Protect website domain names from DDoS attacks - Anti-DDoS: Central de Documentação do Alibaba Cloud

Após adicionar o nome de domínio do seu site ao Anti-DDoS Proxy, aponte o registro DNS do site para o endereço CNAME gerado pelo Anti-DDoS Proxy para ativar a mitigação de ataques DDoS. Este tópico orienta você em todo o processo, desde a integração rápida até a configuração avançada, e ajuda a migrar o tráfego do seu service com segurança.

Escopo

Você adquiriu uma instância do Anti-DDoS Proxy (Chinese Mainland) ou Anti-DDoS Proxy (Outside Chinese Mainland). Para mais informações, consulte Purchase an Anti-DDoS Proxy instance.
Para adicionar seu service de site a uma instância do Anti-DDoS Proxy (Chinese Mainland), o nome de domínio do site já deve possuir um registro ICP. Para mais informações, consulte ICP filing.

Nota
Sites adicionados a instâncias do Anti-DDoS Proxy (Outside Chinese Mainland) não estão sujeitos aos requisitos de registro ICP.

Procedimento

Faça login na página Website Config no console do Anti-DDoS Proxy.
Na barra de navegação superior, selecione a região da sua instância.
- Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.
Na página Website Config, clique em Add Website.

Nota
Você também pode clicar em Batch Import na parte inferior da página para importar várias configurações de site de uma só vez. As configurações de site são importadas no formato XML. Para mais informações sobre o formato de arquivo, consulte Other operations.

Configure as informações de Website Config e clique em Next.

Configuração básica

Function Plan: Selecione o plano de função da instância do Anti-DDoS Proxy que você deseja associar. Opções: Standard e Enhanced.

Nota
Passe o ponteiro do mouse sobre Function Plan (o ícone ) para visualizar as diferenças de recursos entre o plano de função Standard e o plano de função Enhanced. Para mais informações, consulte Differences between the standard and enhanced function plans.
Instance: Selecione a instância do Anti-DDoS Proxy que deseja associar.

Importante
Um nome de domínio de site pode ser associado a até 8 instâncias do Anti-DDoS Proxy, e as instâncias devem usar o mesmo Function Plan.
Websites: Insira o nome de domínio do site que deseja proteger. Tanto nomes de domínio exatos (como www.example.com) quanto nomes de domínio curinga (como *.example.com) são suportados.
Nota
- Se um nome de domínio curinga e um nome de domínio exato estiverem configurados (por exemplo, *.aliyundoc.com e www.aliyundoc.com), o Anti-DDoS Proxy prioriza as regras de encaminhamento e as políticas de proteção configuradas para o nome de domínio exato (ou seja, www.aliyundoc.com).
- Caso insira um nome de domínio de nível superior, apenas esse nome será protegido. Subdomínios, como nomes de domínio de segundo nível, não serão protegidos. Para proteger um nome de domínio de segundo nível, insira o nome de domínio de segundo nível ou um nome de domínio curinga.
- Apenas nomes de domínio são suportados. Não é possível inserir um endereço IP de site.
Protocol Type: Selecione os protocolos que seu site suporta.
- HTTP / HTTPS: os protocolos básicos para sites.
  
