すべてのプロダクト
Search

このプロダクト

    Anti-DDoS:ウェブサイト設定の追加

    ドキュメントセンター

    Anti-DDoS:ウェブサイト設定の追加

    最終更新日:Apr 01, 2026

    ウェブサイトのトラフィックを Anti-DDoS Proxy 経由でルーティングすることで、DDoS 攻撃から保護します。ドメイン名を追加した後、その DNS レコードを Anti-DDoS Proxy が生成する CNAME に向けることで、保護が有効になります。

    前提条件

    開始する前に、以下をご確認ください。

    • Anti-DDoS Proxy (中国本土) または Anti-DDoS Proxy (中国本土以外) のインスタンス。 詳細については、「Anti-DDoS Proxy インスタンスを購入する」をご参照ください。

    • ドメイン名を Anti-DDoS Proxy (中国本土) インスタンスに追加する場合、そのドメイン名の ICP 登録。Anti-DDoS Proxy (中国本土以外) のインスタンスでは ICP 登録は不要です。

    ウェブサイトの追加

    1. Anti-DDoS Proxy コンソールの [Web サイト設定] ページにログインします。

    2. 上部のナビゲーションバーで、ご利用のインスタンスに一致するリージョンを選択します。

      • Anti-DDoS Proxy (中国本土): [中国本土] を選択します。

      • Anti-DDoS Proxy (中国本土以外): [中国本土以外].

    3. [Web サイトを追加] をクリックします。

      説明 [バッチインポート]一度に複数のウェブサイト設定を追加するには、ページ下部の をクリックします。設定は XML ファイル形式である必要があります。ファイル形式については、「関連操作」をご参照ください。

    4. 「Web サイト設定」の設定を入力し、次に [次へ] をクリックします。

    5. [転送設定] を入力し、次に [次へ] をクリックします。

    Web サイト設定

    基本設定

    機能プラン

    Anti-DDoS Proxy インスタンスのプランとして、[Standard] または [Enhanced] を選択します。Function plan description アイコンにカーソルを合わせると、機能の比較ができます。詳細については、「Standard プランと Enhanced プランの違い」をご参照ください。

    インスタンス

    このドメインに関連付ける Anti-DDoS Proxy インスタンスを選択します。

    重要

    1 つのドメイン名は最大 8 つの Anti-DDoS Proxy インスタンスに関連付けることができます。すべてのインスタンスで同じプランを使用する必要があります。

    Web サイト

    保護するドメイン名を入力します。使用可能なフォーマットは以下の通りです。

    • 完全一致ドメイン：www.example.com

    • ワイルドカードドメイン：*.example.com

    動作に関する注意点：

    • ワイルドカードドメイン (例：*.aliyundoc.com) と完全一致ドメイン (例：www.aliyundoc.com) の両方が設定されている場合、Anti-DDoS Proxy は完全一致ドメインの転送ルールと軽減ポリシーを適用します。

    • ルートドメインは、ルートドメイン自体のみを保護します。第 2 レベルドメインやその他のサブドメインは自動的には保護されません。第 2 レベルドメインを保護するには、明示的に入力するか、ワイルドカードドメインを使用してください。

    • ドメイン名のみ受け付けます。IP アドレスは使用できません。

    プロトコルタイプ

    ご利用のウェブサイトがサポートするプロトコルを選択します。

    • HTTP / HTTPS：標準的な Web プロトコルです。

      説明 HTTPS の設定については、後述の「HTTPS 設定」をご参照ください。

    • WebSocket / WebSockets：リアルタイム通信プロトコルです。いずれかを選択すると、HTTP または HTTPS が自動的に有効になります。

    サーバーアドレス

    Anti-DDoS Proxy が back-to-origin に使用するバックエンドのオリジンサーバーアドレスを設定します。

    • オリジン IP アドレス：1 つ以上のパブリック IP アドレスをカンマ区切りで入力します。

      オリジンサーバーの場所入力内容
      Alibaba Cloud ECS インスタンスECS インスタンスのパブリック IP
      SLB インスタンス (Alibaba Cloud) の背後SLB インスタンスのパブリック IP
      Alibaba Cloud 以外のクラウドping <ドメイン名> を実行してパブリック IP を見つけ、それを入力します

