O Anti-DDoS Diversion protege servidores de Internet Data Center (IDC) fora da China continental contra ataques DDoS. O service utiliza tração de rotas para redirecionar o tráfego de entrada ao centro global de limpeza Anycast da Alibaba Cloud, filtra inteligentemente o tráfego de ataque e reinjeta o tráfego legítimo na sua rede. Este tópico descreve o funcionamento do Anti-DDoS Diversion.
Recursos
O Anti-DDoS Diversion protege servidores IDC fora da China continental, independentemente de estarem implantados na cloud ou on-premises. Ele oferece proteção DDoS baseada em blocos CIDR (Classless Inter-Domain Routing) públicos e defende contra ataques DDoS comuns nas camadas de rede e de transporte. A proteção não exige alterações nos endereços ip comerciais existentes nem na arquitetura de rede, e a capacidade de mitigação pode atingir níveis de Tbit/s. Esse recurso é ideal para servidores IDC e pequenos provedores de services de Internet (ISPs) localizados fora da China continental.
O Anti-DDoS Diversion é composto por quatro partes: detecção de ataques, desvio de tráfego, reinjeção de tráfego e relatórios de mitigação.
-
Detecção de ataques.
Quando seu service apresenta anomalias ou interrupções, os engenheiros de O&M do IDC diagnosticam e analisam o incidente para confirmar se a falha foi realmente causada por um ataque DDoS. Sinais típicos incluem picos repentinos de tráfego vindos de múltiplos endereços ip distintos ou aumento anormal de um tipo específico de pacote. Após identificar o ataque, os engenheiros de O&M do IDC devem iniciar manualmente o desvio no console de segurança de tráfego ou por meio de uma chamada de API.
-
Desvio de tráfego.
Ao detectar um ataque, o centro de limpeza publica anúncios de atualização de rotas BGP (Border Gateway Protocol) para operadoras em todo o mundo. Todo o tráfego de entrada destinado ao bloco CIDR protegido é automaticamente roteado para o centro de limpeza, onde passa pelo processo de mitigação DDoS.
-
Reinjeção de tráfego.
Após limpar o tráfego anômalo, o centro de limpeza da Alibaba Cloud envia os dados de volta ao seu IDC usando métodos de conexão como túneis GRE (Generic Routing Encapsulation) e Cross Connects. Esse processo utiliza encaminhamento de Camada 2 ou Camada 2.5 do modelo OSI do protocolo tcp/ip, evitando assim loops de tráfego que ocorreriam caso os dados retornassem diretamente à Internet e fossem atraídos novamente para o centro de limpeza.
-
Relatórios de mitigação.
Para cada tipo de tráfego de ataque detectado e limpo, o Anti-DDoS Diversion fornece logs detalhados e estatísticas. Essas informações abrangem o volume de tráfego antes do ataque, após a limpeza e durante o ataque, ajudando você a compreender as condições do tráfego de rede.
Modos de desvio
O Anti-DDoS Diversion oferece dois modos de operação: On-demand e Always-on.
On-demand
Em condições normais, o tráfego não é redirecionado ao centro de limpeza. Quando ocorre um ataque DDoS, os engenheiros de O&M do IDC iniciam manualmente a proteção por desvio para encaminhar o tráfego ao centro de limpeza. No entanto, pode haver uma breve janela de tempo entre a detecção do ataque e a ativação total da proteção, período em que seus services podem ser parcialmente afetados. Este modo é recomendado para negócios que sofrem ataques com baixa frequência.
O modo On-demand disponibiliza dois tipos de instância conforme o número de sessões de mitigação:
Modo Insurance (2 sessões por mês): oferece duas sessões de mitigação mensais Mitigation sessions. Ao esgotar essas sessões, entre em contato com o suporte técnico da Alibaba Cloud para fazer upgrade ao modo Unlimited (sessões ilimitadas).
Modo Unlimited (sessões ilimitadas): fornece um número ilimitado de sessões de mitigação por mês.
Always-on
Neste modo, o tráfego é continuamente redirecionado ao centro de limpeza, garantindo proteção imediata assim que um ataque ocorre. Contudo, isso significa que todo o tráfego passa por etapas adicionais de processamento mesmo sem ataques ativos, o que aumenta ligeiramente a latência. O modo Always-on oferece sessões de mitigação ilimitadas e tem custo um pouco superior ao modo On-demand, sendo mais indicado para negócios frequentemente alvo de ataques.
Como funciona
O exemplo abaixo ilustra o modo On-demand com reinjeção via túnel GRE.
Configure um túnel GRE entre o roteador de borda do seu IDC e o centro de limpeza da Alibaba Cloud. Em seguida, estabeleça um relacionamento de peering BGP, permitindo que ambas as partes se comuniquem e troquem informações de roteamento via BGP.
Assim que os engenheiros de O&M do seu IDC detectarem um ataque DDoS, inicie o desvio.
O centro de limpeza da Alibaba Cloud usa o AS134963 para começar a anunciar globalmente o bloco CIDR que você deseja proteger.
Teoricamente, o tráfego de entrada deixa de fluir diretamente para o roteador do seu IDC e passa a ser roteado primeiro para o centro de limpeza. Normalmente, o reroteamento entra em vigor para todo o tráfego dentro de dois a três minutos. O caminho do tráfego de saída permanece inalterado, continuando a fluir diretamente dos servidores do seu IDC para o ISP de saída.
Caso o tráfego de entrada ainda chegue diretamente ao seu IDC após o início do desvio, verifique se o RADB (Routing Assets Database) e o RPKI (Resource Public Key Infrastructure) estão ativos. Confirme também se tanto o seu IDC quanto o centro de limpeza da Alibaba Cloud anunciam sub-redes com a mesma granularidade. Por exemplo, se ambos anunciam o bloco CIDR 1.1.XX.XX/24, interrompa o envio de anúncios BGP dessa mesma granularidade pelo roteador de borda do seu IDC ao ISP.
Ao chegar ao centro de limpeza, o tráfego que atinge o limiar configurado passa pelo processo de limpeza. O tráfego de ataque é filtrado, e o tráfego limpo é reencaminhado ao seu IDC através do túnel GRE.
Quando a proteção por desvio é interrompida, o centro de limpeza cessa o anúncio do seu prefixo de rede. Se o seu IDC parou de enviar novos anúncios BGP ao ISP em uma etapa anterior, certifique-se de republicar os anúncios de rota antes de desativar o desvio da Alibaba Cloud.
Diferenças entre Anti-DDoS Diversion e Anti-DDoS Proxy
Dentre os products de proteção DDoS da Alibaba Cloud, tanto o Anti-DDoS Diversion quanto o Anti-DDoS Proxy protegem IDCs implantados na cloud ou on-premises. As principais diferenças entre eles são:
O Anti-DDoS Diversion foca principalmente na defesa contra ataques DDoS nas camadas de rede (como ICMP flood e udp flood) e de transporte (como tcp SYN flood). Já o Anti-DDoS Proxy cobre essas mesmas camadas e também protege contra ataques DDoS na camada de aplicação (como HTTP/HTTPS flood), oferecendo uma solução de segurança mais abrangente.
O Anti-DDoS Diversion protege primordialmente toda a camada de infraestrutura, fornecendo suporte básico de defesa para sua rede. O Anti-DDoS Proxy concentra-se mais na proteção de aplicações específicas ou sistemas comerciais contra ataques.