) maupun Nama domain wildcard (seperti *.example.com) didukung.

     Catatan

     • Jika Nama domain wildcard dan nama domain eksak dikonfigurasi secara bersamaan (misalnya, *.aliyundoc.com dan www.aliyundoc.com), Anti-DDoS Proxy akan memprioritaskan aturan pengalihan dan kebijakan perlindungan yang dikonfigurasi untuk nama domain eksak (yaitu, www.aliyundoc.com).

     • Jika Anda memasukkan nama domain tingkat atas, hanya nama domain tersebut yang dilindungi. Subdomain seperti domain tingkat kedua tidak akan dilindungi. Untuk melindungi domain tingkat kedua, masukkan nama domain tingkat kedua atau Nama domain wildcard.

     • Hanya nama domain yang didukung. Anda tidak dapat memasukkan alamat IP website.

   • Protocol Type: Pilih protokol yang didukung oleh website Anda.

     • HTTP / HTTPS: Protokol dasar untuk website.

       Catatan

       Untuk informasi mengenai konfigurasi HTTPS, lihat deskripsi tab .

     • Websocket / Websockets: Protokol komunikasi real-time. Jika Anda memilih salah satu protokol ini, HTTP atau HTTPS akan dipilih secara otomatis.

   • Server Address: Tetapkan alamat server backend (server origin) yang diminta oleh Anti-DDoS Proxy selama proses kembali ke asal.

     • Alamat IP Asal: Masukkan Alamat IP publik dari server origin. Anda dapat memasukkan beberapa alamat IP, dipisahkan dengan koma (,). Contoh:

       • Server origin di Alibaba Cloud: Dalam kebanyakan kasus, masukkan Alamat IP publik dari instance ECS origin. Jika Instance SLB ditempatkan di depan instance ECS, masukkan Alamat IP publik dari Instance SLB tersebut.

       • Server origin di pusat data luar Alibaba Cloud atau penyedia cloud lain: Gunakan perintah ping nama domain untuk mengetahui Alamat IP publik tujuan resolusi nama domain tersebut, lalu masukkan Alamat IP publik yang diperoleh.

     • Nama Domain Asal:

       • Skenario: Opsi ini berlaku ketika layanan proxy lain ditempatkan di antara server origin dan Anti-DDoS Proxy. Contoh:

         • Jika proxy front-end adalah WAF, Anda dapat memasukkan alamat CNAME dari WAF. Untuk informasi selengkapnya, lihat Melindungi layanan website menggunakan Anti-DDoS Proxy dan WAF.

         • Jika Anda mengatur Origin Domain Name ke titik akhir publik default bucket Object Storage Service (OSS), pastikan nama domain kustom telah ditautkan ke bucket tersebut. Untuk informasi selengkapnya, lihat Menautkan nama domain kustom.

       • Batas: Anda dapat mengonfigurasi hingga 10 nama domain asal. Pisahkan beberapa nama domain dengan baris baru.

   • Server Port: Tetapkan port tempat server origin mendengarkan permintaan layanan website.

     • HTTP/Websocket: Port default adalah 80.

     • HTTPS/Websockets: Port default adalah 443.

     • Port server kustom:

       • Beberapa port: Anda dapat menentukan beberapa port, dipisahkan dengan koma (,). Di seluruh layanan website yang ditambahkan ke instans Anti-DDoS Proxy untuk perlindungan, jumlah total port kustom (termasuk port kustom untuk protokol yang berbeda) tidak boleh melebihi 10.

       • Rentang port (HTTP/HTTPS): 80 hingga 65.535.

   Konfigurasi HTTPS

   Jika Anda memilih HTTPS sebagai protokol yang didukung website, selesaikan konfigurasi berikut.

   • Konfigurasikan Sertifikat: Untuk mengaktifkan HTTPS, Anda harus mengonfigurasikan SSL Certificate yang sesuai dengan nama domain website.

     • Upload: Masukkan Certificate Name, lalu salin dan tempel konten teks dari file sertifikat dan file kunci privat ke masing-masing kolom Certificate File dan Private Key.

