Anti-DDoS:configure uma política de mitigação de DDoS

Visão geral do recurso

As políticas de mitigação de DDoS para service não web oferecem proteção no nível de "endereço IP + porta". Para as combinações de "endereço IP + porta" de service não web adicionados às instâncias do Anti-DDoS Proxy, essas políticas limitam parâmetros como a taxa de conexão e o comprimento do pacote para mitigar ataques de inundação de conexões de baixo volume. Uma política de mitigação de DDoS entra em vigor no nível da porta.

Pré-requisitos

Adicione um service não web ao Anti-DDoS Proxy. Para mais informações, consulte gerencie forwarding rules.

configure uma única política de mitigação de DDoS

1. Acesse a página General Policies no console do Anti-DDoS Proxy.

2. Na barra de navegação superior, selecione a região da sua instância.

   • Anti-DDoS Proxy (Chinese Mainland): escolha a região Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): escolha a região Outside Chinese Mainland.

3. Na página General Policies, clique em aba Protection for Non-website Services e selecione a instância do Anti-DDoS Proxy a ser configure na parte superior da página.

4. Na lista de regras de encaminhamento à esquerda, clique em regra de encaminhamento que deseja configure e configure a política de mitigação.

   • False Source: aplica-se apenas a regras de encaminhamento de porta TCP.

     Parâmetro	Descrição
     False Source	Ao ative este recurso, o sistema filtra automaticamente as solicitações de conexão de endereços IP de origem falsificados. Ao desative o False Source, o sistema também desativa a Empty Connection. Se você desative o False Source, nem a Empty Connection nem o Advanced Attack Mitigation entrarão em vigor.
     Empty Connection	Ao ative este recurso, o sistema filtra automaticamente as solicitações de conexão vazia. É necessário ative o False Source antes de ativar a Empty Connection.

   • Advanced Attack Mitigation: aplica-se apenas a regras de encaminhamento de porta TCP. Ao ative este recurso, o nível de proteção padrão é Normal. Para ative o Advanced Attack Mitigation, é necessário ative primeiro o False Source.

     Nível de proteção	Efeito da proteção	Cenários comuns
     Loose	Bloqueia solicitações com características óbvias de ataque. Um pequeno número de ataques pode passar, mas a taxa de falsos positivos é extremamente baixa.	Adequado para service que envolvem grandes quantidades de transmissão unidirecional de dados, como transmissões ao vivo, streaming de mídia e downloads, ou service cujo servidor de origem possui grande largura de banda.
     Normal (recomendado)	Na maioria dos casos, este nível não afeta o tráfego normal e equilibra o efeito de proteção com a taxa de falsos positivos. Selecione este nível para uso geral.	Adequado para a maioria dos cenários de negócios.
     Strict	Realiza verificação rigorosa de ataques maliciosos, mas pode causar alguns falsos positivos.	Adequado para cenários em que o servidor de origem tem largura de banda limitada ou a proteção é insuficiente.

   • Session Feature Filtering: defina regras personalizadas de controle de acesso de precisão com base em pacotes de sessão (payload). Se uma regra contiver várias condições de correspondência, o sistema executa a ação apenas quando todas as condições forem atendidas.

     Nota

     As regras inteligentes de controle de acesso de precisão emitidas pela proteção inteligente com IA também são exibidas aqui.