    • オリジンドメイン名：オリジンサーバーと Anti-DDoS Proxy の間に別のプロキシサービス (例：WAF や OSS バケットのデフォルトエンドポイント) が存在する場合に使用します。

    サーバーポート

    オリジンサーバーがリッスンするポートを設定します。

    プロトコルデフォルトポートカスタムポート範囲
    HTTP / WebSocket8080–65535
    HTTPS / WebSockets44380–65535

    カスタムポートの場合、複数の値をカンマで区切ります。インスタンス配下のすべてのウェブサイト設定におけるカスタムポート (80 と 443 を除く) の合計数は 10 を超えることはできません。

    HTTPS 設定

    プロトコルとして HTTPS を選択した場合は、このセクションを完了してください。

    証明書の設定

    状況に応じて SSL 証明書の提供方法を選択します。

    • すでに証明書ファイルをお持ちの場合: [アップロード] を選択します。 [証明書名] を入力し、証明書ファイル に証明書の内容を貼り付け、秘密鍵 に秘密鍵を貼り付けます。

      説明 - PEM、CER、CRT ファイルは、テキストエディターで開いて直接コピーできます。 PFX または P7B ファイルの場合は、まず PEM 形式に変換してください。 「証明書形式変換」または「SSL 証明書を PEM 形式に変換する方法」をご参照ください。 - 証明書に証明書チェーンが含まれている場合は、すべての証明書を連結し、結合した内容を[証明書ファイル]に貼り付けてください。

    • Certificate Management Service で証明書を購入またはアップロードしました： [既存の証明書を選択] を選択し、リストから証明書を選択します。

    TLS セキュリティ設定

    カスタム TLS ポリシーの詳細については、「HTTPS 証明書の TLS セキュリティポリシーのカスタマイズ」をご参照ください。

    SSL 証明書の TLS バージョン

    国際標準の HTTPS 証明書がサポートする最小の TLS バージョンを選択します。

    オプションサポートされるバージョンセキュリティレベル
    TLS 1.0 以降TLS 1.0、1.1、1.2低 (最高の互換性)
    TLS 1.1 以降TLS 1.1、1.2中
    TLS 1.2 以降TLS 1.2高
    TLS 1.3 サポートを有効にするTLS 1.3—

    SSL 証明書の暗号スイート

    国際標準の HTTPS 証明書の暗号スイートを選択するか、カスタムスイートを指定します。各オプションの横にある 问号 アイコンにカーソルを合わせると、そのオプションに含まれる暗号スイートを確認できます。

    相互認証

    • Alibaba Cloud が発行: デフォルトの CA 証明書が必要です。 ドロップダウンリストから CA 証明書を選択します。この証明書は Certificate Management Service (Original SSL Certificate) によって発行されます。

    • Alibaba Cloud が発行していない: まず、自己署名 CA 証明書を Certificate Management Service にアップロードします（「証明書リポジトリのアップロード」をご参照ください）、その後、[デフォルトの CA 証明書が必要です。] ドロップダウンリストから選択します。

    OCSP ステープリング

    Online Certificate Status Protocol (OCSP) ステープリングにより、Anti-DDoS Proxy は認証局 (CA) からの OCSP 応答を事前にフェッチしてキャッシュできます。これにより、クライアントは CA に直接クエリすることなく、TLS ハンドシェイク中に応答を受け取ることができます。

    重要

    OCSP 応答は CA によってデジタル署名されており、偽造することはできません。この機能を有効にしても、追加のセキュリティリスクは発生しません。

    設定動作
    無効 (デフォルト)クライアントは各 TLS ハンドシェイク中に CA に直接クエリします。ネットワークが遅い場合、ページの読み込みが遅れることがあります。
    有効Anti-DDoS Proxy は CA にクエリし、結果を 3,600 秒間キャッシュします。各 TLS ハンドシェイクにはキャッシュされた応答が含まれるため、クライアント側のブロッキングが解消されます。

    SM 証明書

    説明 SM 証明書のサポートは、Anti-DDoS Proxy (中国本土) インスタンスでのみ利用可能です。SM2 アルゴリズムのみがサポートされています。

    SM 証明書ベースのクライアントからのアクセスのみを許可する (デフォルトではオフ)：

    • オン：SM 証明書がインストールされているクライアントからのリクエストのみを処理します。有効にすると、国際的に認められたアルゴリズム証明書の TLS、相互認証、および OCSP ステープリングの設定は適用されません。

