Anti-DDoS Proxy は、グローバルスクラビングネットワークを利用して大規模な DDoS 攻撃から保護します。オリジンサーバーが中国本土以外にデプロイされているサービスの場合、ユーザーの所在地と保護方法に基づいて、Global、Global Partner、または Outside Chinese Mainland 保護プランを選択してください。
仕組み
Anti-DDoS Proxy は、以下の 3 つのステップでサービスの安定性を維持します。
トラフィックリダイレクション：DNS レコードを変更するか、サービス IP アドレスを Anti-DDoS Proxy IP アドレスに向けることで、インターネットからのすべてのアクセストラフィックを Anti-DDoS Proxy スクラビングセンターにリダイレクトします。詳細については、「トラフィックリダイレクションの方法」をご参照ください。
トラフィックスクラビング：Anti-DDoS Proxy スクラビングセンターは、多層検出およびフィルタリングエンジンを使用します。SYN フラッドや UDP フラッドなどのレイヤー 3 およびレイヤー 4 のボリューム攻撃を防御し、HTTP フラッドなどのレイヤー 7 アプリケーション層攻撃から保護します。悪意のあるトラフィックは正確に識別され、ドロップされます。
オリジンへのトラフィック転送：スクラビング後、正常なサービストラフィックは、ポートおよびプロトコル転送を通じて、安全かつ確実にオリジンサーバーに返されます。
トラフィックリダイレクションの方法
次のいずれかの方法を使用して、サービストラフィックをスクラビング用の Anti-DDoS Proxy IP アドレスにリダイレクトしてください。
リダイレクション方法 | 説明 | ユースケース | メリット | デメリット |
DNS 名前解決 | サービスドメイン名 (例： | Web サイト、Web アプリケーション、API など、ドメイン名を通じてアクセスされるサービス。 | 設定が簡単で、すぐに有効になり、攻撃時の切り替えも容易。 | オリジン IP アドレスを直接狙う攻撃から保護できない。 |
IP 直接指定 | Anti-DDoS Proxy インスタンスで転送ルールを設定し、Anti-DDoS Proxy IP アドレスをサービスエントリポイントとして使用し、トラフィックを実際のサーバー IP アドレスに転送します。クライアントは Anti-DDoS Proxy IP アドレスに直接アクセスします。 | ゲームやアプリのバックエンドサービスなど、IP アドレスを通じて直接アクセスされる非 Web サイトサービス。 | IP アドレスを直接保護し、オリジンサーバーを隠蔽する。 | IP アドレスの切り替えが、一部のクライアントの接続に影響を与える可能性がある。 |
メリット
迅速かつ簡単なデプロイ
Anti-DDoS Proxy は、DNS 名前解決と IP 直接指定の 2 つのオンボーディング方法を提供します。ソフトウェアやハードウェアのインストール、ルーティングの変更は不要です。DNS 伝播時間などの要因にもよりますが、通常、オンボーディングは数分以内に完了します。オリジン IP アドレスを隠蔽することで、オリジンサーバーを保護します。
AI 駆動のインテリジェントで正確な保護
ネットワーク層攻撃保護： 従来のシグネチャ検出技術に基づき、Anti-DDoS Proxy は IP レピュテーションデータベースとディープパケットインスペクション (DPI) を組み合わせて、ボリューム攻撃を正確に識別してブロックします。
アプリケーション層 CC 攻撃保護： AI エンジンが自動的にサービスモデルを学習し、CC 攻撃トラフィックを正確に識別してフィルタリングします。保護ポリシーは URL レベルまで細かく設定でき、運用の複雑さを大幅に軽減します。
大規模なグローバル緩和容量
Anti-DDoS Proxy のグローバル保護ネットワークは、合計 20 Tbps 以上の帯域幅を提供し、中国本土以外では 5 Tbps 以上の保護帯域幅を含みます。ネットワーク層、トランスポート層、アプリケーション層での DDoS 攻撃を防御し、サービスのグローバルなアクセスエクスペリエンスを確保します。
柔軟なエラスティック保護
セルフサービスでオンラインで保護帯域幅をアップグレードでき、アップグレードは数秒以内に有効になります。バースト攻撃が発生した場合、サービスを変更したり中断したりすることなく、いつでも緩和容量を増やすことができます。
