階層的保護は、Anti-DDoS Native と Anti-DDoS Proxy を組み合わせて、適応型の DDoS 防御を提供します。デフォルトでは、サービスは低レイテンシーの Anti-DDoS Native 保護下で実行され、ボリューム型攻撃によってブラックホール状態がトリガーされると、自動的に Anti-DDoS Proxy ベースのディープスクラビングにエスカレーションされます。このトピックでは、階層的保護ルールの作成、DNS 切り替えの設定、およびトラフィックルーティングの管理方法について説明します。
事前準備
サポートされるクラウドリソース
お客様のサービスは、パブリック IP アドレスを持つ以下のいずれかの Alibaba Cloud リソースで実行されている必要があります。
Elastic IP Address (EIP)
Elastic Compute Service (ECS) インスタンス
Server Load Balancer (SLB) インスタンス
Web Application Firewall (WAF) インスタンス
Anti-DDoS インスタンス
Anti-DDoS Native： Enterprise edition の Anti-DDoS Native インスタンスを購入し、パブリック IP アセット (ECS、SLB、EIP、または WAF) のネイティブ保護を有効にしている必要があります。詳細については、「Anti-DDoS Native インスタンスの購入」および「Anti-DDoS Native インスタンスの購入」をご参照ください。
Anti-DDoS Proxy：
[Anti-DDoS Premium/Pro (中国本土)]: [Professional Plan]。
[Anti-DDoS Premium/Pro (中国本土以外)]： Insurance または Unlimited
重要インスタンスには、サービスの要件を満たすのに十分なクリーン帯域幅と秒間クエリ数 (QPS) が必要です。詳細については、「Anti-DDoS Proxy インスタンスの購入」をご参照ください。
構成要件
Web サイトが すでに Anti-DDoS Proxy インスタンスに追加されていること。
仕組み
階層的保護は、リアルタイムの攻撃トラフィックに基づいて動的に調整される 2 段階の防御戦略を使用します。
ステージ 1 — 低レイテンシー保護 (デフォルト)： Anti-DDoS Native はネットワークエッジでトラフィックをスクラビングします。トラフィックは追加のプロキシノードを経由しないため、レイテンシーは最小限に抑えられます。このステージは、通常のトラフィックと小規模な攻撃を処理します。
ステージ 2 — 高度な緩和 (攻撃のエスカレーション)： 大規模なボリューム型攻撃により、関連するすべての IP アドレスがブラックホール状態になると、システムは自動的にトラフィックを Anti-DDoS Proxy に再ルーティングして、ディープパケットインスペクションを実行します。クリーンなトラフィックのみがオリジンサーバーに到達します。
クラウドリソースがブラックホール状態になると、そのすべての IP アドレスが到達不能になり、トラフィックは一時的に利用できなくなります。Anti-DDoS Proxy インスタンスが関連付けられた階層的保護ルールは、プロキシ経由でトラフィックを再ルーティングすることにより、サービスを自動的に復旧できます。
次の表に、各保護ステージの概要を示します。
ステージ | 保護プロバイダー | トラフィックパス | トリガー条件 |
通常 | Anti-DDoS Native | クライアント → Anti-DDoS Native (スクラビング) → クラウドリソース (ECS、SLB、EIP、または WAF) | デフォルト状態。攻撃が検出されないか、小規模な攻撃が検出された場合。 |
緊急 | Anti-DDoS Proxy (Profession, Insurance, または Unlimited edition) | クライアント → Anti-DDoS Proxy (ディープスクラビング) → クラウドリソース | 大規模なボリューム型攻撃により、関連するすべての IP アドレスがブラックホール状態になった場合。 |