    • オフ：SM 証明書クライアントと、国際的に認められたアルゴリズム証明書を使用するクライアントの両方からのリクエストを処理します。

    SM 証明書：ここで選択する前に、SM 証明書を Certificate Management Service にアップロードしてください。

    HTTPS サポート用の SM 暗号スイート：以下の暗号スイートはデフォルトで有効になっており、変更できません。

    • ECC-SM2-SM4-CBC-SM3

    • ECC-SM2-SM4-GCM-SM3

    • ECDHE-SM2-SM4-CBC-SM3

    • ECDHE-SM2-SM4-GCM-SM3

    詳細設定

    HTTPS リダイレクトを有効にする

    すべての HTTP リクエストをポート 443 の HTTPS にリダイレクトします。

    重要

    • HTTP と HTTPS の両方が選択されており、WebSocket が選択されていない必要があります。

    • リクエストが非標準の HTTP ポート (80 以外) で受信された場合、HTTPS ポート 443 にリダイレクトされます。

    HTTP/2 リスナー

    有効にすると、クライアントは HTTP/2 を使用して Anti-DDoS Proxy に接続できます。Anti-DDoS Proxy は、back-to-origin には引き続き HTTP/1.1 を使用します。

    仕様値
    アイドルタイムアウト (http2_idle_timeout)120 秒
    接続ごとの最大リクエスト数 (http2_max_requests)1,000
    接続ごとの最大同時ストリーム数 (http2_max_concurrent_streams)4
    HPACK 展開後の最大リクエストヘッダーリストサイズ (http2_max_header_size)256 K
    最大 HPACK 圧縮ヘッダーフィールドサイズ (http2_max_field_size)64 K

    HTTP/2 ストリームの上限を使用して、クライアントと Anti-DDoS Proxy 間の最大同時ストリーム数を設定します。

    転送接続タイムアウトの設定

    クライアントと Anti-DDoS Proxy 間の TCP 持続的接続のアイドルタイムアウトです。これは、2 つのクライアントリクエスト間の最大待機時間です。この期間内に新しいリクエストが到着しない場合、Anti-DDoS Proxy はリソースを解放するために接続を閉じます。

    転送設定

    back-to-origin スケジューリング

    複数のオリジン IP アドレスまたはオリジンドメイン名を設定した場合、負荷分散アルゴリズムを選択します。

    アルゴリズム最適な用途仕組み
    ラウンドロビン (デフォルト)同程度の性能を持つ複数のオリジンサーバーすべてのサーバーに順番にリクエストを分散します。デフォルトではすべてのサーバーの重みは均等です。高性能なサーバーを優先するために重みを調整します。
    IP ハッシュセッション維持の要件同じクライアント IP アドレスからのリクエストを同じオリジンサーバーにルーティングします。カスタムの重みをサポートします。注：場合によっては、トラフィック分散が不均一になることがあります。
    最短時間遅延に敏感なサービス (ゲーム、オンライントランザクション)インテリジェント DNS 解決と最短時間アルゴリズムを組み合わせて、POP からオリジンまでのエンドツーエンドレイテンシを最小化します。

    back-to-origin リクエストのリトライ

    オリジンサーバーが利用不可とマークされるまでのヘルスチェックプローブの数です。デフォルト：3。

    リトライメカニズムは次のように機能します。

    1. サービストラフィックがエッジゾーンに到達し、オリジンサーバーに到達できない場合、エッジゾーンは back-to-origin をリトライします。

    2. 最大リトライ回数後もオリジンに到達できない場合、サイレンス期間に入ります。この間、トラフィックは転送されず、プローブも送信されません。

    3. サイレンス期間が終了すると、次のリクエストでリトライメカニズムが再度トリガーされます。成功した場合、オリジンサーバーは再アクティブ化されます。

    トラフィックマーキング

    トラフィックマーキングを使用して、HTTP ヘッダーを介してクライアントの接続情報をオリジンサーバーに渡します。

    送信元ポート

    クライアントの送信元ポートを運ぶ HTTP ヘッダーです。デフォルトのヘッダーは X-Forwarded-ClientSrcPort です。代わりにカスタムヘッダーを使用するには、ここで指定します。その場合、オリジンサーバーはそのヘッダーを解析してポートを取得する必要があります。詳細については、「リクエストの送信元 IP アドレスの取得」をご参照ください。

