Anti-DDoS Proxy (中国本土以外) はセキュアアクセラレーション (Sec-CMA) をサポートしています。Sec-CMA は、中国本土内のユーザーから中国本土以外のサービスへのアクセスを高速化し、大規模な DDoS 攻撃に対する防御を提供します。このトピックでは、サービスを Sec-CMA に追加する方法について説明します。
概要
中国本土のユーザーが中国本土以外のオリジンサーバーにアクセスする際に発生する待機時間を短縮するために、Alibaba Cloud Anti-DDoS は 2 つのアクセス高速化ソリューション、Sec-CMA と中国本土高速化 (CMA) を提供しています。
Sec-CMA
Sec-CMA は、DDoS トラフィックスクラビング機能を内蔵しています。保護されているすべてのサービスに対して アクセス高速化 と 高度な防御 を提供します。DDoS 攻撃が発生した場合、攻撃を防御するために Anti-DDoS Proxy (中国本土以外) の回線に切り替える必要はありません。Sec-CMA は、サービスへの高速アクセスを確保しながら、トラフィックを直接スクラビングします。
Sec-CMA は、中国本土からのサービストラフィックのみを保護します。中国本土以外からのアクセスリクエストはルーティングされません。中国本土以外からのアクセスリクエストがある場合は、Insurance または Unlimited 防御プランを使用する Anti-DDoS Proxy (中国本土以外) インスタンスと Sec-CMA を併用してください。Sec-Traffic Manager ソリューションを使用してサービスを追加できます。
Sec-CMA は 4 種類のインスタンスを提供します。次の表に、これらのインスタンスの違いを示します。
インスタンスタイプ | 防御機能 | 保護対象のキャリア回線 | 高度な防御セッション | 防御セッションの購入をサポート |
Sec-CMA 1.0 | 2 Tbps | 中国本土の China Telecom と China Unicom | 暦月あたり 2 回 | はい。グローバル高度な防御セッションを購入します。 |
Sec-CMA 1.0 (Basic Edition) 説明 インスタンスを購入するには、プリセールスのビジネスマネージャーにお問い合わせください。 | 2 Tbps | 中国本土の China Telecom と China Unicom | 暦月あたり 1 回 | はい。グローバル高度な防御セッションを購入します。 |
Sec-CMA 2.0 (Insurance) | 2 Tbps 超 | 中国本土の China Telecom、China Unicom、China Mobile | 暦月あたり 2 回 | いいえ。Sec-CMA 2.0 (Unlimited) にスペックアップできます。 |
Sec-CMA 2.0 (Unlimited) | 2 Tbps 超 | 中国本土の China Telecom、China Unicom、China Mobile | 無制限 | 該当なし |
CMA
CMA はアクセス高速化のみを提供し、DDoS トラフィックスクラビング機能はありません。Insurance または Unlimited 防御プランを使用する Anti-DDoS Proxy (中国本土以外) インスタンスと共にデプロイする必要があります。DDoS 攻撃が発生した場合、攻撃を防御するために Anti-DDoS Proxy (中国本土以外) の回線に切り替える必要があります。攻撃が頻繁に発生する場合、頻繁な回線切り替えが必要になります。
使用上の注意
ポート設定を使用してサービスを Sec-CMA に追加する場合、UDP ポートはサポートされません。
Sec-CMA 2.0 の使用
中国本土の China Telecom、China Unicom、China Mobile の回線を保護する
Sec-CMA 2.0 は単独で使用できます。次の図にアーキテクチャを示します。
Anti-DDoS Proxy コンソールにログインします。
左上のトップメニューバーで、[中国本土以外] リージョンを選択します。
このリージョンを選択すると、Anti-DDoS Proxy (中国本土以外) コンソールにリダイレクトされます。
サービスを Sec-CMA 2.0 インスタンスに追加します。
Web サイト設定: サービスを追加するときは、インスタンス パラメーターを Sec-CMA 2.0 インスタンスに設定します。詳細については、「Web サイト設定の追加」をご参照ください。
ポート設定: Sec-CMA 2.0 インスタンスでポートフォワーディングルールを設定します。詳細については、「ポートフォワーディングルールの設定」をご参照ください。
サービストラフィックを Sec-CMA 2.0 インスタンスに切り替えて、セキュアアクセラレーションを有効にします。