       Catatan

       • Untuk sertifikat dalam format PEM, CER, atau CRT, Anda dapat membuka file sertifikat secara langsung di editor teks dan menyalin konten teksnya. Untuk sertifikat dalam format lain, seperti PFX dan P7B, konversikan terlebih dahulu file sertifikat ke format PEM. Kemudian, buka file tersebut di editor teks dan salin konten teksnya. Untuk informasi selengkapnya tentang konversi format sertifikat, lihat Mengonversi format sertifikat atau Mengonversi sertifikat ke format PEM.

       • Jika sertifikat HTTPS memiliki beberapa file sertifikat, seperti rantai sertifikat, gabungkan konten teks dalam rantai sertifikat dan tempelkan konten gabungan tersebut ke Certificate File.

     • Select Existing Certificate: Anda dapat memilih sertifikat secara langsung jika sertifikat tersebut diajukan melalui Certificate Management Service (Original SSL Certificate) Alibaba Cloud atau jika Anda telah mengunggahnya ke Layanan Manajemen Sertifikat.

   • Konfigurasikan TLS Security Settings:

     Catatan

     Untuk informasi selengkapnya, lihat Menyesuaikan kebijakan keamanan TLS dari Sertifikat server HTTPS.

     • TLS Versions for SSL Certificate: Pilih Versi TLS yang didukung oleh Sertifikat SSL standar internasional.

       • TLS 1.0 and later. This setting provides the best compatibility but low security.: Mendukung TLS 1.0, TLS 1.1, dan TLS 1.2.

       • TLS 1.1 and later. This setting provides good compatibility and medium security.: Mendukung TLS 1.1 dan TLS 1.2.

       • TLS 1.2 and later. This setting provides good compatibility and high security level.: Mendukung TLS 1.2.

       • Enable TLS 1.3 Support: Mendukung TLS 1.3.

     • Cipher Suites for SSL Certificate: Pilih paket sandi yang didukung oleh Sertifikat SSL standar internasional, atau pilih paket sandi kustom. Arahkan kursor ke ikon pada opsi paket sandi untuk melihat daftar paket sandi yang disertakan.

   • Mutual Authentication:

     • Issued by Alibaba Cloud: Dari daftar drop-down A default CA certificate is required., pilih sertifikat CA yang diterbitkan oleh Certificate Management Service (Original SSL Certificate) Alibaba Cloud.

     • Not Issued by Alibaba Cloud:

       • Pertama, unggah sertifikat CA yang ditandatangani sendiri ke Certificate Management Service (Original SSL Certificate). Untuk informasi selengkapnya, lihat Unggah repositori sertifikat (mengunggah sertifikat).

       • Dari daftar drop-down A default CA certificate is required., pilih sertifikat CA yang ditandatangani sendiri yang telah Anda unggah.

   • Enable OCSP Stapling: OCSP adalah singkatan dari Online Certificate Status Protocol. Protokol ini mengirimkan permintaan kueri ke otoritas sertifikat (CA) yang menerbitkan Sertifikat server untuk memeriksa apakah sertifikat tersebut telah dicabut. Selama Proses jabat tangan TLS dengan server, client harus memperoleh sertifikat dan respons OCSP yang sesuai.

     Penting

     Respons OCSP ditandatangani secara digital oleh CA dan tidak dapat dipalsukan. Oleh karena itu, mengaktifkan fitur ini tidak menimbulkan risiko keamanan tambahan.

     • Nonaktif (default): Client memulai kueri OCSP ke CA secara mandiri selama permintaan jabat tangan TLS untuk memverifikasi apakah sertifikat telah dicabut. Proses ini memblokir koneksi dan dapat menyebabkan keterlambatan pemuatan halaman saat kondisi jaringan buruk.

     • Aktif: Anti-DDoS Proxy melakukan kueri OCSP dan menyimpan hasilnya dalam cache selama 3.600 detik. Ketika client memulai permintaan jabat tangan TLS ke server, Anti-DDoS Proxy mengirimkan respons OCSP yang disimpan dalam cache kepada client bersama dengan rantai sertifikat. Hal ini menghindari pemblokiran yang disebabkan oleh kueri sisi client dan meningkatkan performa HTTPS.

   • SM Certificate: Hanya instans Anti-DDoS Proxy (Tiongkok Daratan) yang mendukung pengunggahan Sertifikat SSL berbasis SM. Hanya algoritma SM2 yang didukung.

     • Allow Access Only from SM Certificate-based Clients: Nonaktif secara default.

