このトピックでは、Anti-DDoS Proxy インスタンスのバースト可能クリーン帯域幅の課金について説明します。
バースト可能クリーン帯域幅とは
バースト可能クリーン帯域幅は、Anti-DDoS Proxy インスタンスが DDoS 攻撃を防御できる最大能力を定義します。バースト可能クリーン帯域幅は、最低保証帯域幅よりも大きい値を設定する必要があります。バースト可能クリーン帯域幅が最低保証帯域幅と等しい場合、この機能はインスタンスに対して無効になり、従量課金の請求は発生しません。
最低保証帯域幅とバースト可能クリーン帯域幅の違い
最低保証帯域幅とバースト可能クリーン帯域幅は連携して、階層的な DDoS 防御を提供します。
最低保証帯域幅 (基本的な防御しきい値とも呼ばれます) は、Anti-DDoS Proxy インスタンスで常に有効なベースラインの防御能力です。最低保証帯域幅はサブスクリプション (前払い) 方式で課金され、個々の攻撃によって有効期限が切れたり、消費されたりすることはありません。ご利用のインスタンスは、サブスクリプション期間中、最低保証帯域幅まで継続的に防御を提供します。
バースト可能クリーン帯域幅は、最低保証帯域幅を超えるトラフィックのバーストを処理する拡張された防御上限です。バースト可能クリーン帯域幅は、1 日単位の従量課金 (後払い) 方式で課金されます。バースト可能保護機能は、攻撃トラフィックが最低保証帯域幅を超え、かつバースト可能クリーン帯域幅を超えない場合にのみトリガーされます。
攻撃トラフィックがバースト可能クリーン帯域幅を超えた場合、インスタンスは攻撃を防御できず、攻撃されたアセットのパブリック IP アドレスはブラックホール状態になります。この場合、バースト可能保護の料金は発生しません。
最低保証帯域幅は、一度きりの防御クォータではありません。サブスクリプション期間全体を通じて利用可能です。バースト可能クリーン帯域幅は、無制限の自動スケーリングではありません。これを超えるとインスタンスがブラックホール状態になる、厳格な上限を定義します。
サポートされるインスタンスタイプ
Anti-DDoS Proxy (中国本土): Professional edition
課金条件
バースト可能保護の料金は、保護対象のパブリック IP へのピークインバウンドトラフィックが最低保証帯域幅より大きく、かつバースト可能クリーン帯域幅以下の場合にのみ発生します。
ピークインバウンドトラフィックが最低保証帯域幅以下、またはバースト可能クリーン帯域幅より大きい場合、バースト可能保護機能はトリガーされず、料金は発生しません。
ピークインバウンドトラフィックがバースト可能クリーン帯域幅を超えた場合、インスタンスは攻撃を防御できません。その結果、攻撃されたアセットのパブリック IP はブラックホールにルーティングされます。詳細については、「Alibaba Cloud ブラックホールポリシー」をご参照ください。
料金の計算方法
1 日の料金を決定するには、まずピークインバウンドトラフィックと最低保証帯域幅の差を計算します。次に、以下の表で対応する料金帯を見つけます。
1 日に複数回バースト可能保護がトリガーされた場合でも、1 日の料金は、攻撃の回数に関係なく、その日に記録された最も高いピークインバウンドトラフィックに基づいて計算されます。
料金階層 | バースト料金 (単位: USD/日) |
(0 Gbps, 5 Gbps] | 120 |
(5 Gbps, 10 Gbps] | 180 |
(10 Gbps, 20 Gbps] | 330 |
(20 Gbps, 30 Gbps] | 540 |
(30 Gbps, 40 Gbps] | 730 |
(40 Gbps, 50 Gbps] | 960 |
(50 Gbps, 60 Gbps] | 1,170 |
(60 Gbps, 70 Gbps] | 1,380 |
(70 Gbps, 80 Gbps] | 1,590 |
(80 Gbps, 100 Gbps] | 1,770 |
(100 Gbps, 150 Gbps] | 2,190 |
(150 Gbps, 200 Gbps] | 3,240 |
(200 Gbps, 300 Gbps] | 4,200 |
(300 Gbps, 400 Gbps] | 6,000 |
(400 Gbps, 500 Gbps] | 7,510 |
(500 Gbps, 600 Gbps] | 9,010 |
(600 Gbps, 700 Gbps] | 10,510 |
(700 Gbps, 800 Gbps] | 12,010 |
(800 Gbps, 900 Gbps] | 13,510 |
(900 Gbps, 1000 Gbps] | 15,010 |
(1000 Gbps, 1100 Gbps] | 16,510 |
(1100 Gbps, 1200 Gbps] | 18,010 |
(1200 Gbps, 1300 Gbps] | 19,510 |
(1300 Gbps, 1400 Gbps] | 21,010 |
(1400 Gbps, 2000 Gbps] | 22,520 |
課金サイクル
この従量課金サービスは日次で課金されます。各日の請求書は、翌日の 08:00 から 09:00 (UTC+8) の間に生成されます。
課金例