    送信元 IP アドレス

    クライアントの送信元 IP アドレスを運ぶ HTTP ヘッダーです。デフォルトのヘッダーは X-Forwarded-For です。カスタムヘッダーを使用するには、ここで指定します。

    カスタムヘッダー

    バックエンドの統計分析のために、back-to-origin リクエストに最大 5 つのカスタム HTTP ヘッダーを追加します。

    以下の予約済みヘッダーをカスタムヘッダーとして使用しないでください。

    • X-Forwarded-ClientSrcPort — クライアントの送信元ポート

    • X-Forwarded-ProxyPort — リスナーポート

    • X-Forwarded-For — クライアントの送信元 IP アドレス

    標準の HTTP ヘッダー (例：Host、User-Agent、Connection、Upgrade) や、広く使用されているカスタムヘッダー (例：X-Real-IP、X-True-IP、X-Client-IP、Web-Server-Type、WL-Proxy-Client-IP、EagleEye-RPCID、EagleEye-TraceID、X-Forwarded-Cluster、X-Forwarded-Proto) を上書きしないでください。これらのいずれかを使用すると、元のヘッダー値が上書きされます。

    CNAME 再利用

    重要

    CNAME 再利用は、Anti-DDoS Proxy (中国本土以外) インスタンスでのみサポートされています。

    CNAME 再利用が有効な場合、同じオリジンサーバーでホストされている複数のドメイン名を、ドメインごとに個別のウェブサイト設定を必要とせずに、同じ Anti-DDoS Proxy CNAME に向けることができます。詳細については、「CNAME 再利用」をご参照ください。

    その他の設定

    back-to-origin リクエストの HTTP リダイレクトを有効にする

    オリジンサーバーが HTTPS をサポートしていない場合に有効にします。すべての HTTPS リクエストは HTTP (ポート 80) 経由でオリジンに転送され、WebSockets リクエストは WebSocket 経由で転送されます。

    説明 元のリクエストが非標準の HTTPS ポート (443 以外) を使用している場合、オリジンの HTTP ポート 80 にリダイレクトされます。

    HTTP/2.0 オリジン

    有効にすると、Anti-DDoS Proxy は HTTP/2.0 を使用してオリジンサーバーにリクエストを送信します。

    警告

    • この機能の設定については、アカウントマネージャーにお問い合わせください。

    • オリジンサーバーが HTTP/2.0 をサポートしていない場合は、この機能を有効にしないでください。有効にすると、ウェブサイトにアクセスできなくなります。

    Cookie 設定

    設定デフォルト説明
    配信ステータス有効Anti-DDoS Proxy は、クライアントを区別したり、HTTP フラッド攻撃対策のためにクライアントの指紋を取得したりするために、クライアントに Cookie を挿入します。導入後にログインの失敗やセッションの損失が発生した場合は、この設定を無効にしてください。無効にすると、一部の HTTP フラッド攻撃対策機能の効果が低下することにご注意ください。
    セキュア属性無効有効にすると、Cookie は HTTPS 経由でのみ送信され、HTTP 経由で傍受されるのを防ぎます。ウェブサイトが HTTPS のみをサポートしている場合に有効にしてください。

    詳細については、「HTTP フラッド攻撃保護の設定」をご参照ください。

    新規接続タイムアウト期間の設定

    Anti-DDoS Proxy がオリジンサーバーへの接続を確立するのを待つ時間です。この期間内に接続が確立されない場合、試行は失敗として扱われます。

    読み取り接続タイムアウト期間の設定

    Anti-DDoS Proxy が読み取りリクエストを送信した後、オリジンサーバーからの応答を待つ最大時間です。

    書き込み接続タイムアウト期間の設定

    Anti-DDoS Proxy がデータを送信した後、オリジンサーバーがデータの処理を開始するのを待つ時間です。この期間内にデータが完全に送信されないか、オリジンサーバーが処理を開始しない場合、試行は失敗として扱われます。

    back-to-origin 接続保持

    複数のリクエストにわたって Anti-DDoS Proxy とオリジンサーバー間の TCP 接続を維持し、接続設定のオーバーヘッドを削減します。

    サブ設定説明
    接続保持の再利用リクエスト単一の TCP 接続で送信される HTTP リクエストの最大数です。予期しない接続終了を避けるため、この値はバックエンド (例：WAF や SLB) で設定された接続保持の上限以下に設定してください。
    アイドル状態の永続接続のタイムアウト期間プール内の未使用の接続が閉じられるまでの最大アイドル時間です。予期しない接続終了を避けるため、この値はバックエンドで設定されたタイムアウト以下に設定してください。

