Anti-DDoS:Mengonfigurasikan kebijakan mitigasi DDoS

Pada bilah navigasi atas, pilih Wilayah Instans Anda.

• Anti-DDoS Proxy (Chinese Mainland): Pilih Wilayah Chinese Mainland.

• Anti-DDoS Proxy (Outside Chinese Mainland): Pilih Wilayah Outside Chinese Mainland.

Pada halaman General Policies, klik tab Protection for Non-website Services, lalu pilih Instans Anti-DDoS Proxy yang ingin dikonfigurasi di bagian atas halaman.

Dalam daftar aturan pengalihan di sebelah kiri, klik aturan pengalihan yang ingin dikonfigurasi, lalu konfigurasikan kebijakan mitigasi.

• False Source: Hanya berlaku untuk aturan pengalihan port TCP.

  Parameter	Deskripsi
  False Source	Setelah fitur ini diaktifkan, permintaan koneksi dari Alamat IP sumber yang dipalsukan akan difilter secara otomatis. Saat Anda menonaktifkan False Source, Empty Connection juga akan dinonaktifkan. Jika Anda menonaktifkan False Source, baik Empty Connection maupun Advanced Attack Mitigation tidak akan berlaku.
  Empty Connection	Setelah fitur ini diaktifkan, permintaan Koneksi Kosong akan difilter secara otomatis. Anda harus mengaktifkan False Source terlebih dahulu sebelum dapat mengaktifkan Empty Connection.

• Advanced Attack Mitigation: Hanya berlaku untuk aturan pengalihan port TCP. Setelah fitur ini diaktifkan, level perlindungan secara default adalah Normal. Untuk mengaktifkan Advanced Attack Mitigation, Anda harus mengaktifkan False Source terlebih dahulu.

  Level perlindungan	Efek perlindungan	Skenario umum
  Loose	Memblokir permintaan yang memiliki karakteristik serangan jelas. Sejumlah kecil serangan mungkin lolos, namun tingkat positif palsu sangat rendah.	Cocok untuk layanan yang melibatkan transmisi data satu arah dalam jumlah besar, seperti live streaming, media streaming, dan unduhan, atau layanan yang server origin-nya memiliki Bandwidth besar.
  Normal (disarankan)	Dalam sebagian besar kasus, level ini tidak memengaruhi layanan normal dan menyeimbangkan efek perlindungan dengan tingkat positif palsu. Pilih level ini untuk penggunaan umum.	Cocok untuk sebagian besar skenario bisnis.
  Strict	Melakukan verifikasi ketat terhadap serangan berbahaya namun dapat menyebabkan beberapa positif palsu.	Cocok untuk skenario di mana server origin memiliki Bandwidth terbatas atau efek perlindungannya kurang optimal.

• Session Feature Filtering: Menetapkan aturan kontrol akses yang akurat secara kustom berdasarkan paket session (muatan). Jika sebuah aturan berisi beberapa kondisi yang sesuai, aksi hanya dilakukan ketika semua kondisi terpenuhi.

  Catatan

  Aturan kontrol akses yang akurat dan cerdas yang dikeluarkan oleh Perlindungan Cerdas AI juga ditampilkan di sini.

  Parameter	Deskripsi
  Rule Name	Nama kustom untuk aturan.
  Match Conditions	Match Conditions: format paket session (muatan). Anda dapat memilih String atau Hexadecimal. Match Range: posisi awal dan akhir muatan yang akan dicocokkan. Nilai valid untuk posisi awal dan posisi akhir: 0 hingga 1.499. Satuan: byte. Posisi awal harus kurang dari atau sama dengan posisi akhir. Logical Operator: Nilai valid: Include dan Not Include. Field Value: Match Conditions diatur ke String. Dalam hal ini, panjang konten pencocokan tidak boleh melebihi 1.500, dan panjang konten pencocokan harus kurang dari atau sama dengan (posisi akhir - posisi awal + 1). Match Conditions diatur ke Hexadecimal. Dalam hal ini, konten pencocokan harus terdiri dari karakter heksadesimal, panjangnya tidak boleh melebihi 3.000, dan panjangnya harus berupa angka genap. Panjang konten pencocokan dibagi 2 harus kurang dari atau sama dengan (posisi akhir - posisi awal + 1).
  Action	Monitor: Jika permintaan sesuai dengan aturan observasi, permintaan akses akan diizinkan. Block: Jika permintaan sesuai dengan aturan blokir, permintaan akses akan ditolak. Block and Add to Blacklist: Jika permintaan sesuai dengan aturan blokir, permintaan akses akan ditolak dan Alamat IP sumber akan ditambahkan ke blacklist. Durasi blacklist dapat diatur antara 300 hingga 600 detik.

• Whitelist: Anda dapat menambahkan hingga 2.000 Alamat IP atau Blok CIDR secara manual ke setiap daftar putih.

  • Instans Anti-DDoS Proxy IPv4 hanya mendukung Alamat IP atau Blok CIDR dalam format IPv4. Instans Anti-DDoS Proxy IPv6 hanya mendukung Alamat IP atau Blok CIDR dalam format IPv6.

  • Blok CIDR IPv4 mendukung /8 hingga /32. Blok CIDR IPv6 mendukung /32 hingga /128.

  • Alamat IPv4 tidak boleh diatur ke 0.0.0.0 atau 255.255.255.255. Alamat IPv6 tidak boleh diatur ke :: atau ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff.

