Anti-DDoS Proxy を CDN または DCDN と連携させることで、通常時はアクセラレーションノードを利用し、攻撃発生時には自動的に Anti-DDoS Proxy に切り替えてスクラビングを行うことができます。
機能概要
Alibaba Cloud は、アクセラレーションと DDoS 対策の両方を必要とするサービス向けに、2 つのソリューションを提供しています：
ソリューション 1： DCDN のエッジ DDoS 対策 (推奨)
ドメインを DCDN に追加し、DCDN コンソールでワンクリックでエッジ DDoS 対策を有効にします。Anti-DDoS Proxy の設定は不要です。保護設定。
説明エッジ DDoS 対策は DCDN のみがサポートしています。CDN でこの機能を使用するには、まずドメインを DCDN に移行してください。
ソリューション 2： Anti-DDoS Proxy と CDN または DCDN の連携
このトピックでは、このソリューションについて説明します。Anti-DDoS は攻撃トラフィックをスクラビングし、クリーンなトラフィックを直接オリジンサーバーに転送します。アクセラレーションサービスと Anti-DDoS Proxy の両方でドメインを設定し、トラフィックスケジューラで連携を設定します。
連携機能では、スクラビングされたトラフィックは直接オリジンサーバーに送られます。一方、エッジ DDoS 対策では、スクラビングされたトラフィックは DCDN に送られ、攻撃中もアクセラレーションが維持されます。
注意事項
帯域幅が 3 Gbit/s を超える、または QPS が 10,000 を超える場合は、この機能を使用する前にアカウントマネージャーに連絡して評価を依頼してください。
週に 3 回以上攻撃を受ける Web サイトの場合は、頻繁なトラフィックの切り替えによる中断を避けるため、Anti-DDoS Proxy を単独で使用してください。
連携機能は、IPv4 と IPv6 の両方の Anti-DDoS IP をサポートしています。
攻撃中にトラフィックが Anti-DDoS Proxy に切り替わる際、DNS TTL が有効化時間に影響する場合があります。
この機能を使用する前に、ご利用のドメインがアクセラレーションサービスで サンドボックス 状態になっていないことを確認してください。サンドボックス状態の場合は、DDoS 対策を設定する前にアカウントマネージャーに連絡して解除を依頼してください。
サポートされる Anti-DDoS インスタンスタイプ
Anti-DDoS Proxy (中国本土) の Professional プランまたは Advanced プラン、および Anti-DDoS Proxy (中国本土以外) の Insurance プランまたは Unlimited プラン。すべてのインスタンスで、拡張機能プランを使用する必要があります。
前提条件
ご利用のドメインで CDN または DCDN のアクセラレーションが有効になっていること。ドメイン名を CDN に追加する または ドメイン名を DCDN に追加する。
Anti-DDoS Proxy インスタンスを購入し、Web サイトをインスタンスに追加済みであること。詳細については、「Anti-DDoS Proxy インスタンスの購入」および「Web サイトの追加」をご参照ください。
Anti-DDoS Proxy インスタンスがトラフィックを正しく転送すること。「転送設定をローカルで確認する」をご参照ください。
操作手順
Anti-DDoS Proxy コンソールにログインします。
上部のナビゲーションバーで、インスタンスのリージョンを選択します。
Anti-DDoS Proxy (中国本土)： [中国本土] リージョンを選択します。
Anti-DDoS Proxy (中国本土以外)： [中国本土以外] リージョンを選択します。
左側のナビゲーションウィンドウで、 を選択し、CDN Interaction タブをクリックします。
説明初めて連携機能を使用する場合は、今すぐ許可 をクリックし、画面の指示に従って Anti-DDoS Proxy がアクセラレーションサービスにアクセスすることを承認します。
管理するドメインを見つけ、「操作」列で 操作 をクリックします。インタラクション追加 パネルで、構成を完了し、OK をクリックします。