       • Aktif: Hanya memproses permintaan dari client yang telah menginstal Sertifikat SM.

         Catatan

         Setelah mengaktifkan fitur ini, pengaturan paket sandi TLS, Otentikasi timbal balik, dan stapling Online Certificate Status Protocol (OCSP) untuk Sertifikat SSL standar internasional tidak akan berlaku.

       • Nonaktif: Memproses permintaan dari client yang telah menginstal Sertifikat SM maupun sertifikat standar internasional.

     • SM Certificate: Anda harus mengunggah sertifikat ke Layanan Manajemen Sertifikat sebelum dapat memilihnya di sini.

     • SM Cipher Suites for HTTPS Support: Paket sandi berikut diaktifkan secara default dan tidak dapat diubah.

       • ECC-SM2-SM4-CBC-SM3

       • ECC-SM2-SM4-GCM-SM3

       • ECDHE-SM2-SM4-CBC-SM3

       • ECDHE-SM2-SM4-GCM-SM3

   Pengaturan advanced

   • Enable HTTPS Redirection: Pengaturan ini berlaku ketika website mendukung HTTP dan HTTPS. Setelah diaktifkan, semua permintaan HTTP akan dipaksa dikonversi menjadi permintaan HTTPS dan dialihkan ke port 443 secara default.

     Penting

     • Anda hanya dapat mengaktifkan pengaturan ini jika protokol HTTP dan HTTPS keduanya dipilih, serta protokol Websocket tidak dipilih.

     • Jika mengakses website melalui port HTTP non-standar (selain 80) dan mengaktifkan pengalihan HTTPS paksa, permintaan akses akan dialihkan ke port HTTPS 443 secara default.

   • HTTP/2 Listener: Jika sakelar ini diaktifkan, client yang menggunakan HTTP/2.0 dapat mengakses Anti-DDoS Proxy. Namun, Anti-DDoS Proxy tetap menggunakan HTTP/1.1 untuk mengambil konten dari server origin. Spesifikasi HTTP/2.0 adalah sebagai berikut:

     • Spesifikasi dasar:

       • Timeout idle setelah koneksi ditutup (http2_idle_timeout): 120 detik.

       • Jumlah maksimum permintaan per koneksi (http2_max_requests): 1.000.

       • Jumlah maksimum stream konkuren per koneksi (http2_max_concurrent_streams): 4.

       • Ukuran maksimum seluruh daftar header permintaan setelah dekompresi HPACK (http2_max_header_size): 256 KB.

       • Ukuran maksimum bidang header permintaan yang dikompresi HPACK (http2_max_field_size): 64 KB.

     • Spesifikasi yang dapat dikonfigurasi: Mendukung Upper Limit for HTTP/2 Streams, yaitu jumlah maksimum stream konkuren yang diizinkan antara client dan Anti-DDoS Proxy.

   • Set Forward Connection Timeout: Periode timeout idle dari koneksi TCP persisten yang terbentuk antara client dan Anti-DDoS Proxy. Ini adalah waktu tunggu maksimum di antara dua permintaan client.

     Catatan

     Jika tidak ada permintaan baru yang masuk dalam periode yang ditentukan, Anti-DDoS Proxy akan menutup koneksi untuk melepaskan resource.

5. Konfigurasikan Forwarding Settings, lalu klik Next.

   Pengaturan kembali ke asal

   • Back-to-origin Scheduling Algorithm: Jika mengonfigurasi beberapa Alamat IP Asal atau Nama Domain Asal, Anda dapat mengubah algoritma penyeimbangan beban kembali ke asal atau menetapkan bobot untuk server yang berbeda guna menentukan bagaimana traffic didistribusikan di antara server origin.

     Solusi	Skenario	Cara kerja
     Round-robin (default)	Beberapa server origin yang memerlukan beban seimbang.	Semua permintaan didistribusikan ke semua alamat server secara bergiliran. Secara default, semua alamat server memiliki Bobot yang sama. Anda dapat mengubah Bobot server. Bobot yang lebih besar menunjukkan probabilitas penerimaan permintaan yang lebih tinggi.
     IP hash	Layanan yang memerlukan konsistensi sesi pengguna. Dalam kasus ekstrem, beban mungkin menjadi tidak seimbang.	Permintaan dari alamat IP client yang sama selalu diarahkan ke server origin yang sama untuk memastikan konsistensi sesi. Anda dapat menetapkan Bobot untuk server sambil menggunakan IP hash untuk mendistribusikan traffic berdasarkan kapasitas pemrosesan server dan memprioritaskan server berperforma lebih tinggi.
     Least time	Layanan yang sangat sensitif terhadap kecepatan akses dan latensi respons, seperti game dan transaksi online.	Menggunakan resolusi DNS cerdas dan algoritma kembali ke asal Waktu paling singkat untuk memastikan latensi terpendek di seluruh jalur dari node perlindungan ke server origin.

