Anti-DDoS:クラウドサービス連携

クラウドサービス連携ルールの仕組み

クラウドサービス連携ソリューションは、DNS ベースのインテリジェントな名前解決を使用してトラフィックを動的にスケジューリングし、クラウドリソースのセキュリティステータスに基づいてトラフィックパスを調整します。

• 通常状態 (攻撃なし)：サービストラフィックは、トラフィックスクラビングのために Anti-DDoS Proxy を通過しません。トラフィックはクライアントからクラウドリソースに直接向かいます。

  • トラフィックパス：クライアント → クラウドリソース (直接アクセス)。

  • 仕組み：クラウドリソースが DDoS 攻撃を受けていない場合、サービストラフィックは Anti-DDoS Proxy のスクラビングノードをバイパスします。トラフィックはクライアントからクラウドリソースの IP アドレスに直接名前解決され、最小限のレイテンシーと最適なパフォーマンスが保証されます。

• 攻撃状態 (トラフィックスクラビングのトリガー)：トラフィックは自動的に Anti-DDoS Proxy に切り替わり、トラフィックスクラビングが行われ、通常のサービストラフィックのみがクラウドリソースに転送されます。

  説明

  トラフィックを手動で Anti-DDoS Proxy に切り替えることもできます。詳細については、「トラフィック切り替え」をご参照ください。

  • トリガー条件：監視システムが、クラウドリソースが DDoS 攻撃を受けており、すべてのクラウドリソースの IP アドレスがブラックホールフィルタリングに入ったことを検出します。

  • トラフィックパス：クライアント → Anti-DDoS Proxy (トラフィックスクラビング) → クラウドリソース。

  • 仕組み：

    1. システムは DNS レコードを自動的に更新し、ドメイン名を Anti-DDoS Proxy の CNAME アドレスに向けます。

    2. サービストラフィックは、悪意のあるトラフィックのスクラビングのために Anti-DDoS Proxy クラスターに転送されます。

    3. 通常のサービストラフィックのみがクラウドリソースに転送され、サービスの継続性が確保されます。

• 復旧状態 (自動スイッチバック)

  • トリガー条件：DDoS 攻撃が終了し、トラフィックが一定期間安定します。

  • 仕組み：

    1. 攻撃が停止した後、Anti-DDoS Proxy はスイッチバックの待機期間 (設定可能なフォールバック時間) に入り、攻撃が再発するかどうかを確認します。

    2. 待機期間が終了すると、システムは DNS レコードをクラウドリソースの IP アドレスに自動的に復元します。

    3. サービストラフィックは再びクラウドリソースに直接接続し、Anti-DDoS Proxy のスクラビングモードを終了します。

クラウドサービス連携ルールの設定

1. Anti-DDoS Proコンソールにログインします。
2. 上部のナビゲーションバーで、インスタンスが存在するリージョンを選択します。
   • 中国本土: このリージョンを選択すると、Anti-DDoS Proコンソールが表示されます。
   • 中国本土以外: このリージョンを選択すると、Anti-DDoS Premiumコンソールが表示されます。
   リージョンを切り替えて、Anti-DDoS ProまたはAnti-DDoS Premiumインスタンスを設定および管理できます。 Anti-DDoS ProまたはAnti-DDoS Premiumを使用する場合は、必ず必要なリージョンを選択してください。
3. 左側のナビゲーションウィンドウで、[プロビジョニング] > [Sec-Traffic Manager] を選択します。