Web サイト設定: ドメイン名を Anti-DDoS Proxy の CNAME ドメイン名に解決します。詳細については、「CNAME ドメイン名または IP アドレスを使用してドメイン名を Anti-DDoS Pro に解決する」をご参照ください。
ポート設定: サービスアドレスを Sec-CMA 2.0 インスタンスの IP アドレスに設定します。
すべてのキャリア回線を保護する
Sec-CMA 2.0 は、Insurance または Unlimited 防御プランを使用する Anti-DDoS Proxy (中国本土以外) インスタンスと併用する必要があります。次の図にアーキテクチャを示します。
Anti-DDoS Proxy コンソールにログインします。
左上隅のトップメニューバーで、[中国本土以外] リージョンを選択します。
このリージョンを選択すると、Anti-DDoS Proxy (中国本土以外) コンソールにリダイレクトされます。
サービスを Anti-DDoS Proxy に追加します。このトピックでは、Unlimited 防御プランを使用する Anti-DDoS Proxy (中国本土以外) インスタンスを例として使用します。
Web サイト設定: サービスを追加するときは、インスタンス を Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスと Sec-CMA 2.0 インスタンスの両方に設定する必要があります。詳細については、「Web サイト設定の追加」をご参照ください。
ポート設定: Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスと Sec-CMA インスタンスでポートフォワーディングルールを設定します。詳細については、「ポートフォワーディングルールの設定」をご参照ください。
重要名前解決は CNAME ドメイン名メソッドを使用して設定する必要があります。したがって、IP アドレスを使用して直接アクセスされるサービスのサービストラフィックは自動的にスケジュールできません。
Sec-Traffic Manager でセキュアアクセラレーションルールを設定します。
ページで、全般 タブをクリックします。
ルールの作成 をクリックし、ルール条件を設定して、[次へ] をクリックします。
インタラクションシナリオ: Sec-CMA を選択します。
ルール名: カスタムルール名を入力します。
Sec-CMA: Anti-DDoS Proxy (中国本土以外) の Sec-CMA 2.0 インスタンスを選択します。
Anti-DDoS Proxy (中国本土以外): Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスを選択します。
スケジューリングルールが作成されると、CNAME ドメイン名が生成されます。Sec-Traffic Manager を介した自動トラフィックスケジューリングを有効にするには、ドメイン名の DNS レコードをこの CNAME ドメイン名に向けます:
中国本土の China Telecom、China Unicom、China Mobile キャリアからのトラフィックは、Sec-CMA 2.0 インスタンスの IP アドレスにスケジュールされます。
中国本土の他のキャリアおよび中国本土以外からのトラフィックは、Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスの IP アドレスにスケジュールされます。
説明スケジューリングノードに選択されたすべての専用 IP アドレスに対してサービスを設定し、それらがオリジンサーバーにトラフィックを転送できることを確認してください。
ドメイン名解決サービスプロバイダーで、ドメイン名の DNS レコードを変更します。
Sec-Traffic Manager ルールによって提供される CNAME ドメイン名にドメイン名を解決して、サービストラフィックを Sec-Traffic Manager に切り替え、自動スケジューリングを有効にします。
説明自動トラフィックスケジューリング機能は CNAME ドメイン名に基づいています。したがって、ドメイン名解決には CNAME ドメイン名メソッドを使用する必要があります。
Sec-CMA 1.0 の使用
Sec-CMA 1.0 は China Mobile の回線を保護しません。
中国本土の China Telecom と China Unicom を保護する
Anti-DDoS Proxy (中国本土以外) Sec-CMA 1.0 インスタンスを単独で使用できます。次の図にアーキテクチャを示します。
Anti-DDoS Proxy コンソールにログインします。
左上のトップメニューバーで、[中国本土以外] リージョンを選択します。
このリージョンを選択すると、Anti-DDoS Proxy (中国本土以外) コンソールにリダイレクトされます。