最低保証帯域幅が 30 Gbps、バースト可能クリーン帯域幅が 100 Gbps の Anti-DDoS Proxy インスタンスがあると仮定します。ある日、このインスタンスを標的とした 4 回の DDoS 攻撃が発生し、それぞれのピークインバウンドトラフィックは 20 Gbps、80 Gbps、40 Gbps、120 Gbps でした。
コスト分析：
ピークインバウンドトラフィックが 20 Gbps の場合：これは 30 Gbps の最低保証帯域幅以下です。バースト可能保護はトリガーされないため、料金は発生しません。
ピークインバウンドトラフィックが 80 Gbps の場合：これは 30 Gbps の最低保証帯域幅より大きく、100 Gbps のバースト可能クリーン帯域幅以下です。バースト可能保護がトリガーされ、料金が発生します。
ピークインバウンドトラフィックが 40 Gbps の場合：これは 30 Gbps の最低保証帯域幅より大きく、100 Gbps のバースト可能クリーン帯域幅以下です。バースト可能保護がトリガーされ、料金が発生します。
ピークインバウンドトラフィックが 120 Gbps の場合：これは 100 Gbps のバースト可能クリーン帯域幅を超えています。インスタンスは攻撃を防御できず、パブリック IP はブラックホールにルーティングされます。バースト可能保護はトリガーされないため、料金は発生しません。
計算: 1 日あたりの費用は、バースト可能な保護をトリガーした最高ピークインバウンドトラフィック (80 Gbps) に基づきます。課金対象帯域幅は、ピークトラフィックから最低保証帯域幅を引いた値 (80 Gbps - 30 Gbps = 50 Gbps) です。これは、(40 Gbps, 50 Gbps] の料金帯に該当します。したがって、この日の合計費用は USD 960 です。
バースト可能クリーン帯域幅の有効化
購入時
Anti-DDoS Proxy (中国本土) 購入ページに移動します。 インスタンスを購入する際に、バースト可能クリーン帯域幅を設定します。 バースト可能クリーン帯域幅が最低保証帯域幅より大きいことを確認してください。
最低保証帯域幅はサブスクリプション方式で課金されます。バースト可能クリーン帯域幅は最大の保護能力です。バースト可能クリーン帯域幅が最低保証帯域幅と同じ場合、従量課金料金は発生しません。大きい場合は、最低保証帯域幅を超えた使用量に対して従量課金で請求されます。
購入後
Anti-DDoS Proxy コンソールの [インスタンス] ページにログインします。
インスタンス ページで、保護帯域幅 : セクションで、バースト可能クリーン帯域幅を変更します。バースト可能クリーン帯域幅が最低保証帯域幅よりも大きいことを確認してください。
よくある質問
現在の攻撃トラフィックに基づいて DDoS 防御プランを選択し、バースト可能保護の要件を評価するにはどうすればよいですか？
DDoS 防御プランを評価し、バースト可能保護を有効にするかどうかを判断する際には、次のアプローチを推奨します。
最低保証帯域幅プランから始める。通常の攻撃トラフィック量をカバーする最低保証帯域幅を持つ Anti-DDoS Proxy インスタンスを購入します。最低保証帯域幅は、サブスクリプションベースで継続的な防御を提供します。
トラフィックスパイクに対応するためにバースト可能クリーン帯域幅を有効にする。ビジネスで最低保証帯域幅を超える突然の攻撃急増が発生する可能性がある場合は、バースト可能クリーン帯域幅を有効にして防御上限を拡張します。バースト可能保護は、最低保証帯域幅を超えるピークトラフィックに基づいて追加の従量課金料金が発生するため、潜在的なコストを予算と照らし合わせて評価してください。
攻撃が頻繁にバースト可能クリーン帯域幅を超える場合はアップグレードする。攻撃トラフィックが頻繁にバースト可能クリーン帯域幅を超え、ブラックホール状態をトリガーする場合は、より高い最低保証帯域幅の階層にアップグレードするか、バースト可能クリーン帯域幅を増やしてサービス可用性を維持することを検討してください。
帯域幅を調整し、不審な IP アドレスを制限した後も大量のトラフィックが続く場合はどうすればよいですか？
帯域幅設定を調整し、不審な IP アドレスを制限した後も過剰なトラフィックが観測される場合は、次の手順に従ってください。
トラフィックが正当なビジネストラフィックであるかを確認する。トラフィックスパイクが攻撃ではなく、ビジネスの正当なトラフィック増加によって引き起こされているかどうかを確認します。Anti-DDoS Proxy コンソールのモニタリングページでトラフィックパターンを分析して、通常のトラフィック増加と攻撃トラフィックを区別できます。
正当なトラフィック増加のために帯域幅仕様をアップグレードする。トラフィックが正当なビジネストラフィックであることが確認された場合は、最低保証帯域幅またはバースト可能クリーン帯域幅をアップグレードして、増加したトラフィック量に対応します。
アプリケーションレイヤー攻撃には Web Application Firewall (WAF) を使用する。トラフィックが HTTP フラッド攻撃などのアプリケーションレイヤー (L7) 攻撃によって引き起こされている疑いがある場合は、テストと防御のために Web Application Firewall (WAF) の従量課金版の使用を検討してください。WAF は、アプリケーション層で悪意のあるリクエストを特定してブロックでき、これは Anti-DDoS Proxy が提供するネットワーク層およびトランスポート層 (L3/L4) の防御を補完します。