  Nota
  Para informações sobre configurações HTTPS, consulte a descrição da aba HTTPS configuration.
- WebSocket / Websockets: protocolos de comunicação em tempo real. Se você selecionar um desses protocolos, HTTP ou HTTPS será selecionado automaticamente.
Server Address: Defina o endereço do servidor backend (servidor de origem) que o Anti-DDoS Proxy solicita durante uma busca de back-to-origin.
- Origin IP Address: Insira os endereços IP públicos do servidor de origem. É possível inserir vários endereços IP, separados por vírgulas (,). Exemplos:
  - Servidor de origem no Alibaba Cloud: Na maioria dos casos, insira o endereço IP público da instância ECS de origem. Se uma instância SLB estiver implantada à frente da instância ECS, insira o endereço IP público da instância SLB.
  - Servidor de origem em um data center fora do Alibaba Cloud ou em outro provedor de cloud: Use o comando ping domain name para consultar o endereço IP público para o qual o nome de domínio resolve e, em seguida, insira o endereço IP público obtido.
- Origin Domain Name:
  - Cenários: Esta opção se aplica quando outro service de proxy está implantado entre o servidor de origem e o Anti-DDoS Proxy. Exemplos:
    - Se o proxy front-end for o WAF, você pode inserir o endereço CNAME do WAF. Para mais informações, consulte Protect a website service by using Anti-DDoS Proxy and WAF.
    - Se você definir Origin Domain Name como o default public endpoint de um bucket do Object Storage Service (OSS), um nome de domínio personalizado já deve estar vinculado a esse bucket. Para mais informações, consulte 绑定自定义域名.
  - Limites: Você pode configurar até 10 nomes de domínio de origem. Separe vários nomes de domínio com quebras de linha.
Server Port: Defina a porta na qual o servidor de origem escuta solicitações de service de site.
- HTTP/WebSocket: A porta padrão é 80.
- HTTPS/Websockets: A porta padrão é 443.
- Porta de servidor personalizada:
  - Várias portas: É possível especificar várias portas, separadas por vírgulas (,). Em todos os services de site adicionados a uma instância do Anti-DDoS Proxy para proteção, o número total de portas personalizadas (incluindo portas personalizadas para diferentes protocolos) não pode exceder 10.
  - Intervalo de portas (HTTP/HTTPS): 80 a 65535

Configuração HTTPS

Se você selecionar HTTPS como um protocolo suportado pelo seu site, conclua a seguinte configuração.

Configurar o certificado: Para ativar o HTTPS, configure um certificado SSL que corresponda ao nome de domínio do site.
- Upload: Insira um Certificate Name e copie e cole o conteúdo de texto do arquivo de certificado e do arquivo de chave privada nos campos Certificate File e Private Key, respectivamente.
  Nota
  
  Para certificados nos formatos PEM, CER ou CRT, abra o arquivo de certificado diretamente em um editor de texto e copie o conteúdo. Para certificados em outros formatos, como PFX e P7B, converta primeiro o arquivo de certificado para o formato PEM. Em seguida, abra o arquivo em um editor de texto e copie o conteúdo. Para mais informações sobre conversão de formato de certificado, consulte Convert certificate formats ou Convert certificates to PEM format.
  
  Se o certificado HTTPS tiver vários arquivos de certificado, como uma cadeia de certificados, una o conteúdo de texto da cadeia de certificados e cole o conteúdo unificado em Certificate File.
- Select Existing Certificate: Selecione o certificado diretamente se ele tiver sido solicitado por meio do Certificate Management Service (Original SSL Certificate) do Alibaba Cloud ou se você já o tiver carregado no Certificate Management Service.
Configure as TLS Security Settings:

Nota
Para mais informações, consulte Customize the TLS security policy of a server HTTPS certificate.
- TLS Versions for SSL Certificate: Selecione as versões TLS que o certificado HTTPS padrão internacional suporta.
  - TLS 1.0 and later. This setting provides the best compatibility but low security.: Suporta TLS 1.0, TLS 1.1 e TLS 1.2.
  - TLS 1.1 and later. This setting provides good compatibility and medium security.: Suporta TLS 1.1 e TLS 1.2.
  - TLS 1.2 and later. This setting provides good compatibility and high security level.: Suporta TLS 1.2.
  - Enable TLS 1.3 Support: Suporta TLS 1.3.
- Cipher Suites for SSL Certificate: Selecione os conjuntos de cifras que o certificado HTTPS padrão internacional suporta ou escolha conjuntos de cifras personalizados. Passe o ponteiro do mouse sobre o ícone de uma opção de conjunto de cifras para ver quais conjuntos de cifras a opção inclui.

Mutual Authentication:

Issued by Alibaba Cloud: Na lista suspensa A default CA certificate is required., selecione um certificado CA emitido pelo Certificate Management Service (Original SSL Certificate) do Alibaba Cloud.
Not Issued by Alibaba Cloud:
- Primeiro, carregue o certificado CA autoassinado no Certificate Management Service (Original SSL Certificate). Para mais informações, consulte Upload certificate repository (upload a certificate).
- Na lista suspensa A default CA certificate is required., selecione o certificado CA autoassinado que você carregou.
Enable OCSP Stapling: OCSP significa Online Certificate Status Protocol. Ele envia uma solicitação de consulta à autoridade certificadora (CA) que emitiu o certificado do servidor para verificar se o certificado foi revogado. Durante um handshake TLS com o servidor, o cliente deve obter tanto o certificado quanto a resposta OCSP correspondente.