金融グレードの安定性と高可用性
完全冗長アーキテクチャがデータセンター、サーバー、エンジン、リンクを監視し、自動フェイルオーバーおよび回復メカニズムを提供することで、99.95% のサービス可用性を保証します。
インテリジェントなトラフィック再ルーティング
Anti-DDoS Proxy は、他の Alibaba Cloud サービスと連携して、攻撃が発生したときに自動的にトラフィックを Anti-DDoS Proxy に再ルーティングできます。通常の運用中は介入せず、コストとセキュリティのバランスをとります。
新しい保護プラン
2026 年 10 月 15 日以降、新しい Anti-DDoS Proxy (Outside Chinese Mainland) インスタンスを購入する際に、Global、Global Partner、または Outside Chinese Mainland 保護プランを選択できます。
保護プラン | ユースケース | 保護方法 | 利用可能な仕様 |
Global | オリジンサーバーが中国本土以外にあり、中国本土および海外のユーザーにサービスを提供する必要がある場合。 | 単一インスタンス IP アドレスが、国境を越えたアクセラレーションと中国本土以外のグローバル保護を提供します。異なる方向からの攻撃は緩和セッションを共有します。 | 月あたり 0、1、2、または無制限のフルキャパシティスクラビングセッション。0 セッション階層はベストエフォートスクラビングのみを提供します。 |
Global Partner | チャネルを通じて購入されたサービスで、国境を越えた保護しきい値に基づいて仕様を選択する必要がある場合。 | 国境を越えたトラフィックは、選択されたしきい値まで保護され、海外トラフィックはベストエフォート保護を受けます。しきい値または緩和セッションを超えた後は、無料のベストエフォート保護が適用されます。 | 100～1,000 Gbit/s の階層には、月あたり 1 つの海外フルキャパシティスクラビングセッションが含まれます。ベストエフォート保護階層には、無制限の海外フルキャパシティスクラビングセッションが含まれます。最初は、対象となるチャネル顧客のみが利用可能です。 |
Outside Chinese Mainland | オリジンサーバーとユーザーの両方が海外にあり、中国本土への国境を越えたアクセラレーションが不要な場合。 | 以前の国際サービスモデルを保持し、中国本土以外での Anycast アクセスとフルキャパシティスクラビングを提供します。 | Insurance：月あたり 2 セッション。Unlimited：セッション制限なし。 |
Global と Global Partner の両方には、10 Mbit/s の国境を越えた帯域幅が含まれており、1:1 の比率で同量の海外帯域幅を提供します。Global Partner の場合、保護しきい値は国境を越えた方向に対してのみ適用され、海外セッションと国境を越えたしきい値は別々に計算されます。
中国本土プランおよび中国本土以外のレガシープラン
Anti-DDoS Proxy は、サービスサーバーがデプロイされている物理的なリージョンに基づいて、[Anti-DDoS Premium/Pro (中国本土)] と [Anti-DDoS Premium/Pro (中国本土以外)] の 2 つのカテゴリに分類されます。
中国本土プランは既存の説明に従います。次の表の中国本土以外のレガシープランは、既存のインスタンス向けの参考情報です。両方の場所にサービスを提供する新しい国境を越えたサービスの場合は、2 つのインスタンスを一緒に購入するのではなく、Global プランを選択してください。
製品タイプ | インスタンスエディション | 主な機能と相違点 | 備考 |
[Anti-DDoS Premium/Pro (中国本土)] | [Professional Plan] | 専用 IP アドレスとマルチライン BGP 保護を提供し、基本保護とエラスティック保護をサポートします。 | - |
[Advanced Edition] | 月あたり 2 つの「基本概念」セッションを提供し、毎月リセットされます。 | このエディションを有効にするには、アカウントマネージャーにお問い合わせください。 | |
[Anti-DDoS Premium/Pro (中国本土以外)] | [Insurance]、[Unlimited] |
