ECS インスタンスがブラックホールフィルタリング状態になった後のワークロード復旧 - Anti-DDoS

Elastic Compute Service (ECS) インスタンスがブラックホールフィルタリング状態になると、Alibaba Cloud はすべてのインバウンドトラフィックを破棄し (パブリック IP アドレスがインターネットからアクセスできなくなります)、アウトバウンドトラフィックをブロックするため、インスタンスは外部ネットワークに接続できなくなります (たとえば、WeChat やサードパーティサービスへの API コールがタイムアウトします)。これはブラックホールフィルタリングの仕組みによる想定された動作であり、サーバー側の障害ではありません。ブラックホールフィルタリングが自動的に解除される時間を推定し、解除されるまで待機できます。ブラックホールフィルタリングが自動的に解除されると、パブリック IP アドレスのインバウンドおよびアウトバウンドのトラフィックは自動的に復旧します。手動でサービスやインスタンスを再起動する必要はありません。緊急時には、ECS インスタンスのパブリック IP アドレスを変更するか、ワークロードを別の ECS インスタンスに移行することで、ワークロードを迅速に復旧できます。このトピックでは、ブラックホールフィルタリングが発動した ECS インスタンスのワークロードを迅速に復旧する方法について説明します。

重要

ECS インスタンスのパブリック IP アドレスを変更したり、ワークロードを別の ECS インスタンスに移行したりした後でも、攻撃者はドメイン名に ping を実行して新しいパブリック IP アドレスを取得し、攻撃を再開する可能性があります。この問題を解決するには、Anti-DDoS Native または Anti-DDoS Proxy インスタンスを購入してください。

ブラックホールフィルタリングの自動解除までの推定時間

Anti-DDoS Native または Anti-DDoS Proxy を購入していない場合は、ブラックホールフィルタリングが自動的に解除されるのを待つ必要があります。Anti-DDoS Native または Anti-DDoS Proxy を購入している場合は、インスタンスを保護対象に追加した後、ECS インスタンスのブラックホールフィルタリングを手動で解除できます。詳細については、「ブラックホールフィルタリングの解除 (Anti-DDoS Native)」および「ブラックホールフィルタリングの解除 (Anti-DDoS Proxy)」をご参照ください。

ECS インスタンスが攻撃された直近の時刻を確認します。
Traffic Security コンソールにログオンします。イベントセンター ページで、ECS インスタンスのパブリック IP アドレスを見つけ、詳細をクリックして、ECS インスタンスが最後に攻撃された時刻を表示します。
説明
アセットが複数の DDoS 攻撃を受けた場合、ブラックホールフィルタリングの期間は最後の DDoS 攻撃が停止した時点から計算されます。
ブラックホールフィルタリングの期間を確認します。
資産ページで、ブラックホールフィルタリングの合計期間を確認します。デフォルトの期間は 2.5 時間です。実際の期間は、アセットへの攻撃の頻度に基づいて、30 分から 24 時間の範囲で変動します。まれに、期間がこれより長くなる場合があります。
ブラックホールフィルタリングが自動的に解除される時間を推定します。
たとえば、ECS インスタンスが 12:30 に攻撃を受け、ブラックホールフィルタリングの期間が 150 分であるとします。この場合、ブラックホールフィルタリングは 15:00 に解除される見込みです。
説明
推定時間はあくまで参考です。ECS インスタンスが継続的に DDoS 攻撃を受ける場合、ブラックホールフィルタリングの期間が延長されることがあります。

ブラックホールフィルタリングが自動的に解除されるのを待つことができます。緊急時には、以下のいずれかの解決策を使用して、ワークロードを迅速に復旧できます。

重要

ECS インスタンスのパブリック IP アドレスを変更したり、ワークロードを別の ECS インスタンスに移行したりした後は、実際の業務要件に応じて DNS レコードやデータベース接続などの設定を変更する必要があります。

解決策1：ECS インスタンスのパブリック IP アドレスの変更

重要

ブラックホールフィルタリングが発動した ECS インスタンスのパブリック IP アドレスを頻繁に変更すると、継続的な攻撃トラフィックがクラウドプラットフォームにリスクをもたらすことがあります。この場合、Alibaba Cloud アカウントが制限され、新しいインスタンスの購入などの操作ができなくなることがあります。