Importante
As respostas OCSP são assinadas digitalmente pela CA e não podem ser falsificadas. Portanto, ativar esse recurso não introduz riscos adicionais de segurança.
- Desativado (padrão): O cliente inicia uma consulta OCSP à própria CA durante a solicitação de handshake TLS para verificar se o certificado foi revogado. Esse processo bloqueia a conexão e pode causar atrasos no carregamento da página quando a rede estiver ruim.
- Ativado: O Anti-DDoS Proxy executa a consulta OCSP e armazena o resultado em cache por 3.600 segundos. Quando um cliente inicia uma solicitação de handshake TLS para o servidor, o Anti-DDoS Proxy envia a resposta OCSP em cache para o cliente junto com a cadeia de certificados. Isso evita o bloqueio causado por consultas no lado do cliente e melhora o desempenho do HTTPS.

SM Certificate: Apenas instâncias do Anti-DDoS Proxy (Chinese Mainland) suportam o upload de certificados HTTPS baseados em SM. Apenas o algoritmo SM2 é suportado.

Allow Access Only from SM Certificate-based Clients: Desativado por padrão.
- Ativado: Processa apenas solicitações de clientes que possuem certificados SM instalados.
  
  Nota
  Após ativar este recurso, as configurações de conjunto de cifras TLS, autenticação mútua e stapling do Online Certificate Status Protocol (OCSP) para o certificado HTTPS aceito internacionalmente não terão efeito.
- Desativado: Processa solicitações de clientes que possuem certificados SM ou certificados aceitos internacionalmente instalados.
SM Certificate: É necessário carregar o certificado no Certificate Management Service antes de poder selecioná-lo aqui.
SM Cipher Suites for HTTPS Support: Os seguintes conjuntos de cifras estão ativados por padrão e não podem ser modificados.
- ECC-SM2-SM4-CBC-SM3
- ECC-SM2-SM4-GCM-SM3
- ECDHE-SM2-SM4-CBC-SM3
- ECDHE-SM2-SM4-GCM-SM3

Configurações avançadas

Enable HTTPS Redirection: Esta configuração aplica-se quando um site suporta tanto HTTP quanto HTTPS. Após ativar esta configuração, todas as solicitações HTTP são convertidas forçadamente em solicitações HTTPS e redirecionadas para a porta 443 por padrão.
Importante
- Esta configuração só pode ser ativada se os protocolos HTTP e HTTPS estiverem selecionados e o protocolo WebSocket não estiver selecionado.
- Se você acessar um site por uma porta HTTP não padrão (uma porta diferente de 80) e ativar o redirecionamento forçado para HTTPS, as solicitações de acesso serão redirecionadas para a porta HTTPS 443 por padrão.

HTTP/2 Listener: Se você ativar esta opção, clientes que usam HTTP/2.0 poderão acessar o Anti-DDoS Proxy. No entanto, o Anti-DDoS Proxy ainda usa HTTP/1.1 para buscar conteúdo no servidor de origem. As especificações do HTTP/2.0 são as seguintes:

Especificações básicas:
- Tempo limite ocioso após o fechamento de uma conexão (http2_idle_timeout): 120s
- Número máximo de solicitações por conexão (http2_max_requests): 1.000
- Número máximo de streams simultâneos por conexão (http2_max_concurrent_streams): 4
- Tamanho máximo de toda a lista de cabeçalhos de solicitação após descompressão HPACK (http2_max_header_size): 256K
- Tamanho máximo de um campo de cabeçalho de solicitação comprimido com HPACK (http2_max_field_size): 64K
Especificações configuráveis: Suporta Upper Limit for HTTP/2 Streams, que é o número máximo de streams simultâneos permitidos entre o cliente e o Anti-DDoS Proxy.
Set Forward Connection Timeout: O período de tempo limite ocioso da conexão TCP persistente estabelecida entre o cliente e o Anti-DDoS Proxy. Este é o tempo máximo de espera entre duas solicitações do cliente.

