Este tópico descreve o faturamento da capacidade de proteção elástica para instâncias do Anti-DDoS Proxy.
O que é a capacidade de proteção elástica?
A capacidade de proteção elástica é a capacidade máxima de uma instância do Anti-DDoS Proxy para mitigar ataques DDoS. A capacidade de proteção elástica deve ser maior que a largura de banda de proteção básica. Caso você defina a capacidade de proteção elástica com o mesmo valor da largura de banda de proteção básica, a instância não usará a proteção expansível e nenhuma fatura de pagamento conforme o uso será gerada.
Diferenças entre a largura de banda de proteção básica e a capacidade de proteção elástica
A largura de banda de proteção básica e a capacidade de proteção elástica são duas capacidades de mitigação de uma instância do Anti-DDoS Proxy. Elas diferem fundamentalmente no método de faturamento, nas condições de ativação e na função:
|
Item |
Largura de banda de proteção básica |
Capacidade de proteção elástica |
|
Método de faturamento |
Assinatura (pré-pago), selecionado no momento da compra da instância |
Pagamento conforme o uso (faturamento diário), cobrado apenas quando a proteção expansível é acionada |
|
Condições de ativação |
Sempre ativa para a instância, fornecendo a capacidade de mitigação do Anti-DDoS Basic (limiar de blackhole) |
Acionada apenas quando o tráfego de ataque excede a largura de banda de proteção básica, mas não ultrapassa a capacidade de proteção elástica |
|
Função |
A capacidade máxima de mitigação simultânea da instância, que defende continuamente contra ataques de rotina |
O limite estendido de mitigação para ataques de pico, que fornece capacidade de curto prazo para suportar picos de tráfego |
|
Comportamento quando excedido |
Após o tráfego de ataque exceder a largura de banda de proteção básica, a capacidade de proteção elástica continua a mitigar o ataque, desde que a proteção expansível esteja ativada |
Quando o tráfego de ataque excede o limite superior da capacidade de proteção elástica, o endereço IP do ativo atacado entra em status de filtragem blackhole e nenhuma taxa de proteção elástica é incorrida |
A largura de banda de proteção básica é a capacidade de mitigação do Anti-DDoS Basic que permanece ativa para a instância. Não se trata de uma cota consumida após um único uso. A capacidade de proteção elástica é um limite estendido para ataques de pico, e não um dimensionamento automático ilimitado. A capacidade real de mitigação é limitada pela especificação de capacidade de proteção elástica que você configura. O Anti-DDoS Proxy (proteção expansível) e o Anti-DDoS Native (plano Anti-DDoS) são produtos de proteção diferentes, e suas regras de faturamento e dedução são independentes entre si.
Tipos de instância que suportam a capacidade de proteção elástica
Anti-DDoS Proxy (Chinese Mainland): edição Professional
Condições para incorrer em taxas
A cobrança das taxas de proteção elástica ocorre apenas quando o pico de tráfego de entrada para ativos com endereços IP públicos atribuídos é maior que a largura de banda de proteção básica e menor que a capacidade de proteção elástica.
Se o pico de tráfego de entrada for menor que a largura de banda de proteção básica ou maior que a capacidade de proteção elástica, a proteção expansível não será acionada e nenhuma taxa de proteção elástica será incorrida.
Se o pico de tráfego de entrada for maior que a capacidade de proteção elástica, a instância não conseguirá mitigar o ataque DDoS e o endereço IP do ativo atacado entrará em status de filtragem blackhole. Para mais informações, consulte Alibaba Cloud blackhole filtering policy.
Como as taxas são calculadas
Primeiro, subtraia a largura de banda de proteção básica do pico de tráfego de entrada que acionou a proteção expansível naquele dia. Em seguida, encontre a faixa de faturamento em que o resultado se enquadra na tabela a seguir para determinar as taxas de proteção elástica daquele dia.