   • Retry Back-to-origin Requests: Jumlah probe Pemeriksaan kesehatan yang digunakan untuk memeriksa ketersediaan server origin guna pengalihan nama domain. Nilai defaultnya adalah 3. Mekanisme coba lagi kembali ke asal bekerja sebagai berikut:

     1. Percobaan kembali ke asal hanya dipicu ketika service traffic mengakses node Anti-DDoS Proxy. Node akan mencoba kembali permintaan kembali ke asal saat mendeteksi bahwa server origin dari nama domain tidak tersedia.

     2. Jika server origin masih tidak dapat dijangkau setelah jumlah percobaan maksimum tercapai, server tersebut memasuki status senyap. Selama status ini, tidak ada traffic yang diteruskan ke server origin dan tidak ada probe yang dikirim.

     3. Setelah status senyap berakhir, percobaan kembali ke asal dipicu kembali berdasarkan service traffic. Jika percobaan berhasil, server origin akan diaktifkan kembali.

   • Traffic Marking:

     • Request Header Forwarding Configuration: Anti-DDoS Proxy mendukung pengalihan header permintaan. Anda dapat menambahkan atau mengubah Header permintaan HTTP saat meneruskan permintaan ke server origin. Hal ini membantu mengidentifikasi dan menandai traffic yang melewati Anti-DDoS Proxy.

       • Insert X-Client-IP to Get Originating IP Address: Meneruskan alamat IP asli client.

       • Insert X-True-IP to Forward Client IP: Meneruskan alamat IP yang digunakan client untuk membangun koneksi.

       • Insert Web-Server-Type to Get Service Type: Biasanya ditambahkan oleh proxy pertama. Memberi tahu server backend tentang server web antarmuka depan atau proxy mana yang menangani permintaan tersebut.

       • Insert WL-Proxy-Client-IP to Get Connection IP: Fungsi yang sama dengan X-Client-IP. Merupakan header khusus untuk Oracle WebLogic Server.

       • X-Forwarded-Proto (Listener Protocol): Protokol yang digunakan antara client dan proxy pertama.

     • Marka lalu lintas

       • Penanda default

         Catatan

         • JA3 Fingerprint, JA4 Fingerprint, Client TLS Fingerprint, dan HTTP/2 Fingerprint memerlukan bantuan manajer akun untuk dikonfigurasi.

         • Jika layanan menggunakan bidang kustom alih-alih penanda default, lihat Custom Header di bawah ini. Setelah dikonfigurasi, server origin akan mengurai bidang ini dari permintaan yang diteruskan oleh Anti-DDoS Proxy. Untuk contoh penguraian, lihat Mendapatkan alamat IP sumber sebenarnya setelah mengonfigurasi Anti-DDoS Proxy.

         • Originating Port: Nama bidang header untuk port asal client dalam Header HTTP. Biasanya dicatat dalam bidang X-Forwarded-ClientSrcPort.

         • Originating IP Address: Nama bidang header untuk alamat IP asal client dalam Header HTTP. Biasanya dicatat dalam bidang X-Forwarded-For.

         • JA3 Fingerprint: Nama bidang Header HTTP yang berisi Hash MD5 dari Sidik jari JA3 client. Bidang defaultnya adalah ssl_client_ja3_fingerprinting_md5.

         • JA4 Fingerprint: Nama bidang Header HTTP yang berisi Hash MD5 dari Sidik Jari JA4 client. Bidang defaultnya adalah ssl_client_ja4_fingerprinting_md5.

         • Client TLS Fingerprint: Nama bidang Header HTTP yang berisi Hash MD5 dari Sidik jari TLS client. Bidang defaultnya adalah ssl_client_tls_fingerprinting_md5.