Nota
Se nenhuma nova solicitação chegar dentro do período especificado, o Anti-DDoS Proxy fecha a conexão para liberar recursos.

Configure as Forwarding Settings e clique em Next.

Configurações de back-to-origin

Back-to-origin Scheduling Algorithm: Se você configurar vários Origin IP Addresses ou Origin Domain Names, poderá alterar o algoritmo de balanceamento de carga de back-to-origin ou definir pesos para diferentes servidores para determinar como o tráfego é distribuído entre os servidores de origem.

Solução	Cenário	Como funciona
Round-robin (padrão)	Vários servidores de origem que requerem uma carga equilibrada.	Todas as solicitações são distribuídas para todos os endereços de servidor alternadamente. Por padrão, todos os endereços de servidor têm o mesmo peso. Você pode alterar os pesos dos servidores. Um peso maior indica uma probabilidade maior de receber solicitações.
IP hash	Serviços que exigem consistência de sessão do usuário. Em casos extremos, a carga pode ficar desequilibrada.	Solicitações do mesmo endereço IP de cliente são sempre direcionadas ao mesmo servidor de origem para garantir a consistência da sessão. Você pode definir pesos para servidores enquanto usa IP hash para distribuir o tráfego com base na capacidade de processamento do servidor e priorizar servidores de maior desempenho.
Least time	Serviços altamente sensíveis à velocidade de acesso e latência de resposta, como jogos e transações online.	Usa resolução DNS inteligente e o algoritmo de back-to-origin Least time para garantir a menor latência em todo o caminho, desde o nó de proteção até o servidor de origem.

Retry Back-to-origin Requests: O número de sondagens de verificação de integridade usadas para verificar a disponibilidade do servidor de origem para encaminhamento de nome de domínio. O valor padrão é 3. O mecanismo de nova tentativa de back-to-origin funciona da seguinte forma:
1. A nova tentativa de back-to-origin é acionada apenas quando o tráfego do service acessa um nó do Anti-DDoS Proxy. O nó tenta novamente a solicitação de back-to-origin quando detecta que o servidor de origem do nome de domínio está indisponível.
2. Se o servidor de origem ainda estiver inacessível após o número máximo de novas tentativas, ele entra em estado silencioso. Durante esse estado, nenhum tráfego é encaminhado para o servidor de origem e nenhuma sonda é enviada.
3. Após o término do estado silencioso, a nova tentativa de back-to-origin é acionada novamente com base no tráfego do service. Se a nova tentativa for bem-sucedida, o servidor de origem será reativado.
Traffic Marking:
- Request Header Forwarding Configuration: O Anti-DDoS Proxy suporta o encaminhamento de cabeçalhos de solicitação. Você pode adicionar ou modificar cabeçalhos de solicitação HTTP ao encaminhar solicitações para o servidor de origem. Isso ajuda a identificar e marcar o tráfego que passa pelo Anti-DDoS Proxy.
  - Insert X-Client-IP to Get Originating IP Address: Transmite o endereço IP original do cliente.
  - Insert X-True-IP to Forward Client IP: Transmite o endereço IP que o cliente usou para estabelecer a conexão.
  - Insert Web-Server-Type to Get Service Type: Geralmente adicionado pelo primeiro proxy. Informa ao servidor backend qual servidor web front-end ou proxy lidou com a solicitação.
  - Insert WL-Proxy-Client-IP to Get Connection IP: Mesma função que X-Client-IP. Um cabeçalho específico do Oracle WebLogic Server.
  - X-Forwarded-Proto (Listener Protocol): O protocolo usado entre o cliente e o primeiro proxy.
- Marcas de tráfego
  - Marcas padrão
    Nota
    
    JA3 Fingerprint, JA4 Fingerprint, Client TLS Fingerprint e HTTP/2 Fingerprint requerem assistência do seu gerente de contas para configuração.
    