    本番稼働

    ウェブサイト設定を完了した後、サービスを中断することなく本番運用を開始するために、このチェックリストに従ってください。

    警告

    サービスの中断を避けるため、必ず記載された順序で必須の手順を完了してください。back-to-origin IP アドレスをホワイトリストに登録したり、転送を検証したりする前に DNS を切り替えると、即座にサービスが中断される可能性があります。

    必須の手順

    1. オリジンサーバーのホワイトリストに back-to-origin IP アドレスを追加する：オリジンサーバーのファイアウォールまたはセキュリティグループで、Anti-DDoS Proxy の back-to-origin IP アドレス範囲をホワイトリストに登録します。これにより、Anti-DDoS Proxy から転送されたトラフィックがブロックされるのを防ぎます。詳細については、「Anti-DDoS Proxy の back-to-origin IP アドレスをホワイトリストに追加する」をご参照ください。

    2. ローカルで設定を検証する：DNS を切り替える前に、ローカルの hosts ファイルを更新して、転送が正しく機能することをテストします。これにより、ライブトラフィックに影響が及ぶ前に設定ミスを検出できます。詳細については、「ローカルマシンでトラフィック転送設定を検証する」をご参照ください。

    3. DNS レコードを切り替える：ローカルでの検証が成功した後、ドメインの DNS レコードを Anti-DDoS Proxy が提供する CNAME に更新します。これにより、ライブトラフィックが保護のために Anti-DDoS Proxy 経由でルーティングされます。詳細については、「CNAME または IP アドレスを使用してドメイン名を Anti-DDoS Proxy インスタンスに解決する」をご参照ください。

    オプションの手順

    • オリジン IP アドレスを変更する：オリジンサーバーがパブリック IP アドレスを公開している Alibaba Cloud ECS インスタンスである場合、導入後にパブリック IP アドレスを変更します。これにより、攻撃者が Anti-DDoS Proxy をバイパスして直接オリジンを標的にするのを防ぎます。詳細については、「静的パブリック IP アドレス」をご参照ください。

    • DDoS 緩和ポリシーの設定: デフォルトのポリシー (Anti-DDoS グローバル緩和ポリシー、インテリジェント保護、および頻度コントロール) に加えて、必要に応じて [Web サイトサービスの保護] タブで追加の保護機能を有効にします。詳細については、「Web サイトサービスの保護」をご参照ください。

      重要

      HTTP フラッド攻撃対策ポリシーを有効にすると、クライアントに Cookie が挿入される場合があります。詳細については、「Cookie の挿入」をご参照ください。

    • CloudMonitor アラートを設定する：トラフィック、接続、ブラックホールフィルタリングイベント、およびトラフィックスクラブイベントのアラートルールを設定して、異常の通知を受け取り、迅速に対応できるようにします。詳細については、「CloudMonitor アラート」をご参照ください。

    • ログ分析を有効にする：ウェブサイトのアクセスログをデフォルトで 180 日間収集・保存します。これは、ビジネス分析や等級保護コンプライアンスに役立ちます。詳細については、「ログ分析機能のクイックユース」をご参照ください。

    制限事項

    リソース制限
    ドメインごとの Anti-DDoS Proxy インスタンス数8
    インスタンスごとのカスタムポート (80/443 以外)すべてのウェブサイト設定で合計 10
    ウェブサイトごとのカスタム HTTP ヘッダー5

    よくある質問

    設定完了後に 502 または 504 エラーが発生するのはなぜですか？

    このエラーが発生する原因は、ほとんどの場合 back-to-origin の失敗です。以下の 3 点を順番に確認してください。

    1. オリジンサーバーのファイアウォールまたはセキュリティグループ：Anti-DDoS Proxy の back-to-origin IP アドレス範囲がホワイトリストに登録されていることを確認します。