         • HTTP/2 Fingerprint: Nama bidang header untuk nilai Hash MD5 yang dihasilkan dari sidik jari HTTP/2.0 client dalam Header HTTP. Biasanya dicatat dalam bidang http2_client_fingerprint_md5.

       • Custom Header: Tambahkan Header HTTP kustom (termasuk nama bidang dan nilai) untuk menandai permintaan yang melewati Anti-DDoS Proxy. Ketika Anti-DDoS Proxy meneruskan traffic website, sistem akan menambahkan nilai bidang yang dikonfigurasi ke permintaan yang dikirim ke server origin. Hal ini membantu layanan backend menganalisis dan melacak traffic.

         • Batasan penamaan: Untuk menghindari penimpaan bidang header permintaan asli, jangan gunakan nama bidang cadangan atau umum berikut ini untuk Header Kustom:

           • Bidang default Anti-DDoS Proxy:

             • X-Forwarded-ClientSrcPort: Digunakan secara default untuk mendapatkan port client bagi akses mesin Lapisan 7.

             • X-Forwarded-ProxyPort: Digunakan secara default untuk mendapatkan port listener bagi akses mesin Lapisan 7.

             • X-Forwarded-For: Digunakan secara default untuk mendapatkan alamat IP client bagi akses mesin Lapisan 7.

             • ssl_client_ja3_fingerprinting_md5: Digunakan secara default untuk mengambil Hash MD5 dari Sidik jari JA3 client.

             • ssl_client_ja4_fingerprinting_md5: Digunakan secara default untuk mengambil Hash MD5 dari Sidik Jari JA4 client.

             • ssl_client_tls_fingerprinting_md5: Digunakan secara default untuk mengambil Hash MD5 dari Sidik jari TLS client.

             • http2_client_fingerprint_md5: Digunakan secara default untuk mendapatkan nilai Hash MD5 dari sidik jari HTTP/2.0 client.

           • Bidang HTTP standar: Seperti host, user-agent, connection, dan upgrade.

           • Bidang proxy umum: Seperti x-real-ip, x-true-ip, x-client-ip, web-server-type, wl-proxy-client-ip, eagleeye-rpcid, eagleeye-traceid, x-forwarded-cluster, dan x-forwarded-proto.

         • Batas jumlah: Anda dapat menambahkan hingga lima label Header Kustom.

         • Rekomendasi konfigurasi:

           • Gunakan penanda default terlebih dahulu.

           • Verifikasi konfigurasi bidang header di lingkungan staging sebelum menerapkannya ke lingkungan produksi.

           • Sebaiknya jaga agar nilai bidang tidak melebihi 100 karakter untuk menghindari dampak pada performa pengalihan.

   • CNAME Reuse: Pilih apakah akan mengaktifkan Penggunaan kembali CNAME. Setelah Penggunaan kembali CNAME diaktifkan, Anda dapat menambahkan beberapa nama domain yang dihosting di server yang sama ke Anti-DDoS Proxy dengan mengarahkan DNS record mereka ke alamat CNAME Anti-DDoS Proxy yang sama. Anda tidak perlu menambahkan konfigurasi website terpisah untuk setiap nama domain. Untuk informasi selengkapnya, lihat Penggunaan kembali CNAME.

     Penting

     Hanya Anti-DDoS Proxy (Luar Tiongkok Daratan) yang mendukung parameter ini.

   Pengaturan lainnya

   • Enable HTTP Redirection of Back-to-origin Requests: Jika website tidak mendukung permintaan kembali ke asal HTTPS, aktifkan pengaturan ini. Setelah diaktifkan, semua permintaan HTTPS akan diteruskan ke server origin melalui HTTP, semua permintaan Websockets akan diteruskan melalui Websocket, dan port kembali ke asal default adalah 80.

     Catatan

     Jika mengakses website melalui port HTTPS non-standar (selain 443) dan mengaktifkan permintaan kembali ke asal HTTP, permintaan akses akan dialihkan ke port HTTP 80 dari server origin secara default.

   • HTTP/2.0 Origin: Setelah mengaktifkan permintaan kembali ke asal HTTP/2.0, Anti-DDoS Proxy akan meneruskan permintaan ke server origin melalui HTTP/2.0.

     Peringatan

     • Untuk mengonfigurasi fitur ini, hubungi manajer akun Anda.