ECS インスタンスの Elastic IP アドレス (EIP) の変更

(オプション) 新しいEIPを申請します。
詳細については、「EIPの申請」をご参照ください。
ECSインスタンスから現在のEIPの関連付けを解除します。
詳細については、「クラウドリソースからのEIPの関連付けの解除」をご参照ください。
重要
- クラウドリソースから従量課金EIPの関連付けを解除した後も、EIP設定料金が課金されます。不要な料金を回避するには、EIPをリリースします。
  - EIP設定料金については、「従量課金」をご参照ください。
  - 従量課金EIPのリリース方法については、「従量課金EIPのリリース」をご参照ください。
- クラウドリソースからのEIPの関連付けを解除した後、サブスクリプションEIPが不要になった場合は、EIPを解除できます。詳細については、次をご参照ください：
  リソースのサブスクライブ解除のルール
新しいEIPをECSインスタンスに関連付けます。
詳細については、「EIPとECSインスタンスの関連付け」をご参照ください。

ECS インスタンスのシステム割り当てパブリック IP アドレスの変更

インスタンス作成から6時間以内

インスタンスが作成されてから6時間以内に、ECSコンソールでECSインスタンスの静的パブリックIPアドレスを変更できます。

前提条件

ECSインスタンスのステータスが [停止済み] ([停止済み]) です。
説明
ECSインスタンスがVPCにデプロイされた従量課金インスタンスである場合、インスタンスを標準モードで停止する必要があります。エコノミーモードでインスタンスを停止すると、インスタンスの静的パブリックIPアドレスを変更できない場合があります。詳細については、「節約モード」をご参照ください。
ECSインスタンスの静的パブリックIPアドレスは、インスタンス作成後6時間以内に最大3回変更できます。
説明
インスタンスが作成されてから6時間以内にECSインスタンスの静的パブリックIPアドレスを4回変更するには、このトピックの [6時間以上のインスタンス作成] セクションで説明されている操作を実行します。

手順

ECSコンソー.にログインします。
左側のナビゲーションウィンドウで、インスタンス&画像 > インスタンス.
上部のナビゲーションバーで、リソースが属するリージョンとリソースグループを選択します。
静的パブリックIPアドレスを変更するECSインスタンスを見つけます。 [操作] 列で、 > [ネットワークとセキュリティグループ] > [パブリックIPアドレスの変更] を選択します。
[パブリックIPアドレスの変更] メッセージで情報を確認し、[確認] をクリックします。
インスタンスの静的パブリックIPアドレスが変更されると、前のメッセージに新しい静的パブリックIPアドレスが表示されます。

6時間以上のインスタンス作成

インスタンスの作成から6時間以上経過したECSインスタンスの静的パブリックIPアドレスを直接変更することはできません。

インスタンスがネットワーク使用量に対して帯域幅課金方式を使用するサブスクリプションインスタンスでない場合、インスタンスの静的パブリックIPアドレスをEIPに変換できます。
詳細については、「VPC内のインスタンスのパブリックIPアドレスをEIPに変換する」をご参照ください。
重要
- インスタンスの有効期限が切れる24時間以内にサブスクリプションECSインスタンスの静的パブリックIPアドレスを変更することはできません。
- ネットワーク使用量に対して帯域幅課金課金方法を使用するサブスクリプションECSインスタンスの場合、インスタンスの静的パブリックIPアドレスを変更する前に、ネットワーク使用量の課金方法をトラフィック課金に変更できます。ネットワーク使用量の課金方法を帯域幅課金からトラフィック課金に変更する方法の詳細については、「静的パブリックIPアドレスを使用するECSインスタンスのネットワーク使用量の課金方法の変更」トピックの帯域幅課金からトラフィック課金セクションをご参照ください。
ECSインスタンスからEIPの関連付けを解除します。
詳細については、「クラウドリソースからのEIPの関連付けの解除」をご参照ください。
重要
- クラウドリソースから従量課金EIPの関連付けを解除した後も、EIP設定料金が課金されます。不要な料金を防ぐには、EIPをリリースします。
  - EIP設定料金については、「従量課金」をご参照ください。
  - 従量課金EIPのリリース方法については、「従量課金EIPのリリース」をご参照ください。
- クラウドリソースからのEIPの関連付けを解除した後、サブスクリプションEIPが不要になった場合は、EIPを解除できます。詳細については、次をご参照ください：
  リソースのサブスクライブ解除のルール
ECSインスタンスのパブリック帯域幅を1 Mbit/sを超える値に変更して、システムがインスタンスに新しいパブリックIPアドレスを割り当てることができるようにします。
詳細については、「サブスクリプションインスタンスの帯域幅変更」または「従量課金インスタンスの帯域幅変更」をご参照ください。
新しい静的パブリックIPアドレスは、インスタンスリストページの [IPアドレス] 列に表示されます。詳細については、このトピックの「パブリックIPアドレスの種類の表示」をご参照ください。