Se a proteção expansível for acionada várias vezes dentro de um dia civil, as taxas de proteção elástica para aquele dia serão calculadas com base no maior pico de tráfego de entrada entre esses eventos, independentemente do número de ataques.
|
Faixa de faturamento |
Taxa de proteção elástica (unidade: USD/dia) |
|
(0 Gbps,5 Gbps] |
120 |
|
(5 Gbps,10 Gbps] |
180 |
|
(10 Gbps,20 Gbps] |
330 |
|
(20 Gbps,30 Gbps] |
540 |
|
(30 Gbps,40 Gbps] |
730 |
|
(40 Gbps,50 Gbps] |
960 |
|
(50 Gbps,60 Gbps] |
1.170 |
|
(60 Gbps,70 Gbps] |
1.380 |
|
(70 Gbps,80 Gbps] |
1.590 |
|
(80 Gbps,100 Gbps] |
1.770 |
|
(100 Gbps,150 Gbps] |
2.190 |
|
(150 Gbps,200 Gbps] |
3.240 |
|
(200 Gbps,300 Gbps] |
4.200 |
|
(300 Gbps,400 Gbps] |
6.000 |
|
(400 Gbps,500 Gbps] |
7.510 |
|
(500 Gbps,600 Gbps] |
9.010 |
|
(600 Gbps,700 Gbps] |
10.510 |
|
(700 Gbps,800 Gbps] |
12.010 |
|
(800 Gbps,900 Gbps] |
13.510 |
|
(900 Gbps,1000 Gbps] |
15.010 |
|
(1000 Gbps,1100 Gbps] |
16.510 |
|
(1100 Gbps,1200 Gbps] |
18.010 |
|
(1200 Gbps,1300 Gbps] |
19.510 |
|
(1300 Gbps,1400 Gbps] |
21.010 |
|
(1400 Gbps,2000 Gbps] |
22.520 |
Ciclo de faturamento
Pagamento conforme o uso, com faturamento diário. A fatura é gerada entre 08:00 e 09:00 (UTC+8) do dia seguinte.
Exemplo de faturamento
Uma instância do Anti-DDoS Proxy tem uma largura de banda de proteção básica de 30 Gbps e uma capacidade de proteção elástica de 100 Gbps. Em um determinado dia, a instância sofre quatro ataques DDoS, e o pico de tráfego de entrada de cada ataque é de 20 Gbps, 80 Gbps, 40 Gbps e 120 Gbps.
Análise de custos:
O pico de tráfego de entrada é de 20 Gbps, valor menor que a largura de banda de proteção básica de 30 Gbps. A proteção expansível não é acionada, portanto, nenhuma taxa de proteção elástica é incorrida.
O pico de tráfego de entrada é de 80 Gbps, valor maior que a largura de banda de proteção básica de 30 Gbps e menor que a capacidade de proteção elástica de 100 Gbps. A proteção expansível é acionada, logo, taxas de proteção elástica são incorridas.
O pico de tráfego de entrada é de 40 Gbps, valor maior que a largura de banda de proteção básica de 30 Gbps e menor que a capacidade de proteção elástica de 100 Gbps. A proteção expansível é acionada, logo, taxas de proteção elástica são incorridas.
O pico de tráfego de entrada é de 120 Gbps, valor maior que a capacidade de proteção elástica de 100 Gbps. A instância não consegue mitigar o ataque DDoS e o endereço IP do ativo atacado entra em status de filtragem blackhole. A proteção expansível não é acionada, portanto, nenhuma taxa de proteção elástica é incorrida.
Cálculo de custos: O maior pico de tráfego de entrada que realmente acionou a proteção expansível naquele dia foi de 80 Gbps. Ao subtrair a largura de banda de proteção básica de 30 Gbps, obtém-se 50 Gbps, o que se enquadra na faixa de faturamento de (40 Gbps,50 Gbps]. Portanto, as taxas de proteção elástica incorridas naquele dia são de USD 960.