パラメーター
説明
Anti-DDoS インスタンス
アクセラレーションサービスと連携する Anti-DDoS Proxy インスタンスを選択します。
説明CDN インタラクション機能を使用するには、このインスタンスの機能強化プランを購入する必要があります。 というメッセージが表示された場合は、指示に従ってインスタンスをスペックアップします。
Anti-DDoS インスタンスが選択されていません。 というメッセージが表示された場合は、まずドメインを Anti-DDoS Proxy インスタンスに追加します。Web サイトの追加。
クラウドサービス
関連付けられたリソースが自動的に選択されます。
ドメインがアクセラレーションサービスに追加されていない場合は、追加してから約 10 分待ってから連携を設定します。ドメイン名を CDN に追加する または ドメイン名を DCDN に追加する。
[アクセス QPS]
Anti-DDoS Proxy への切り替えをトリガーする最小 QPS しきい値を設定します。
トラフィックの切り替えの詳細については、「トラフィックの切り替え」をご参照ください。
説明しきい値は、過去のピーク QPS の 2〜3 倍以上に設定することを推奨します。最小推奨値は、トラフィックの少ない Web サイトであっても 500 です。
ローカルの hosts ファイルを変更して、トラフィックスケジューリングルールが機能することを検証します。これにより、一貫性のないオリジンリクエストポリシーによる互換性の問題を防ぎます。ローカルで転送設定を検証する。
たとえば、CDN が Anti-DDoS と連携し、オリジンが OSS バケットである場合： CDN はオリジンリクエストの HOST ヘッダーの変更を許可しますが、Anti-DDoS は許可しません。攻撃中にトラフィックが Anti-DDoS に切り替わると、OSS バケットがリクエストを拒否し、サービス障害を引き起こす可能性があります。
ドメインの DNS レコードを、トラフィックスケジューラによって生成された CNAME にポイントします。「CNAME レコードを変更してトラフィックスケジューラを使用する」をご参照ください。
説明CNAME は、アクセラレーションサービス、Anti-DDoS、トラフィックスケジューラの 3 つによって生成されます。DNS レコードは、トラフィックスケジューラの CNAME にポイントしてください。
トラフィックの切り替え
トラフィックは、アクセラレーションサービスと Anti-DDoS Proxy の間で自動または手動で切り替えられます。自動切り替えを推奨します。
自動切り替え
切り替えタイプ | 切り替え条件 |
アクセラレーションサービスから Anti-DDoS Proxy へ | いずれかの条件が満たされた場合にトリガーされます：
|
Anti-DDoS Proxy からアクセラレーションサービスへの切り戻し | すべての条件が満たされた場合にトリガーされます：
重要 切り戻しは 08:00 から 23:00 の間でのみ行われます。 |
手動切り替え
操作 | 説明 |
アクセラレーションサービスから Anti-DDoS Proxy へ | トラフィックスパイクが発生したが自動切り替えの条件が満たされない場合に、手動でトラフィックを Anti-DDoS に切り替えてスクラビングを行います。 重要
|
Anti-DDoS Proxy からアクセラレーションサービスへの切り戻し | 通常のトラフィックスパイクが原因でトラフィックが Anti-DDoS にルーティングされた場合に、手動でアクセラレーションサービスに切り戻します。 重要 切り戻す前に、攻撃が終了し、ドメインがサンドボックス状態でないことを確認してください。 |
関連操作
インタラクションルールの変更: CDN Interaction タブで、対象のドメインを見つけ、操作列の 操作 をクリックし、[Anti-DDoS Proxy インスタンス] または [アクセス QPS] を変更します。
インタラクションルールの削除： CDN Interaction タブで、対象のドメインを見つけ、操作列の 操作 をクリックします。
警告インタラクションルールを削除する前に、DNS レコードがトラフィックスケジューラの CNAME を指していないことを確認してください。そうしないと、Web サイトにアクセスできなくなります。