解決策2：ECS イメージのクローンによるビジネスサーバーの置換

ブラックホールフィルタリングが発動した ECS インスタンスのカスタムイメージを作成します。詳細については、「カスタムイメージの作成」をご参照ください。
説明
運用保守の一環として、ECS インスタンスのスナップショットを定期的に作成することを推奨します。ワークロードを迅速に復旧したい場合は、スナップショットを使用してカスタムイメージを作成してください。詳細については、「ポリシーの作成」および「スナップショットからのカスタムイメージの作成」をご参照ください。
カスタムイメージを使用して、同じ構成の ECS インスタンスを作成します。詳細については、「カスタムイメージまたは共有イメージからの作成」をご参照ください。

解決策3：SMC によるビジネスサーバーの置換

Server Migration Center (SMC) は、Alibaba Cloud が提供するサーバー移行プラットフォームです。SMC を使用して、ブラックホールフィルタリングが発動した ECS インスタンスを移行し、カスタムイメージを生成します。その後、そのカスタムイメージを使用して別の ECS インスタンスを作成します。

ブラックホールフィルタリングが発動した ECS インスタンスを移行元として SMC にインポートします。詳細については、「手順1：移行元の情報のインポート」をご参照ください。
移行タスクを作成して、システム構成とビジネスデータをカスタムイメージに移行します。詳細については、「手順2：移行タスクの作成と開始」をご参照ください。
カスタムイメージを使用して、同じ構成の ECS インスタンスを作成します。詳細については、「カスタムイメージまたは共有イメージからの作成」をご参照ください。

解決策4：ブラックホール状態の ECS インスタンスにログインしてビジネスデータを移行

ブラックホールフィルタリングが発動した ECS インスタンスには、インターネット経由で接続できません。Workbench、セッションマネージャー、Virtual Network Computing (VNC)、または同じ VPC 内にある別の ECS インスタンスを使用して、その ECS インスタンスに接続できます。

Workbench、セッションマネージャー、または VNC を使用して ECS インスタンスに接続する方法の詳細については、「インスタンスへの接続」をご参照ください。ここでは、ブラックホールフィルタリングが発動した ECS インスタンスに、同じ VPC 内にある別の ECS インスタンスを使用して接続します。

注意事項

2つの ECS インスタンスは、同じリージョン、同じ VPC に存在し、同じセキュリティグループに属している必要があります。2つの ECS インスタンス間で通信できる必要があります。セキュリティグループの詳細については、「概要」をご参照ください。

操作手順

プライベートまたはパブリック IP アドレスを使用して、ブラックホールフィルタリングが発動していない ECS インスタンスにログインします。

コマンドを実行するか、ツールを使用して、プライベート IP アドレスまたはパブリック IP アドレスを使用して、ブラックホールフィルタリングが発動した ECS インスタンスに接続します。

次の表に、一般的な接続方法を示します。

ブラックホールフィルタリングが発動した ECS インスタンスのオペレーティングシステム	ブラックホールフィルタリングが発動していない ECS インスタンスのオペレーティングシステム	接続方法	関連ドキュメント
Windows	Windows	Microsoft Terminal Services Client (MSTSC) を使用します。	RDPクライアントまたはWindowsアプリの使用
Windows	Linux	rdesktop を使用します。	RDPクライアントまたはWindowsアプリの使用
Linux	Windows	PuTTY を使用します。	OpenSSH または Xshell の使用ユーザー名とパスワードによる Linux インスタンスへの接続
Linux	Linux	SSH コマンドを実行します。 `ssh root@<インスタンスのシステム割り当てのパブリック IP アドレスまたは EIP>`	OpenSSH または Xshell の使用ユーザー名とパスワードによる Linux インスタンスへの接続

ブラックホールフィルタリングが発動していない ECS インスタンスにビジネスデータを移行します。

よくある質問

IP アドレスでブラックホールフィルタリングが発動し、パブリック IP アドレスを変更できない場合はどうすればよいですか。

ボリューム型 DDoS 攻撃によって発動したブラックホールフィルタリングは、手動で解除することはできません。システムが攻撃の停止を検知し、その後自動的にブラックホールフィルタリングを解除するのを待つ必要があります。

緊急の対応が必要なワークロードであるにもかかわらず、アカウントの制限やリソースの制約によりパブリック IP アドレスを変更できない場合は、ブラックホールフィルタリングが自動的に解除されるのを待つ必要があります。解除時間の推定方法については、このトピックの「ブラックホールフィルタリングの自動解除までの推定時間」セクションをご参照ください。