4. [クラウドサービスインタラクション] シナリオの 全般 タブで、ルールの追加 をクリックします。

5. ルールの追加 パネルの クラウドサービスインタラクション タブで、次のパラメーターを設定し、次へ をクリックします。

   パラメーター	説明
   連携シナリオ	[クラウドサービスインタラクション] を選択します。
   [名前]	ルール名には、文字、数字、アンダースコア (_) を使用でき、長さは 128 文字を超えることはできません。
   [Anti-DDoS Pro or Anti-DDoS Premium Instance]	ルールに関連付ける Anti-DDoS Proxy インスタンスを選択します。
   [クラウドサービス]	ルールに関連付ける[IP Address of Cloud Resource]を入力します。ECS インスタンスの IP アドレス、SLB インスタンスの IP アドレス、WAF インスタンスの IP アドレス、または EIP を使用できます。 + クラウドリソース IP の追加 をクリックして、複数のクラウドリソースを追加します。最大 20 個の IP アドレスを追加できます。 説明 複数のクラウドリソース IP アドレスを追加した場合、それらは単一の Anti-DDoS Proxy IP アドレスに関連付けられます。1 つのクラウドリソース IP アドレスで DDoS 攻撃が発生した場合、他のクラウドリソース IP アドレスが最初に使用されます。トラフィックは、利用可能なクラウドリソース IP アドレスがない場合にのみ、保護のために Anti-DDoS Proxy に切り替わります。 複数のクラウドリソースでトラフィックを共有し、各リソースが攻撃されたときに独立して Anti-DDoS Proxy に切り替わるようにしたい場合は、「マルチパスフェイルオーバー」をご参照ください。
   フォールバック時間	サービストラフィックが保護のために Anti-DDoS Proxy に切り替えられた後、スイッチバックプロセス (トラフィックをクラウドリソースの IP アドレスに戻す) がトリガーされるまでの待機時間です。攻撃が終了し、この待機時間が経過すると、サービストラフィックは自動的にクラウドリソースの IP アドレスに切り替わります。 有効値：30〜120 分。推奨値は 60 分です。

6. DNS 設定の更新：トラフィックマネージャーの連携ルールを有効にするには、ページ上のプロンプトに従って DNS 設定の変更を完了します。

   1. ローカル検証： (強く推奨) パブリック DNS レコードを更新する前に、ローカルコンピューターの hosts ファイルを変更して名前解決の変更をシミュレートし、トラフィックの再ルーティングルールを検証します。これにより、オリジンリクエストポリシーの不一致によって引き起こされる互換性の問題を回避できます。以下は典型的なリスクケースです：

      説明

      トラフィック再ルーティングルールの検証方法の詳細については、「転送設定のローカル検証」をご参照ください。

      • シナリオ： CDN + Anti-DDoS Proxy + OSS 連携

      • 潜在的な競合：

        • CDN：オリジンリクエスト HOST のカスタマイズをサポートし、OSS バケットが正しく識別されるようにします。

        • Anti-DDoS Proxy：オリジンリクエスト HOST の変更をサポートしておらず、デフォルトでリクエスト内の Host ヘッダーを使用します。

      • 症状：攻撃によって Anti-DDoS Proxy への自動切り替えがトリガーされると、Anti-DDoS Proxy が転送する Host ヘッダーが OSS が期待するものと一致しません。OSS は通常のトラフィックを識別できず、サービスアクセス障害が発生します。

   2. DNS レコードの更新： ローカル検証を完了し、すべてが期待どおりに機能することを確認したら、実際の DNS 変更を実行します。ドメイン名の DNS レコードを更新して、トラフィックマネージャーが提供する CNAME アドレスを指すようにします。お使いのドメイン名レジストラの手順に従ってください：

      ドメイン名レジストラ	手順
      Alibaba Cloud	Alibaba Cloud DNS コンソールにログインし、レコードを更新します。
      サードパーティプラットフォーム	ドメイン名が登録されているサードパーティレジストラの管理プラットフォームにログインし、ドメイン名の DNS レコードを更新します。

   3. 結果の検証：DNS レコードを更新した後、ブラウザーを使用して Web サイトにアクセスできるかどうかをテストします。

      説明

      • 更新を完了した後、グローバルな DNS の伝播時間 (TTL) のため、ルールが完全に有効になるまでに時間がかかる場合があります。詳細については、「トラフィックスケジューラ用の CNAME レコードの変更」をご参照ください。

      • Web サイトが期待どおりに機能しない場合は、まず問題をトラブルシューティングします。詳細については、「Anti-DDoS Proxy で保護されているサービスのレスポンスの遅延、高レイテンシー、アクセス障害のトラブルシューティング」をご参照ください。

トラフィック切り替え

さまざまなサービスシナリオの柔軟性要件を満たすために、[クラウドサービスインタラクション] ルールは 2 つの切り替えモードをサポートしています：

その他の操作

汎用連携ルールを追加した後、ルールリストで追加されたルールに対して以下の操作を実行できます。