     Parâmetro	Descrição
     Rule Name	O nome personalizado da regra.
     Match Conditions	Match Conditions: o formato do pacote de sessão (payload). Selecione String ou Hexadecimal. Match Range: as posições inicial e final do payload para correspondência. Valores válidos para a posição inicial e final: 0 a 1499. Unidade: bytes. A posição inicial deve ser menor ou igual à posição final. Logical Operator: valores válidos: Include e Not Include. Field Value: Se Match Conditions estiver defina como String, o tamanho do conteúdo de correspondência não pode exceder 1500, e deve ser menor ou igual a (posição final - posição inicial + 1). Se Match Conditions estiver defina como Hexadecimal, o conteúdo de correspondência deve consistir em caracteres hexadecimais, o tamanho não pode exceder 3000 e deve ser um número par. O tamanho do conteúdo de correspondência dividido por 2 deve ser menor ou igual a (posição final - posição inicial + 1).
     Action	Monitor: se a solicitação corresponder à regra de observação, o sistema permite a solicitação de acesso. Block: se a solicitação corresponder à regra de bloqueio, o sistema nega a solicitação de acesso. Block and Add to Blacklist: se a solicitação corresponder à regra de bloqueio, o sistema nega a solicitação de acesso e adiciona o endereço IP de origem à lista de bloqueios. Você pode defina a duração da lista de bloqueios de 300 a 600 segundos.

   • Whitelist: é possível adicionar manualmente até 2.000 endereços IP ou blocos CIDR a cada lista de permissões.

     • As instâncias IPv4 do Anti-DDoS Proxy aceitam apenas endereços IP ou blocos CIDR no formato IPv4. As instâncias IPv6 do Anti-DDoS Proxy aceitam apenas endereços IP ou blocos CIDR no formato IPv6.

     • Os blocos CIDR IPv4 aceitam de /8 a /32. Os blocos CIDR IPv6 aceitam de /32 a /128.

     • Os endereços IPv4 não podem ser defina como 0.0.0.0 ou 255.255.255.255. Os endereços IPv6 não podem ser defina como :: ou ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff.

   • Rate Limit for Source:

     • Descrição dos parâmetros:

       Parâmetro	Descrição
       New Connections Limit for Source	Limita o número de novas conexões por segundo a partir de um único endereço IP de origem. Valores válidos: 1 a 50.000. Unidade: conexões. O sistema descarta as novas conexões que excedem o limite. Automatic: o sistema calcula dinâmica e automaticamente o limiar de taxa para novas conexões por endereço IP de origem. Não é necessário defina o limiar manualmente. Manual: defina manualmente o limiar de taxa para novas conexões por endereço IP de origem. Nota Como os dispositivos de proteção são implantados em um cluster, o limite de taxa para novas conexões tem uma margem de erro.
       Concurrent Connections Limit for Source	Limita o número de conexões simultâneas a partir de um único endereço IP de origem. Valores válidos: 1 a 50.000. Unidade: conexões. O sistema descarta as conexões simultâneas que excedem o limite.
       PPS Limit for Source	Limita o número de pacotes encaminhados a partir de um único endereço IP de origem. Valores válidos: 1 a 100.000. Unidade: pacotes/s. O sistema descarta os pacotes de dados que excedem o limite.
       Bandwidth Limit for Source	Limita a largura de banda das solicitações de origem a partir de um único endereço IP de origem. Valores válidos: 1024 a 268.435.456. Unidade: bytes/s.

     • Política de lista de bloqueios:

       • A opção If the number of new connections from a source exceeds the limit five times within 60 seconds, the source IP address is added to the blacklist. está disponível. Se um endereço IP de origem for adicionado à lista de bloqueios, o sistema descarta todas as solicitações de conexão desse endereço IP.

       • Ao ativar a política de lista de bloqueios, defina o Blacklist Validity Period. Valores válidos: 1 a 10.080. Unidade: minutos. Valor padrão: 30 minutos. O endereço IP é liberado automaticamente quando o período de validade termina.

   • Speed Limit for Destination: as regras de encaminhamento de porta TCP e as regras de encaminhamento de porta UDP têm configurações padrão diferentes.