• Rate Limit for Source:

  • Deskripsi parameter:

    Parameter	Deskripsi
    New Connections Limit for Source	Membatasi jumlah koneksi baru per detik dari satu Alamat IP sumber. Nilai valid: 1 hingga 50.000. Satuan: koneksi. Koneksi baru yang melebihi batas akan dibuang. Automatic: Sistem menghitung ambang batas laju koneksi baru per Alamat IP sumber secara dinamis dan otomatis. Anda tidak perlu mengatur ambang batas secara manual. Manual: Anda harus mengatur ambang batas laju koneksi baru per Alamat IP sumber secara manual. Catatan Karena perangkat perlindungan ditempatkan dalam kluster, pembatasan laju pada koneksi baru memiliki margin kesalahan.
    Concurrent Connections Limit for Source	Membatasi jumlah koneksi bersamaan dari satu Alamat IP sumber. Nilai valid: 1 hingga 50.000. Satuan: koneksi. Koneksi bersamaan yang melebihi batas akan dibuang.
    PPS Limit for Source	Membatasi jumlah paket yang diteruskan dari satu Alamat IP sumber. Nilai valid: 1 hingga 100.000. Satuan: paket/detik. Paket data yang melebihi batas akan dibuang.
    Bandwidth Limit for Source	Membatasi Bandwidth permintaan sumber dari satu Alamat IP sumber. Nilai valid: 1.024 hingga 268.435.456. Satuan: byte/detik.

  • Kebijakan blacklist:

    • Opsi If the number of new connections from a source exceeds the limit five times within 60 seconds, the source IP address is added to the blacklist. didukung. Jika Alamat IP sumber ditambahkan ke blacklist, semua permintaan koneksi dari Alamat IP tersebut akan dibuang.

    • Saat Anda mengaktifkan kebijakan blacklist, Anda harus mengatur Blacklist Validity Period. Nilai valid: 1 hingga 10.080. Satuan: menit. Nilai default: 30 menit. Setelah Alamat IP sumber ditambahkan ke blacklist, Alamat IP tersebut akan dilepaskan secara otomatis ketika periode validitas berakhir.

• Speed Limit for Destination: Aturan pengalihan port TCP dan aturan pengalihan port UDP memiliki pengaturan default yang berbeda.

  • Aturan pengalihan port TCP

    Parameter	Deskripsi
    New Connections Limit for Destination	Membatasi jumlah maksimum koneksi baru per detik pada Port Alamat IP Anti-DDoS Proxy. Koneksi baru yang melebihi batas akan dibuang. Nilai valid: 100 hingga 100.000. Satuan: koneksi. Fitur ini diaktifkan secara default, dan nilainya adalah 100.000. Fitur ini tidak dapat dinonaktifkan. Jika Anda menonaktifkan fitur ini, nilai akan dikembalikan ke nilai default yaitu 100.000. Catatan Karena perangkat perlindungan ditempatkan dalam kluster, pembatasan laju pada koneksi baru memiliki margin kesalahan.
    Concurrent Connections Limit for Destination	Membatasi jumlah maksimum koneksi bersamaan pada Port Alamat IP Anti-DDoS Proxy. Koneksi bersamaan yang melebihi batas akan dibuang. Nilai valid: 1.000 hingga 2.000.000. Satuan: koneksi. Fitur ini diaktifkan secara default, dan nilainya adalah 2.000.000. Fitur ini tidak dapat dinonaktifkan. Jika Anda menonaktifkan fitur ini, nilai akan dikembalikan ke nilai default yaitu 2.000.000.

  • Aturan pengalihan port UDP

    Parameter	Deskripsi
    New Connections Limit for Destination	Membatasi jumlah maksimum koneksi baru per detik pada Port Alamat IP Anti-DDoS Proxy. Koneksi baru yang melebihi batas akan dibuang. Fitur ini dinonaktifkan secara default. Nilai valid: 100 hingga 50.000. Satuan: koneksi. Catatan Karena perangkat perlindungan ditempatkan dalam kluster, pembatasan laju pada koneksi baru memiliki margin kesalahan.
    Concurrent Connections Limit for Destination	Membatasi jumlah maksimum koneksi bersamaan pada Port Alamat IP Anti-DDoS Proxy. Koneksi bersamaan yang melebihi batas akan dibuang. Nilai valid: 1.000 hingga 200.000. Satuan: koneksi. Fitur ini diaktifkan secara default, dan nilainya adalah 200.000. Fitur ini tidak dapat dinonaktifkan. Jika Anda menonaktifkan fitur ini, nilai akan dikembalikan ke nilai default yaitu 200.000.

• Packet Length Limit: Di bagian Packet Length Limit, klik Settings, lalu tetapkan panjang paket minimum dan maksimum muatan yang terkandung dalam paket yang diizinkan melewati Port Alamat IP Anti-DDoS Proxy. Nilai valid: 0 hingga 1.500. Satuan: byte. Kemudian, klik OK.

Masuk ke Konsol Anti-DDoS Proxy.

Pada bilah navigasi atas, pilih Wilayah Instans Anda.

• Anti-DDoS Proxy (Chinese Mainland): Pilih Wilayah Chinese Mainland.

• Anti-DDoS Proxy (Outside Chinese Mainland): Pilih Wilayah Outside Chinese Mainland.

Pada panel navigasi kiri, pilih Onboarding > Port Config.

Pada halaman Port Config, pilih Instans Anti-DDoS Proxy, lalu klik Batch Operations > Create Mitigation Policy di bawah daftar aturan.

Dalam kotak dialog Create Mitigation Policy, masukkan konten kebijakan mitigasi yang ingin ditambahkan dalam format yang diperlukan, lalu klik OK.