自動スイッチバック | Anti-DDoS Native (復旧) | クライアント → Anti-DDoS Native → クラウドリソース (低レイテンシー復旧) | 攻撃トラフィックが停止し、設定された切り戻し待機時間を超えて安定した場合。 説明 トラフィックの切り替えと切り戻しは、DNS レコードの変更に依存します。伝播には通常、クライアント側の DNS キャッシュの更新時間に応じて 30～60 秒かかります。 |
階層的保護ルールの設定
次の手順に従って、クラウドリソースを Anti-DDoS Proxy インスタンスに関連付けて、攻撃の自動エスカレーションを行う階層的保護ルールを作成します。
ステップ 1：ルールの作成
- Anti-DDoS Proコンソールにログインします。
- 上部のナビゲーションバーで、インスタンスが存在するリージョンを選択します。
- 中国本土: このリージョンを選択すると、Anti-DDoS Proコンソールが表示されます。
- 中国本土以外: このリージョンを選択すると、Anti-DDoS Premiumコンソールが表示されます。
リージョンを切り替えて、Anti-DDoS ProまたはAnti-DDoS Premiumインスタンスを設定および管理できます。 Anti-DDoS ProまたはAnti-DDoS Premiumを使用する場合は、必ず必要なリージョンを選択してください。 - 左側のナビゲーションウィンドウで、 を選択します。
全般 タブで、ルールの作成 をクリックします。
以下のパラメーターを設定し、OK をクリックします。
パラメーター
説明
[インタラクションシナリオ]
階層型保護 を選択します。
[名前]
この階層的保護ルールの説明的な名前 (例：
production-api-tiered-protection) を入力します。[Anti-DDoS インスタンス IP]：
攻撃のエスカレーション時にトラフィックのスクラビングに使用する Anti-DDoS Proxy インスタンスを選択します。
[クラウドサービス]
クラウドリソースがデプロイされているリージョンを選択し、リソースのパブリック IP アドレスを入力します。IP アドレスは、Anti-DDoS Native (Enterprise edition) によってすでに保護されている ECS、SLB、EIP、または WAF リソースの IP アドレスである必要があります。
[クラウドリソースの IP アドレスを追加] をクリックして、さらにアドレスを追加します。最大 20 個の IP アドレスを追加できます。
説明複数の IP アドレスを追加すると、すべてのアドレスが同じ Anti-DDoS Proxy インスタンスを共有します。1 つの IP アドレスが攻撃された場合、トラフィックは残りのアドレスに再分配されます。すべてのアドレスが同時に攻撃された場合にのみ、トラフィックは Anti-DDoS Proxy に切り替わります。
各 IP アドレスの独立したフェールオーバーについては、「マルチパスフェールオーバー」をご参照ください。
切り戻し待機時間
フェールバックの待機期間とは、攻撃が停止してから Anti-DDoS Proxy がクラウドリソースにトラフィックを戻すまでの待機時間のことです。有効な範囲：30～120 分。
説明推奨： 60 分。
プロンプトに従って DNS レコードを更新する： ルールを有効にするには、ドメインの DNS レコードをトラフィックマネージャーが提供する CNAME を指すように設定します。次の手順に従ってください。
DNS を更新する前にローカルで検証する： パブリック DNS レコードを更新する前に、ローカルコンピューターの hosts ファイルを変更してルールを検証します。これにより、オリジンの転送ポリシーの競合が本番トラフィックに影響を与える前に検出できます。詳細な手順については、「転送設定のローカル検証」をご参照ください。
DNS レコードを更新する： ルールをローカルで検証した後、ドメインの DNS レコードを更新して、トラフィックマネージャーが提供する CNAME を指すように設定します。
ドメインレジストラー
更新方法
Alibaba Cloud
Alibaba Cloud DNS コンソールでレコードを更新します。
サードパーティプロバイダー
ドメインレジストラーの管理コンソールにログインし、ドメインの DNS レコードを更新します。
検証結果
DNS の更新後、Web サイトにアクセスできることを確認します。
説明DNS レコードを更新した後、DNS 伝播 (TTL) のためにルールが完全に有効になるまでに時間がかかる場合があります。詳細については、「トラフィックマネージャーの CNAME レコードの変更」をご参照ください。