     • Jika server origin tidak mendukung HTTP/2.0, jangan konfigurasikan fitur ini. Jika tidak, website tidak dapat diakses.

   • Cookie Settings

     • Delivery Status: Diaktifkan secara default. Anti-DDoS Proxy menetapkan cookie pada client (seperti browser) untuk membedakan dan menghitung berbagai client atau untuk memperoleh informasi sidik jari client. Untuk detailnya, lihat Mengonfigurasi Perlindungan flood HTTP.

       Penting

       Jika aplikasi mengalami kegagalan login atau kehilangan session setelah ditambahkan ke Anti-DDoS Proxy, cobalah menonaktifkan sakelar ini. Perhatikan bahwa beberapa fitur Perlindungan flood HTTP tidak akan berlaku setelah dinonaktifkan.

     • Secure Attribute: Dinonaktifkan secara default. Jika pengaturan ini diaktifkan, cookie hanya akan dikirim melalui koneksi HTTPS dan tidak melalui koneksi HTTP. Hal ini membantu melindungi cookie agar tidak dicuri oleh penyerang.

       Catatan

       Jika layanan website hanya mendukung koneksi HTTPS, sebaiknya aktifkan pengaturan ini.

   • Configure New Connection Timeout Period: Waktu yang ditunggu Anti-DDoS Proxy untuk membangun koneksi ke server origin.

     Catatan

     Jika koneksi tidak terbangun dalam periode ini, upaya tersebut dianggap gagal.

   • Configure Read Connection Timeout Period: Waktu maksimum yang ditunggu Anti-DDoS Proxy agar server origin mengembalikan data respons setelah koneksi terbangun dan permintaan baca dikirim ke server origin.

   • Configure Write Connection Timeout Period: Waktu yang ditunggu Anti-DDoS Proxy setelah data dikirim dari Anti-DDoS Proxy dan sebelum server origin mulai memproses data tersebut.

     Catatan

     Jika Anti-DDoS Proxy gagal mengirim semua data ke server origin, atau server origin tidak mulai memproses data dalam periode ini, upaya tersebut dianggap gagal.

   • Back-to-origin Persistent Connections: Koneksi TCP antara server cache dan server origin tetap aktif selama periode tertentu alih-alih ditutup setelah setiap permintaan, yang mana hal ini membuang-buang resource. Aktifkan Back-to-origin Persistent Connections untuk mengurangi waktu dan resource yang dikonsumsi oleh pembentukan koneksi serta meningkatkan efisiensi dan kecepatan pemrosesan permintaan.

     • Requests Reusing Persistent Connections: Jumlah permintaan HTTP yang dapat dikirim melalui satu koneksi TCP yang dibangun Anti-DDoS Proxy ke server origin. Hal ini mengurangi latensi dan konsumsi resource yang disebabkan oleh seringnya pembentukan dan penutupan koneksi.

       Catatan

       Tetapkan nilai ini agar kurang dari atau sama dengan jumlah permintaan per koneksi persisten yang dikonfigurasi pada server origin backend, seperti instans WAF atau SLB. Hal ini mencegah ketidaktersediaan layanan yang disebabkan oleh penghentian koneksi.

     • Timeout Period of Idle Persistent Connections: Waktu maksimum koneksi TCP persisten yang dibangun oleh Anti-DDoS Proxy ke server origin tetap terbuka di Kolam koneksi Anti-DDoS Proxy setelah tidak ada data yang ditransfer. Jika tidak ada permintaan baru yang masuk selama periode ini, koneksi akan ditutup untuk melepaskan resource sistem.

       Catatan

       Tetapkan nilai ini agar kurang dari atau sama dengan periode timeout yang dikonfigurasi pada server origin backend, seperti instans WAF atau SLB. Hal ini mencegah ketidaktersediaan layanan yang disebabkan oleh penghentian koneksi.

Verifikasi dan tayangkan

Setelah menyelesaikan konfigurasi website, ikuti daftar periksa ini untuk memverifikasi konfigurasi dan menayangkannya. Hal ini membantu menghindari gangguan layanan.

• Operasi inti (wajib)

  1. Izinkan alamat IP kembali ke asal: Dalam kebijakan keamanan server origin (seperti firewall dan security group), izinkan Blok CIDR kembali ke asal dari Anti-DDoS Proxy dengan menambahkannya ke daftar izin. Hal ini mencegah traffic yang diteruskan Anti-DDoS Proxy ke server origin terblokir secara tidak sengaja. Untuk informasi selengkapnya, lihat Menambahkan alamat IP kembali ke asal ke daftar izin.

