Anti-DDoS (Enhanced) を有効にしてEIP (EIP) を保護するには、特定の特性を持つトラフィックを許可または破棄するポート固有の軽減ポリシーを設定して、Webサイト以外のサービスに対して起動されるTCPフラッド攻撃 (Webサイト以外のサービスに対するアプリケーション層フラッド攻撃) を軽減し、アプリケーション層トラフィックをきめ細かく監視およびフィルタリングできます。 このトピックでは、ポート固有の軽減ポリシーを設定する方法について説明します。
使用上の注意
通常のAlibaba Cloudサービスの資産は、IP固有の軽減ポリシーのみをサポートしています。 Anti-DDoS (Enhanced) 対応のEIPは、IP固有とポート固有の両方の軽減ポリシーをサポートします。 IP固有とポート固有の両方の軽減ポリシーを設定する場合、IP固有の軽減ポリシーの優先度が高くなります。
ポートに関連付けることができるポート固有の軽減ポリシーは1つだけです。
前提条件
Anti-DDoS (Enhanced) が有効になっているEIPのポートは、保護されたオブジェクトページの緩和ポリシーに追加されます。 詳細については、「保護のためのオブジェクトの追加」をご参照ください。
手順
にログインします。Traffic Securityコンソール.
左側のナビゲーションウィンドウで、.
ポリシーの新規作成 をクリックします。 [ポリシーの作成] パネルで、ポリシー名 を設定し、[ポリシータイプの選択] セクションで ソースポートブロッキングポリシー を選択します。 確定 をクリックします。
では、ポリシーが作成されました メッセージをクリックし、[OK] をクリックします。
ルールの追加 をクリックし、ポリシーのルールを設定し、[次へ] をクリックします。
パラメーター
説明
ルール名
ルールの名前を設定します。 各軽減ポリシーには最大10個のルールを追加できます。
セッションフロー開始ルールに一致する最小バイトしきい値
マッチングをトリガーするセッション内の最小バイト数。 有効な値: 0 ~ 2048 デフォルト値：0 この値は、セッションに少なくとも1バイトが含まれるときにマッチングがトリガーされることを指定します。
このパラメーターを1500に設定し、セッションのバイト数が1,500未満の場合、ルールは有効になりません。
ルールタイプ
検出するセッションのタイプ。 有効な値: String Match (ASCII) と16進数のString Match。
マッチング条件
開始位置: 検出の開始位置。 有効な値: 0 ~ 2047 値0は、最初のバイトを示す。 値1は第2バイトを示す。 すべての値は同じルールに従います。
検出窓の長さ (開始位置から検出されるバイト数): 開始位置から検出されたバイト数。 有効値：1～2048。 このパラメーターを20に設定し、開始位置パラメーターを10に設定すると、セッション内の11〜30バイトが検出されます。
一致するコンテンツ: 一致するコンテンツ。 コンテンツは文字列で、長さは最大2,048文字です。
優先度
検出の優先度。 数字が小さいほど、優先度が高くなります。 設定可能な値は 1～100 です。
論理記号
アクションの実行に基づく条件。
動作
ルールにヒットするセッションを処理するメソッド。 値は 廃棄 に固定されています。
選択するオブジェクト ステップの 保護のアセット セクションで、リージョン、EIP名、IPアドレスごとに必要なポートとプロトコルを検索します。 次に、ポート / プロトコル を選択し、追加の確認 をクリックします。
次に何をすべきか
ポート固有の軽減ポリシーを変更するには、軽減設定 ページで ソースポートブロッキングポリシー を選択します。 変更するポリシーを見つけて、操作 列の 保護ルールの変更 をクリックします。
重要緩和ポリシーを変更すると、新しい緩和ポリシーがすべての保護対象オブジェクトに対して有効になります。 作業は慎重に行ってください。
ポート固有の軽減ポリシーを削除するには、軽減設定 ページで ソースポートブロッキングポリシー を選択します。 削除するポリシーを見つけて、操作 列の 削除 をクリックします。
重要削除する軽減ポリシーがオブジェクトにアタッチされている場合、軽減ポリシーを削除することはできません。 緩和ポリシーを削除する前に、保護されたオブジェクトから緩和ポリシーをデタッチする必要があります。
保護のためにオブジェクトに軽減ポリシーをアタッチするか、保護されたオブジェクトを軽減ポリシーからデタッチするには、 軽減設定 ページで ソースポートブロッキングポリシー を選択します。 管理するポリシーを見つけて、操作 列の 関連付けられた保護オブジェクト をクリックします。
例
ゲームは、Anti-DDoS (Enhanced) を有効にしたEIPを使用してデプロイされ、TCPおよびポート8191と8192でサービスを提供します。 保護のためにゲームを追加した後、毎日の操作でHTTPリクエストをブロックするか、パケットキャプチャツールなどのツールを使用して攻撃リクエストの特性を分析し、ゲームが攻撃された後にポート固有の軽減ポリシーを変更することをお勧めします。
次の表に、HTTPリクエストをブロックする設定を示します。
パラメーター | 説明 |
セッションフロー開始ルールに一致する最小バイトしきい値 | 値を 0 に設定します。 |
ルールタイプ | 文字列一致 (ASCII) を選択します。 |
マッチング条件 |
|
優先度 | 値を1に設定します。 |
論理記号 | 値をHitに設定します。 |
動作 | 値は 廃棄 に固定されています。 セッションの最初の3バイトがGET文字列であることをシステムが検出すると、システムはセッションを破棄します。 |