問題が発生した場合は、「Anti-DDoS Proxy で保護されたサービスの応答の遅延、高レイテンシー、アクセス障害のトラブルシューティング」をご参照ください。
トラフィックの切り替え
[ティアード保護 ]ルールは、2 つの切り替えモードに対応しています。
自動切り替えと手動切り替えはどちらも DNS ベースのトラフィックスケジューリングに依存します。切り替えは DNS 伝播時間の影響を受ける可能性があります。事前にサービスへの影響を評価してください。
切り替えモード | 説明 | 適用シナリオ |
自動 | システムはリアルタイムのトラフィックと攻撃パターンを監視します。トラフィックを Anti-DDoS Proxy に自動的に切り替えるか、Anti-DDoS Native に切り戻します。 | 手動介入なしの 24 時間 365 日の自動防御。 |
手動 | ビジネス要件に基づいて、コンソールから手動でトラフィックを Anti-DDoS Proxy に切り替えるか、Anti-DDoS Native に切り戻します。 | 主要なイベント前の予防的な切り替え。 自動切り替えではカバーされない複雑な攻撃シナリオ。 トラブルシューティングと緊急訓練。 |
自動切り替え
切り替えタイプ | トリガー条件 |
Anti-DDoS Proxy への切り替え | すべてのクラウドリソースの IP アドレスがブラックホール状態になった場合。 |
Anti-DDoS Native への切り戻し | 攻撃が終了し、切り戻し待機時間が経過した後、システムは自動的にトラフィックを Anti-DDoS Native に切り戻します。 |
手動切り替え
自動切り替えに加えて、ビジネス要件に基づいて、スクラビングのために手動でトラフィックを Anti-DDoS Proxy に切り替えたり、Anti-DDoS Native に切り戻したりすることができます。
[Anti-DDoS へ]
手順：
Sec-Traffic Manager ページで、全般 タブをクリックします。
インタラクションシナリオが ティアード保護 であり、Anti-DDoS Proxy に自動的に切り替えられていない (これは クラウドサービス の下にある
アイコンで示されます) 階層化保護ルールを探します。操作 列で、Anti-DDoS へ をクリックします。確認ダイアログで、OK をクリックします。
制限事項：
Proxy インスタンスがブラックホール状態にある場合、または最後のブラックホールイベントから切り戻し待機時間が経過していない場合は、Anti-DDoS Proxy へのトラフィックの切り替えはできません。
手動でトラフィックを Anti-DDoS Proxy に切り替えると、自動切り戻しは無効になります。スイッチバック 操作を使用してトラフィックを切り戻します。
[スイッチバック]
手順：
Sec-Traffic Manager ページで、全般 タブをクリックします。
インタラクションシナリオが ティアード保護 で、トラフィックが Anti-DDoS Proxy によってスクラビングされている階層化保護ルールを見つけます (これは、
アイコンが Anti-DDoS Pro or Anti-DDoS Premium Instance の下にあることで示されます)。操作 列で、スイッチバックをクリックします。 確認ダイアログボックスで、OK をクリックします。
制限事項：
関連付けられているすべてのクラウドリソースの IP アドレスがブラックホール状態にある場合、切り戻し操作は許可されません。
一部の IP アドレスがブラックホール状態を抜けた一方で、他の IP アドレスがブラックホール状態のままである場合。
トラフィックは、ブラックホール状態を抜けた IP アドレスにのみ切り戻されます。
残りの IP アドレスのトラフィックは、ブラックホール状態が終了した後に自動的に復旧されます。
ルールの管理
ルールを作成した後、[汎用連携] タブから以下の操作を実行できます。
操作 | 説明 |
編集 | ルールパラメーターを変更します。インタラクションシナリオとルール名は、ルール作成後は変更できません。 |
削除 | ルールを削除します。 ルールを削除する前に、ドメインの DNS レコードからトラフィックマネージャーの CNAME を削除してください。CNAME がアクティブなままルールを削除すると、Web サイトにアクセスできなくなります。 |