    Se o seu service usar campos personalizados em vez de marcas padrão, consulte Custom Header abaixo. Após configurá-lo, o servidor de origem analisará esse campo nas solicitações encaminhadas pelo Anti-DDoS Proxy. Para exemplos de análise, consulte Get the true source IP address after configuring Anti-DDoS Proxy.
    - Originating Port: O nome do campo de cabeçalho para a porta de origem do cliente no cabeçalho HTTP. Normalmente registrado no campo X-Forwarded-ClientSrcPort.
    - Originating IP Address: O nome do campo de cabeçalho para o endereço IP de origem do cliente no cabeçalho HTTP. Normalmente registrado no campo X-Forwarded-For.
    - JA3 Fingerprint: O nome do campo de cabeçalho HTTP que contém o hash MD5 da impressão digital JA3 do cliente. O campo padrão é ssl_client_ja3_fingerprinting_md5.
    - JA4 Fingerprint: O nome do campo de cabeçalho HTTP que contém o hash MD5 da impressão digital JA4 do cliente. O campo padrão é ssl_client_ja4_fingerprinting_md5.
    - Client TLS Fingerprint: O nome do campo de cabeçalho HTTP que contém o hash MD5 da impressão digital TLS do cliente. O campo padrão é ssl_client_tls_fingerprinting_md5.
    - HTTP/2 Fingerprint: O nome do campo de cabeçalho para o valor de hash MD5 gerado a partir da impressão digital HTTP/2.0 do cliente no cabeçalho HTTP. Normalmente registrado no campo http2_client_fingerprint_md5.
  - Custom Header: Adicione um cabeçalho HTTP personalizado (incluindo nome e valor do campo) para marcar solicitações que passam pelo Anti-DDoS Proxy. Quando o Anti-DDoS Proxy encaminha o tráfego do site, ele adiciona o valor do campo configurado às solicitações enviadas ao servidor de origem. Isso ajuda o service backend a analisar e rastrear o tráfego.
    - Restrições de nomenclatura: Para evitar a substituição de campos de cabeçalho de solicitação originais, não use os seguintes nomes de campo reservados ou comuns para o seu cabeçalho personalizado:
      - Campos padrão do Anti-DDoS Proxy:
        
        X-Forwarded-ClientSrcPort: Usado por padrão para obter a porta do cliente para acesso ao mecanismo da Camada 7.
        
        X-Forwarded-ProxyPort: Usado por padrão para obter a porta de escuta para acesso ao mecanismo da Camada 7.
        
        X-Forwarded-For: Usado por padrão para obter o endereço IP do cliente para acesso ao mecanismo da Camada 7.
        
        ssl_client_ja3_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital JA3 do cliente.
        
        ssl_client_ja4_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital JA4 do cliente.
        
        ssl_client_tls_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital TLS do cliente.
        
        http2_client_fingerprint_md5: Usado por padrão para obter o valor de hash MD5 da impressão digital HTTP/2.0 do cliente.
      - Campos HTTP padrão: Como host, user-agent, connection e upgrade.
      - Campos de proxy comuns: Como x-real-ip, x-true-ip, x-client-ip, web-server-type, wl-proxy-client-ip, eagleeye-rpcid, eagleeye-traceid, x-forwarded-cluster e x-forwarded-proto.
    - Limite de quantidade: Você pode adicionar até cinco rótulos de cabeçalho personalizado.
    - Recomendações de configuração:
      - Use default marks primeiro.
      - Verifique a configuração do campo de cabeçalho no ambiente de testes antes de aplicá-la ao ambiente de produção.
      - Recomendamos manter os valores dos campos com 100 caracteres ou menos para evitar afetar o desempenho de encaminhamento.
- CNAME Reuse: Selecione se deseja ativar a reutilização de CNAME. Após ativar a reutilização de CNAME, você pode adicionar vários nomes de domínio hospedados no mesmo servidor ao Anti-DDoS Proxy apontando seus registros DNS para o mesmo endereço CNAME do Anti-DDoS Proxy. Não é necessário adicionar uma configuração de site separada para cada nome de domínio. Para mais informações, consulte CNAME reuse.
  
  Importante
  Apenas o Anti-DDoS Proxy (Outside Chinese Mainland) suporta este parâmetro.

Anti-DDoS:Add a website configuration

Escopo

Procedimento

Configuração básica

Configuração HTTPS

Configurações avançadas

Configurações de back-to-origin

Outras configurações

Verificar e entrar em operação

Cotas e limites

Referências

Registro ICP

Excluir uma configuração de site

FAQ