     • Regras de encaminhamento de porta TCP

       Parâmetro	Descrição
       New Connections Limit for Destination	Limita o número máximo de novas conexões por segundo na porta do endereço IP do Anti-DDoS Proxy. O sistema descarta as novas conexões que excedem o limite. Valores válidos: 100 a 100.000. Unidade: conexões. Este recurso vem ative por padrão com o valor 100.000. Não é possível desative este recurso. Se você tentar desative-lo, o valor será restaurado para o padrão de 100.000. Nota Como os dispositivos de proteção são implantados em um cluster, o limite de taxa para novas conexões tem uma margem de erro.
       Concurrent Connections Limit for Destination	Limita o número máximo de conexões simultâneas na porta do endereço IP do Anti-DDoS Proxy. O sistema descarta as conexões simultâneas que excedem o limite. Valores válidos: 1.000 a 2.000.000. Unidade: conexões. Este recurso vem ative por padrão com o valor 2.000.000. Não é possível desative este recurso. Se você tentar desative-lo, o valor será restaurado para o padrão de 2.000.000.

     • Regras de encaminhamento de porta UDP

       Parâmetro	Descrição
       New Connections Limit for Destination	Limita o número máximo de novas conexões por segundo na porta do endereço IP do Anti-DDoS Proxy. O sistema descarta as novas conexões que excedem o limite. Este recurso vem desative por padrão. Valores válidos: 100 a 50.000. Unidade: conexões. Nota Como os dispositivos de proteção são implantados em um cluster, o limite de taxa para novas conexões tem uma margem de erro.
       Concurrent Connections Limit for Destination	Limita o número máximo de conexões simultâneas na porta do endereço IP do Anti-DDoS Proxy. O sistema descarta as conexões simultâneas que excedem o limite. Valores válidos: 1.000 a 200.000. Unidade: conexões. Este recurso vem ative por padrão com o valor 200.000. Não é possível desative este recurso. Se você tentar desative-lo, o valor será restaurado para o padrão de 200.000.

   • Packet Length Limit: na seção Packet Length Limit, clique em Settings e defina os comprimentos mínimo e máximo do payload contido nos pacotes autorizados a passar pela porta do endereço IP do Anti-DDoS Proxy. Valores válidos: 0 a 1500. Unidade: bytes. Em seguida, clique em OK.

Adicionar políticas de mitigação de DDoS em lotes

1. Acesse o console do Anti-DDoS Proxy.

2. Na barra de navegação superior, selecione a região da sua instância.

   • Anti-DDoS Proxy (Chinese Mainland): escolha a região Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): escolha a região Outside Chinese Mainland.

3. No painel de navegação à esquerda, escolha Onboarding > Port Config.

4. Na página Port Config, selecione a instância do Anti-DDoS Proxy e clique em Batch Operations > Create Mitigation Policy abaixo da lista de regras.

5. Na caixa de diálogo Create Mitigation Policy, insira o conteúdo da política de mitigação que deseja adicionar no formato exigido e clique em OK.

   Nota

   Também é possível exportar em lote as políticas de mitigação de DDoS atuais, ajustar as políticas no arquivo TXT exportado e, em seguida, copiar e colar o conteúdo na caixa de diálogo. O formato das políticas de mitigação de DDoS no arquivo exportado é o mesmo formato exigido para adicionar políticas de mitigação de DDoS em lotes. Para mais informações, consulte Export multiple port configurations at a time.

   • Cada linha corresponde à política de mitigação de DDoS de uma regra de encaminhamento.

   • Cada política de mitigação de DDoS contém os seguintes campos da esquerda para a direita: porta do protocolo de encaminhamento, protocolo de encaminhamento (TCP ou UDP), limite de novas conexões para a origem, limite de conexões simultâneas para a origem, limite de novas conexões para o destino, limite de conexões simultâneas para o destino, comprimento mínimo do pacote, comprimento máximo do pacote, chave de origem falsa e chave de conexão vazia. Os campos são separados por espaços.

   • A porta do protocolo de encaminhamento deve ser uma porta com uma regra de encaminhamento configure.

   • Os valores da chave de origem falsa e da chave de conexão vazia são on e off. Se o valor estiver vazio, a chave estará desligada (ou seja, off).