| - |
[Sec-CMA 2.0] | 中国本土向けのアクセスアクセラレーションとアプリケーション層 DDoS 保護を提供します。特定の数の DDoS 緩和セッションを選択した後、China Telecom、China Unicom、China Mobile の回線でのボリューム DDoS 攻撃を防御できます。 | なし | |
[Sec-CMA 2.0 (Insurance)]、[Sec-CMA 2.0 (Unlimited)] | 機能は基本的に Sec-CMA 2.0 と同じです。 [Metering Method of 95th Percentile Burstable Clean Bandwidth] および [95th Percentile Burstable QPS] モードを無効にできます。 | 機能は [Sec-CMA 2.0] に移行されました。新規購入は推奨されません。このプランは既存のインスタンスのみが対象です。 | |
[Mainland China Acceleration]、[Sec-CMA] 1.0 | China Mobile 回線をサポートしないレガシーエディションです。 | 新規購入は推奨されません。[Sec-CMA 2.0] にアップグレードしてください。アップグレードを有効にするには、アカウントマネージャーにお問い合わせください。 |
IP 登録場所について：IP 登録場所は、Anti-DDoS Proxy IP アドレスの登録住所のみを指し、コンプライアンス要件を満たすために使用されます。保護リソースやスクラビングクラスターの物理的なデプロイ場所ではありません。Alibaba Cloud Anti-DDoS はグローバル Anycast ネットワークアーキテクチャを使用しているため、選択した IP 登録場所に関係なく、サービストラフィックは保護のために最寄りのスクラビングセンターにアクセスします。日本以外の IP 登録場所を選択した場合でも、日本にデプロイされたオリジンサーバーは、効率的で低レイテンシーの保護を受けます。この構成は、実際の保護パフォーマンスには影響しません。
Anti-DDoS Proxy IP アドレスは静的ですか。攻撃中に変更されますか。
各 Anti-DDoS Proxy インスタンスには、専用の静的 IP アドレスが割り当てられます。IP アドレスは購入後に変更されず、長期間使用できます。DDoS 攻撃やトラフィックスクラビング中も変更されず、安定したサービスアクセスが保証されます。
Anti-DDoS Proxy を購入すると、システムは新しい Anti-DDoS Proxy IP アドレスを割り当てます。オリジン IP アドレスは Anti-DDoS Proxy によって直接保護されません。保護は、オンボーディング設定を完了した後にのみ有効になります。
Web サイトサービス：ドメイン名の DNS レコードを Anti-DDoS Proxy が提供する CNAME アドレスに変更して、アクセストラフィックを Anti-DDoS Proxy スクラビングセンターにリダイレクトしてください。
非 Web サイトサービス：Anti-DDoS Proxy インスタンスでポート転送ルールを設定し、クライアントがアクセスする宛先 IP アドレスを Anti-DDoS Proxy IP アドレスに直接向けてください。
プラン選択の参考
サーバーの場所 | ユーザーソース | ビジネス要件 | 推奨エディション |
中国本土 | 中国本土および中国本土以外 | 汎用的な DDoS 対策が必要。 | Anti-DDoS Premium/Pro (中国本土) - Professional Plan |
中国本土以外 | 中国本土以外のみ | クロスボーダー高速化は不要。 | Anti-DDoS Premium/Pro (中国本土以外) -Insurance または Unlimited |
中国本土以外 | 中国本土 | 低レイテンシと安定性を確保するため、クロスボーダー高速化が必要。 | Anti-DDoS Premium/Pro (中国本土以外)-Sec-CMA 2.0 |
中国本土以外 | 中国本土および中国本土以外 | サーバーを移行せずにクロスボーダー高速化を実現しつつ、中国本土以外からのアクセスもサポートする必要がある。 | 複合購入：
|