Ative a capacidade de proteção elástica
Ative durante a compra
Acesse a página de compra do Anti-DDoS Proxy (Chinese Mainland). Ao comprar uma instância, configure a capacidade de proteção elástica e ative a proteção expansível. Certifique-se de que a capacidade de proteção elástica seja maior que a largura de banda de proteção básica.
A largura de banda de proteção básica é faturada antecipadamente no modelo de assinatura, e a capacidade de proteção elástica é a largura de banda de proteção máxima. Se a capacidade de proteção elástica for igual à largura de banda de proteção básica, nenhuma taxa de pagamento conforme o uso será gerada. Se a capacidade de proteção elástica for maior que a largura de banda de proteção básica, o excedente será faturado diariamente no modelo de pagamento conforme o uso.
Ative após a compra
Faça login na página Instances no console do Anti-DDoS Proxy.
Na página Instances, na seção Protection Bandwidth:, modifique a capacidade de proteção elástica. Certifique-se de que a capacidade de proteção elástica seja maior que a largura de banda de proteção básica.
Perguntas frequentes
Como escolher um plano do Anti-DDoS Proxy e avaliar os requisitos de proteção expansível com base no tráfego de ataque atual?
Para que você escolha um plano de proteção DDoS adequado, avalie o tráfego de ataque com base nas seguintes estratégias:
Primeiro, selecione uma especificação de largura de banda de proteção básica: Compre uma especificação de largura de banda de proteção básica que corresponda ao tráfego de ataque que sua empresa enfrenta diariamente. A largura de banda de proteção básica fornece a capacidade de mitigação do Anti-DDoS Basic, que está sempre ativa e é adequada para defesa contra ataques de rotina.
Ative a capacidade de proteção elástica para lidar com picos de tráfego: Se sua empresa puder sofrer ataques volumétricos repentinos que excedam a largura de banda de proteção básica, ative a capacidade de proteção elástica. A capacidade de proteção elástica fornece capacidade de curto prazo para suportar picos de tráfego e incorre em taxas diárias de pagamento conforme o uso apenas quando é realmente acionada. Avalie a especificação de proteção expansível selecionada com base no orçamento da sua empresa.
Faça upgrade da especificação quando o limite for continuamente excedido: Se o tráfego de ataque exceder continuamente o limite superior da capacidade de proteção elástica atual, os endereços IP dos seus ativos entrarão frequentemente em status de filtragem blackhole. Para melhorar a capacidade de mitigação, faça upgrade da especificação de largura de banda de proteção básica ou aumente a especificação da capacidade de proteção elástica.
O que fazer se o tráfego alto persistir após eu ajustar a largura de banda e restringir endereços IP suspeitos?
Se você ajustou a configuração de largura de banda e restringiu endereços IP suspeitos, mas o tráfego anormalmente alto persistir, solucione o problema executando as seguintes etapas:
Passo 1: verifique o tipo de tráfego: Primeiro, confirme se o tráfego alto atual é um tráfego de service normal e não um tráfego de ataque DDoS. Use o recurso de análise de tráfego de rede no console do Anti-DDoS Proxy e visualize a source e as características do tráfego, distinguindo o acesso normal ao service do tráfego de ataque.
Lide com o crescimento do tráfego de service normal: Se for confirmado que a largura de banda insuficiente é causada pelo crescimento do tráfego normal do service, faça upgrade da largura de banda de proteção básica ou da especificação da capacidade de proteção elástica para garantir que a capacidade de mitigação cubra o pico normal de tráfego da sua empresa.
Mitigue ataques na camada de aplicação: Se você suspeitar que o tráfego incomum é causado por ataques na camada de aplicação (camada 7), como ataques de inundação HTTP, observe que o Anti-DDoS Proxy mitiga principalmente ataques na camada de rede (camadas 3 e 4). Sua capacidade de bloquear ataques na camada de aplicação é limitada. Use a edição de pagamento conforme o uso do Web Application Firewall (WAF) para testes e mitigação. O WAF pode identificar e bloquear solicitações maliciosas na camada de aplicação.