  2. Verifikasi konfigurasi secara lokal: Sebelum mengganti DNS record, ubah file hosts lokal untuk memverifikasi bahwa konfigurasi pengalihan Anti-DDoS Proxy berfungsi sebagaimana mestinya. Hal ini membantu menghindari gangguan layanan. Untuk informasi selengkapnya, lihat Memvalidasi konfigurasi pengalihan secara lokal.

  3. Ganti DNS record: Setelah verifikasi lokal berhasil, ubah DNS record dari nama domain website ke alamat CNAME yang disediakan oleh Anti-DDoS Proxy. Tindakan ini mengalihkan service traffic ke Anti-DDoS Proxy untuk perlindungan. Untuk informasi selengkapnya, lihat Mengarahkan nama domain ke Anti-DDoS Proxy.

• Operasi opsional

  • Ubah alamat IP asal: Jika server origin merupakan instance ECS Alibaba Cloud dan alamat IP asal tidak sengaja terekspos, sebaiknya ubah Alamat IP publik dari instance ECS tersebut. Hal ini mencegah penyerang melewati Anti-DDoS Proxy untuk menyerang server origin secara langsung. Untuk informasi selengkapnya, lihat Alamat IP publik statis.

  • Konfigurasikan kebijakan mitigasi DDoS: Selain kebijakan perlindungan default dari Anti-DDoS Proxy (Anti-DDoS Global Mitigation Policy, Intelligent Protection, dan Frequency Control), Anda dapat mengaktifkan lebih banyak fitur perlindungan pada tab Protection for Website Services sesuai kebutuhan. Untuk informasi selengkapnya, lihat Perlindungan DDoS layanan website.

    Penting

    Mengaktifkan kebijakan Perlindungan flood HTTP dapat menetapkan cookie pada client. Untuk detailnya, lihat Penyisipan cookie.

  • Konfigurasikan peringatan Cloud Monitor: Tetapkan aturan peringatan untuk metrik layanan umum Anti-DDoS Proxy, seperti traffic IP dan Koneksi, serta untuk Peristiwa serangan, seperti penyaringan blackhole dan Peristiwa pembersihan. Peringatan dikirimkan segera ketika terjadi anomali pada Anti-DDoS Proxy, yang membantu merespons peristiwa abnormal dengan cepat. Untuk informasi selengkapnya, lihat Peringatan Cloud Monitor.

  • Konfigurasikan layanan log lengkap: Aktifkan layanan log untuk mengumpulkan dan menyimpan Log akses website (180 hari secara default) untuk analisis bisnis dan memenuhi persyaratan Kepatuhan perlindungan terklasifikasi. Untuk informasi selengkapnya, lihat Tutorial.

Kuota dan batasan

• Satu nama domain website dapat dikaitkan dengan maksimal 8 instans Anti-DDoS Proxy.

• Di seluruh konfigurasi website di bawah satu instans Anti-DDoS Proxy, jumlah total port kustom (selain 80 dan 443) tidak boleh melebihi 10.

• Anda dapat menambahkan hingga 5 label Header Kustom.

Referensi

FAQ

• Mengapa error 502 atau 504 terjadi saat mengakses website setelah konfigurasi selesai?

  Hal ini biasanya disebabkan oleh kegagalan kembali ke asal. Lakukan pemecahan masalah dengan urutan berikut:

  1. Periksa firewall atau security group dari server origin: Verifikasi bahwa Blok CIDR kembali ke asal dari Anti-DDoS Proxy telah ditambahkan ke daftar izin.

  2. Periksa pengaturan "kembali ke asal HTTP": Jika server origin hanya mendukung HTTP (mendengarkan di port 80) tetapi Anda mengonfigurasi HTTPS di Anti-DDoS Proxy tanpa mengaktifkan "kembali ke asal HTTP", permintaan kembali ke asal akan gagal.

  3. Periksa status server origin: Verifikasi bahwa Alamat IP Asal yang dimasukkan benar dan server origin itu sendiri Berjalan sebagaimana mestinya.

