近接オリジントラフィック転送を使用すると、China Telecom および China Unicom の回線で中国本土外からのトラフィックをブロックできます。この機能は、発生元に近い場所でトラフィックをドロップするため、Anti-DDoS Proxy インスタンスがブラックホールフィルタリングをトリガーするリスクを低減します。ブロックはいつでも解除できます。本トピックでは、近接オリジントラフィック転送の設定方法について説明します。
ユースケース
お使いの Anti-DDoS Proxy インスタンスが大規模な DDoS 攻撃を受けており、攻撃トラフィックがインスタンスの最大防御キャパシティを超える恐れがある場合に、近接オリジントラフィック転送を使用することを推奨します。例えば、中国本土外からのトラフィックが総攻撃トラフィックの約 30% を占める場合、このトラフィックをブロックすることで攻撃量を大幅に削減し、インスタンスの防御キャパシティ内に収めることができます。
適用範囲
近接オリジントラフィック転送は、Anti-DDoS Proxy (中国本土) インスタンスでのみ利用可能です。この機能は、中国本土外にデプロイされている Anti-DDoS Proxy インスタンスではサポートされていません。
操作手順
- Anti-DDoS Proコンソールにログインします。
-
トップナビゲーションバーで、中国本土 リージョンを選択します。
- 左側のナビゲーションウィンドウで、 を選択します。
-
インフラストラクチャの保護 タブの左側にあるインスタンス一覧から、設定する Anti-DDoS Proxy インスタンスを選択します。
-
インスタンス詳細の 配信元サーバーからの流用 セクションで、次のいずれかの操作を行います。
-
China Telecom (国際) からのトラフィックのブロック: 操作 列でトラフィックをブロックするオプションをクリックし、ブロック期間 を設定して 確認 をクリックします。
-
China Unicom (国際) からのトラフィックのブロック: 操作 列で、トラフィックをブロックするオプションをクリックします。ブロック期間 を設定し、 確認 をクリックします。
説明まず China Telecom 回線のトラフィックをブロックし、攻撃トラフィックの傾向を監視することを推奨します。攻撃トラフィックが高いままで、現在の防御キャパシティを超えている場合は、China Unicom 回線のトラフィックもブロックすることを検討してください。
-
-
ブロックされたリージョンを表示 をクリックすると、ブロックされたリージョンと期間を表示できます。
説明ブロック期間中は、いつでもブラックホールを無効化をクリックして、期限切れになる前にブロックを解除できます。
結果
設定に失敗した場合は、エラーメッセージが表示されます。表示される指示に従ってトラブルシューティングを行い、再試行してください。それ以外の場合、設定は成功です。
クォータと制限
-
ブロック期間: 15 分から 24 時間までのカスタム期間を設定できます。
-
クォータ消費: China Telecom または China Unicom 回線でトラフィックをブロックすると、クォータから 1 回分が消費されます。合計クォータはインスタンスのプランによって異なります。
-
プラン詳細
-
Standard plan: アカウントごとに 10 回分の補充されない 1 回限りのクォータ。
-
Enhanced plan: クォータは、アカウントごとに提供される次の 2 つの部分で構成されます。
-
基本クォータ: 10 回分。これは Standard plan と同様の、アカウントレベルの 1 回限りのクォータです。
-
定期クォータ: 1 アカウントあたり暦月ごとに 10 回分。自動的にリセットされます。
重要近接オリジントラフィック転送機能はアカウントレベルの機能です。複数のインスタンスを所有しており、少なくとも 1 つが Enhanced plan である場合、Enhanced plan のクォータールールがアカウント全体に適用されます。
-
-
-
アップグレードとダウングレード
-
アップグレード: Enhanced plan にアップグレードすると、当月分の追加の 10 回分がすぐに利用できます。この定期クォータが先に消費されます。
-
ダウングレード: Standard plan にダウングレードすると、Enhanced plan の定期クォータは即座に失効します。1 回限りのクォータの残高は引き続き使用できます。
-
-
使用例
-
1月1日: スタンダードプランを購入すると、1 回限りのクォータとして
10回分が付与されます。 -
1月2日: 機能を
3回使用します。残りのクォータは7回です。 -
2月1日: 残りの使用回数はまだ
7回です。 -
2 月 2 日: エンハンスドプランにアップグレードすると、2 月分の継続利用回数 10 回がただちに付与されます。残りの合計利用枠は、10 (継続利用分) + 7 (1 回限り) =
17回になります。 -
2月4日: 機能を 1 回使用します。これは定期クォータから差し引かれます。残りのクォータは、定期分 (10 - 1) 回 + 1 回限り分 7 回 =
16回です。 -
3月1日: 定期的なクォータがリセットされ、残りの合計クォータは 10 (定期的) + 7 (1回限り) =
17回になります。 -
3 月 4 日: スタンダードプランにダウングレードすると、定期クォータは失効します。残りのクォータは 0 (定期) + 7 (1 回限り) =
7回になります。
-
-
近接オリジントラフィック転送と地域ブラックリストの比較
|
機能 |
近接オリジントラフィック転送 |
地域ブラックリスト |
|
実装ポイント |
ISP バックボーンネットワーク上のコアルーター。 |
Anti-DDoS Proxy のトラフィックスクラビングセンター内。 |
|
トラフィックドロップの場所 |
攻撃元に近い場所。 |
保護対象の宛先に近い場所。 |
|
ユースケース |
インスタンスの防御キャパシティを超える恐れのある大規模な DDoS 攻撃を緩和。 |
接続リソース枯渇攻撃を緩和。 |
|
Anti-DDoS Proxy への流入トラフィックの削減 |
はい |
いいえ |
|
主な目的 |
Anti-DDoS Proxy ネットワークに流入するトラフィック量を削減し、ネットワーク全体の負荷を軽減。 |
特定のリージョンからのトラフィックをブロックし、宛先リソースを保護。 |