中国本土以外 | 中国本土および中国本土以外 | ユーザーの地域に応じてサーバーを移行し、クロスボーダーアクセスを実現できる。移行後、各地域のユーザーはそれぞれの地域でホストされたサービスにアクセスし、対応するエディションによって保護される。 |
|
課金
Anti-DDoS Proxy の料金は、サブスクリプションの インスタンス料金 と従量課金の エラスティック料金 で構成されます。
インスタンス料金 (サブスクリプション)：基本保護帯域幅、クリーン帯域幅、QPS など、選択した仕様に基づく月単位または年単位の料金です。詳細については、「Anti-DDoS Proxy (Outside Chinese Mainland) Insurance および Unlimited 緩和プランの課金」、「Anti-DDoS Proxy (Outside Chinese Mainland) アクセラレーション回線の課金」、および「Anti-DDoS Proxy (Outside Chinese Mainland) の課金」をご参照ください。
エラスティック保護料金 (従量課金)：DDoS 攻撃トラフィックが基本保護帯域幅を超えた場合にのみ課金されます。料金は、実際の攻撃トラフィックのピークに基づいて毎日計算されます。詳細については、「エラスティック保護機能の課金」をご参照ください。
エラスティッククリーン帯域幅および QPS 料金 (従量課金)：正常なサービストラフィックまたは QPS が基本仕様を超えた場合にのみ課金されます。料金は、暦日または暦月の 95 パーセンタイルに基づいて計算されます。詳細については、「エラスティッククリーン帯域幅の課金」および「エラスティック QPS の課金」をご参照ください。
高度な緩和リソースプラン：特定のインスタンスでは、必要に応じて 高度な緩和リソースプラン を購入することもできます。詳細については、「グローバル高度な緩和セッションの課金」をご参照ください。
Anti-DDoS Proxy、Anti-DDoS Basic、ESA (Edge Security Acceleration) の違いは何ですか。
3 つのサービスは、保護の位置付けとユースケースが異なります。
比較項目 | Anti-DDoS Proxy | Anti-DDoS Basic | ESA (Edge Security Acceleration) |
ユースケース | 激しい攻撃に直面し、ボリューム攻撃とアプリケーション層 CC 攻撃から防御する必要があるサービス。 | 小規模な攻撃からの保護で、中断可能な非コアサービスに適しています。 | レイテンシーに敏感で、主にエッジアクセラレーションとコンテンツ配信を必要とするサービス。 |
保護能力 | 基本保護帯域幅とエラスティック保護帯域幅をサポートし、レイヤー 3 およびレイヤー 4 のボリューム攻撃とレイヤー 7 の CC 攻撃を防御するプロフェッショナルな詳細保護。 | 基本的な DDoS 攻撃をカバーするプラットフォームレベルの基本防御。 | 組み込みの基本 DDoS 保護機能により、デフォルトでは Anti-DDoS Basic に匹敵する機能を提供します。プロフェッショナルな DDoS 保護製品ではありません。 |
トラフィックオンボーディング方法 | DNS を通じて専用のスクラビングセンターにトラフィックをリダイレクトするか、IP アドレスを Anti-DDoS Proxy IP アドレスに直接向けます。オリジン IP アドレスを隠すことができます。 | 設定は不要です。プラットフォームが自動的に防御します。 | グローバルに分散されたエッジノードを通じてトラフィックを配信およびアクセラレートします。 |
課金 | 有料サービスであり、基本保護帯域幅やクリーン帯域幅などの仕様に基づいて課金されます。 | 無料。 | エッジアクセラレーションの使用量に基づいて課金されます。強化された DDoS 保護には別途申請が必要です。 |
選択の推奨事項：
サービスが大規模な DDoS 攻撃または CC 攻撃のリスクに直面している場合は、プロフェッショナルな詳細保護のために Anti-DDoS Proxy を選択してください。
サービスの規模が小さく、短時間の中断を許容できる場合は、Anti-DDoS Basic の無料防御で基本的なニーズを満たします。
主な要件がエッジアクセラレーションで、DDoS リスクが低い場合は、ESA を選択してください。重大な DDoS リスクにも直面している場合は、ESA と Anti-DDoS Proxy を併用してください。