• Mengapa browser melaporkan error sertifikat setelah HTTPS diaktifkan?

  Periksa item berikut:

  1. Sertifikat tidak cocok dengan nama domain: Pastikan sertifikat mencakup nama domain yang ditambahkan, termasuk www dan domain root. Misalnya, sertifikat yang diterbitkan untuk www.example.com tidak dapat digunakan untuk example.com kecuali jika itu adalah Sertifikat multi-domain atau wildcard.

  2. Rantai sertifikat tidak lengkap: Saat mengunggah sertifikat, pastikan menggabungkan dan mengunggah rantai sertifikat lengkap (Sertifikat server + sertifikat CA perantara).

  3. Sertifikat telah kedaluwarsa: Periksa apakah sertifikat yang diunggah masih dalam periode validitasnya.

• Bagaimana cara memverifikasi bahwa traffic website melewati Anti-DDoS Proxy?

  1. Kueri DNS: Di command line, jalankan ping <nama domain Anda> atau dig <nama domain Anda> dan periksa apakah alamat yang teresolusi adalah alamat CNAME dari Anti-DDoS Proxy atau alamat IP yang ditujunya.

  2. Laporan konsol: Pada halaman laporan di konsol Anti-DDoS Proxy, periksa apakah data inbound traffic ditampilkan.

  3. Log server origin: Periksa Log akses web dari server origin untuk memverifikasi apakah alamat IP sumber permintaan termasuk dalam Blok CIDR kembali ke asal dari Anti-DDoS Proxy.

• Mengapa log aplikasi hanya mencatat alamat IP dari Anti-DDoS Proxy, dan bagaimana cara mendapatkan alamat IP pengunjung yang sebenarnya?

  Hal ini wajar. Sebagai proxy, Anti-DDoS Proxy mengakses server origin dari alamat IP kembali ke asalnya. Untuk mendapatkan alamat IP pengunjung yang sebenarnya, konfigurasikan server web (seperti Nginx atau Apache) untuk mengekstrak alamat IP dari header permintaan X-Forwarded-For. Untuk informasi selengkapnya tentang konfigurasi, lihat Mendapatkan alamat IP asal di balik Anti-DDoS Proxy.

• Dapatkah pengunjung tetap mengakses website yang ditambahkan ke Anti-DDoS Proxy setelah alamat IP dari server origin memasuki status blackhole?

  Untuk website yang sudah memiliki konfigurasi website pada halaman Website Config, traffic akses menggunakan pengalihan kembali ke asal berbasis proxy: traffic pertama kali mencapai Anti-DDoS Proxy, yang kemudian meneruskan traffic tersebut ke server origin. Cara kerjanya mirip dengan reverse proxy. Oleh karena itu, ketika alamat IP dari server origin memasuki status blackhole, traffic akses website tetap diteruskan ke server origin melalui Anti-DDoS Proxy, dan server origin merespons serta mengembalikan halaman. Hal ini memitigasi dampak penyaringan blackhole pada layanan sampai batas tertentu. Selain itu, setelah menambahkan website ke Anti-DDoS Proxy, Anda dapat mengajukan permohonan untuk nonaktifkan penyaringan blackhole.

• Bagaimana cara memverifikasi efektivitas perlindungan Anti-DDoS Proxy?

  Catatan: Penyaringan blackhole adalah mekanisme perlindungan yang dipicu secara otomatis oleh sistem ketika Serangan DDoS Volumetrik melebihi ambang batas mitigasi. Anda tidak dapat memicunya secara manual. Untuk memverifikasi efektivitas Pembersihan lalu lintas dan pengalihan dari Anti-DDoS Proxy, gunakan metode berikut:

  1. Tambahkan layanan uji (bukan layanan produksi) ke Anti-DDoS Proxy. Jangan gunakan layanan produksi untuk pengujian.

  2. Gunakan tool uji stres untuk mensimulasikan traffic DDoS dan amati perilaku Pembersihan lalu lintas serta pengalihan dari Anti-DDoS Proxy.

  3. Pada konsol Anti-DDoS Proxy, lihat data perlindungan dan hasil Pembersihan lalu lintas pada halaman Laporan.

  4. Periksa Log akses web dari server origin untuk memverifikasi bahwa alamat IP sumber permintaan termasuk dalam Blok CIDR kembali ke asal dari Anti-DDoS Proxy.