    2. back-to-origin の HTTP リダイレクト：オリジンサーバーが HTTP (ポート 80) のみでリッスンしているにもかかわらず、Anti-DDoS Proxy で HTTPS を設定し、[back-to-origin リクエストの HTTP リダイレクトを有効にする] を有効にしていない場合、back-to-origin は失敗します。その設定を有効にしてください。

    3. オリジンサーバーのステータス：[オリジン IP アドレス] が正しく、オリジンサーバーが実行中であることを確認します。

    HTTPS を有効にした後、ブラウザで証明書エラーが報告されるのはなぜですか？

    以下を確認してください。

    1. 証明書とドメインの不一致：証明書は、追加したドメインをカバーしている必要があります。www.example.com の証明書は、ワイルドカード証明書やマルチドメイン証明書でない限り、example.com をカバーしません。

    2. 不完全な証明書チェーン：完全な証明書チェーン (サーバー証明書とすべての中間 CA 証明書を連結したもの) をアップロードします。

    3. 期限切れの証明書：アップロードした証明書がまだ有効かどうかを確認します。

    トラフィックが Anti-DDoS Proxy を通過していることを確認するにはどうすればよいですか？

    以下のいずれかの方法を使用します。

    1. DNS ルックアップ：ping <your domain> または dig <your domain> を実行し、解決されたアドレスが Anti-DDoS Proxy の CNAME またはその IP アドレスの 1 つであることを確認します。

    2. コンソールのトラフィックレポート：Anti-DDoS Proxy コンソールのレポートページで、インバウンドトラフィックデータを確認します。

    3. オリジンサーバーのログ：オリジンの Web サーバーログを確認し、リクエストのソース IP が Anti-DDoS Proxy の back-to-origin IP 範囲に属していることを確認します。

    アプリケーションログには Anti-DDoS Proxy の IP アドレスしか表示されず、実際の訪問者の IP が表示されません。実際の訪問者 IP を取得するにはどうすればよいですか？

    これは想定された動作です。リバースプロキシとして、Anti-DDoS Proxy はその back-to-origin IP アドレスを使用してオリジンに接続します。実際の訪問者 IP を取得するには、Web サーバー (Nginx、Apache など) を設定して X-Forwarded-For ヘッダーを読み取るようにします。詳細については、「Anti-DDoS Proxy インスタンスを設定した後にクライアントの実際の IP アドレスを取得する」をご参照ください。

    参照

    ICP 登録

    • 定期チェック: Anti-DDoS Proxy (中国本土) は、保護対象のドメインの ICP 登録ステータスを定期的にチェックします。登録が無効になると、該当ドメインのトラフィックの転送が停止し、[Web サイト設定] ページに「ドメイン名の ICP 登録が完了していません。登録ステータスを更新してください。」と表示されます。

    • 二重の登録要件：オリジンサーバーが Alibaba Cloud のプロダクト (例：ECS インスタンス) である場合、Anti-DDoS Proxy とそのプロダクトの両方の ICP 登録要件を満たす必要があります。詳細については、「サーバーの ICP 登録チェック」および「ICP 登録プロセス」をご参照ください。

    • サービスの回復：無効な ICP 登録の通知を受け取った場合は、サービスを再開するために直ちに登録情報を更新してください。

    ウェブサイト設定の削除

    警告

    ウェブサイト設定を削除する前に、DNS レコードを元に戻してください。DNS がまだ Anti-DDoS Proxy を指している間に設定を削除すると、サービスが中断されます。

    1. DNS レコードを元に戻す：ドメインの DNS レコードを更新して、Anti-DDoS Proxy インスタンスの IP アドレス、Anti-DDoS Proxy の CNAME、またはトラフィックマネージャーの CNAME を指さないようにします。

    2. ウェブサイト設定を削除する：

      • 手動で： [Web サイト設定] ページで構成を見つけ、[削除] を [操作] 列でクリックします。ウェブサイト設定を削除するをご参照ください。

      • 自動：アカウント配下の最後の Anti-DDoS Proxy インスタンスがリリースされてから 1 か月後、システムはすべてのドメイン名とポートフォワーディング設定を自動的に削除します。