サービスを Sec-CMA 1.0 インスタンスに追加します。
Web サイト設定: サービスを追加するときは、インスタンス を Sec-CMA 1.0 インスタンスに設定します。詳細については、「Web サイト設定の追加」をご参照ください。
ポート設定: Sec-CMA 1.0 インスタンスでポートフォワーディングルールを設定します。詳細については、「ポートフォワーディングルールの設定」をご参照ください。
サービストラフィックを Sec-CMA 1.0 インスタンスに切り替えて、セキュアアクセラレーションを有効にします。
Web サイト設定: ドメイン名を Anti-DDoS Proxy の CNAME ドメイン名に解決します。詳細については、「CNAME ドメイン名または IP アドレスを使用してドメイン名を Anti-DDoS Pro に解決する」をご参照ください。
ポート設定: サービスアドレスを Sec-CMA 1.0 インスタンスの IP アドレスに設定します。
すべてのキャリア回線を保護する
Sec-CMA 1.0 は、Insurance または Unlimited 防御プランを使用する Anti-DDoS Proxy (中国本土以外) インスタンスと併用する必要があります。次の図にアーキテクチャを示します。
Anti-DDoS Proxy コンソールにログインします。
左上のトップメニューバーで、[中国本土以外] リージョンを選択します。
このリージョンを選択すると、Anti-DDoS Proxy (中国本土以外) コンソールにリダイレクトされます。
サービスを Anti-DDoS Proxy に追加します。このトピックでは、Unlimited 防御プランを使用する Anti-DDoS Proxy (中国本土以外) インスタンスを例として使用します。
Web サイト設定: サービスを追加するときは、インスタンス を Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスと Sec-CMA 1.0 インスタンスの両方に設定する必要があります。詳細については、「Web サイト設定の追加」をご参照ください。
ポート設定: Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスと Sec-CMA 1.0 インスタンスでポートフォワーディングルールを設定します。詳細については、「ポートフォワーディングルールの設定」をご参照ください。
重要名前解決は CNAME ドメイン名メソッドを使用して設定する必要があります。したがって、IP アドレスを使用して直接アクセスされるサービスのサービストラフィックは自動的にスケジュールできません。
Sec-Traffic Manager でセキュアアクセラレーションルールを設定します。
ページで、全般 タブをクリックします。
ルールの作成 をクリックし、ルール条件を設定して、[次へ] をクリックします。
インタラクションシナリオ: Sec-CMA を選択します。
ルール名: カスタムルール名を入力します。
Sec-CMA: Anti-DDoS Proxy (中国本土以外) の Sec-CMA 1.0 インスタンスを選択します。
Anti-DDoS Proxy (中国本土以外): Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスを選択します。
スケジューリングルールが作成されると、CNAME ドメイン名が生成されます。Sec-Traffic Manager を介した自動トラフィックスケジューリングを有効にするには、ドメイン名の DNS レコードをこの CNAME ドメイン名に向けます:
中国本土の China Telecom および China Unicom キャリアからのトラフィックは、Sec-CMA 1.0 インスタンスの IP アドレスにスケジュールされます。
中国本土の China Mobile キャリアおよび中国本土以外からのトラフィックは、Anti-DDoS Proxy (中国本土以外) Unlimited 防御プランインスタンスの IP アドレスにスケジュールされます。
説明スケジューリングノードに選択されたすべての専用 IP アドレスに対してサービスを設定し、それらがオリジンサーバーにトラフィックを転送できることを確認してください。
ドメイン名解決サービスプロバイダーで、ドメイン名の DNS レコードを変更します。
Sec-Traffic Manager ルールによって提供される CNAME ドメイン名にドメイン名を解決して、サービストラフィックを Sec-Traffic Manager に切り替え、自動スケジューリングを有効にします。
説明自動トラフィックスケジューリング機能は CNAME ドメイン名に基づいています。したがって、ドメイン名解決には CNAME ドメイン名メソッドを使用する必要があります。