Anti-DDoS:Proteja os service de site

Escopo de aplicação

• Instância do Anti-DDoS Proxy: Você adquiriu uma instância do Anti-DDoS Proxy de acordo com as necessidades do seu negócio. Para mais informações, consulte Purchase an Anti-DDoS Proxy instance.

• Registro ICP: Se você usar uma instância do Anti-DDoS Proxy implantada na China continental, certifique-se de que seu domínio possui registro ICP.

Etapa 1: Adicione seu service de site

Para proteger seu site com o Anti-DDoS Proxy, primeiro adicione o nome de domínio do seu site e configure uma regra de encaminhamento de tráfego no console do Anti-DDoS Proxy.

1. Acesse a página Website Config no console do Anti-DDoS Proxy.

2. Na barra de navegação superior, selecione a região da sua instância.

   • Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.

   • Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.

3. Na página Website Config, clique em Add Website.

   Nota

   Você também pode clicar em Batch Import na parte inferior da página para importar várias configurações de site de uma só vez. As configurações devem estar em um arquivo XML. Para mais informações sobre o formato do arquivo, consulte Other operations.

4. insira as informações do Website Config e clique em Next.

   Basic configuration

   • Function Plan: selecione o plano de função da instância do Anti-DDoS Proxy a ser associada. Opções: Standard e Enhanced.

     Nota

     Passe o mouse sobre o ícone após Function Plan para visualize as diferenças de recursos entre o plano de função Standard e o plano de função Enhanced. Para mais informações, consulte differences between Standard and Enhanced function plans.

   • Instance: selecione a instância do Anti-DDoS Proxy a ser associada.

     Importante

     Um nome de domínio pode ser associado a, no máximo, oito instâncias do Anti-DDoS Proxy. As instâncias devem usar o mesmo Function Plan.

   • Websites: insira o nome de domínio do site a ser protegido. É possível inserir um nome de domínio de correspondência exata, como www.example.com, ou um nome de domínio curinga, como *.example.com.

     Nota

     • Se existirem configurações tanto para um nome de domínio curinga (por exemplo, *.aliyundoc.com) quanto para um nome de domínio de correspondência exata (por exemplo, www.aliyundoc.com), o Anti-DDoS Proxy prioriza as regras de encaminhamento e as políticas de mitigação do nome de domínio de correspondência exata (www.aliyundoc.com).

     • Ao inserir um domínio raiz, apenas ele será protegido. Domínios de segundo nível e outros subdomínios não serão protegidos. Para proteger um domínio de segundo nível, insira o domínio de segundo nível ou um nome de domínio curinga.

     • insira apenas um nome de domínio, não um endereço IP.

   • Protocol Type: selecione os protocolos suportados pelo site.

     • http / HTTPS: Os protocolos básicos para service web.

       Nota

       Para informações sobre as configurações de HTTPS, consulte a descrição na aba HTTPS configuration.

     • WebSocket / WebSocket: Protocolos de comunicação em tempo real. Ao selecionar um desses protocolos, http ou HTTPS será selecionado automaticamente.

   • Server Address: defina o endereço do servidor backend (servidor de source) usado pelo Anti-DDoS Proxy durante a busca na source.

     • Origin IP Address: insira os endereços IP públicos do servidor de source. É possível inserir vários endereços IP, separados por vírgulas. Exemplos:

       • Servidor de source na Alibaba Cloud: insira o endereço IP público da instância ecs de source. Se uma instância SLB estiver implantada antes da instância ecs, insira o endereço IP público da instância SLB.

       • Servidor de source em um data center não gerenciado pela Alibaba Cloud ou em outra plataforma de cloud: Execute o comando ping <domain name> para consultar o endereço IP público para o qual o nome de domínio é resolvido. Em seguida, insira o endereço IP público.

     • Origin Domain Name:

       • Cenários: Esta opção é adequada para cenários em que outro service de proxy está configurado entre o servidor de source e o Anti-DDoS Proxy. Exemplos:

         • Se o WAF for usado como o proxy precedente, você pode inserir o CNAME da instância WAF. Para mais informações, consulte Improve website protection by deploying Anti-DDoS Proxy and WAF together.

         • Ao definir Origin Domain Name como o default public endpoint de um bucket OSS, anexe um nome de domínio personalizado ao bucket. Para mais informações, consulte Attach a custom domain name.

       • Limites: configure no máximo 10 nomes de domínio de source. Separe-os com quebras de linha.

   • Server Port: defina a porta usada pelo servidor de source para escutar os service do site.

     • http/WebSocket: A porta padrão é 80.

     • HTTPS/WebSocket: A porta padrão é 443.

     • Custom Server Port:

       • Múltiplas portas: especifique várias portas, separadas por vírgulas. O número total de portas personalizadas para todos os service de site protegidos pela instância Anti-DDoS Proxy não pode exceder 10. Isso inclui portas personalizadas para diferentes protocolos.

       • Intervalo de portas (http/HTTPS): 80 a 65535

   HTTPS configuration

   Ao selecionar HTTPS para autenticação criptografada, conclua as seguintes configurações.

   • Configurar um certificado: Para ative o HTTPS, configure um certificado SSL correspondente ao nome de domínio do site.

   • configure TLS Security Settings:

     Nota

     Para mais informações, consulte Customize the TLS security policy for an HTTPS certificate of a server.

     • TLS Versions for SSL Certificate: selecione as versões TLS suportadas pelo certificado HTTPS padrão internacional.

       • TLS 1.0 and later. This setting provides the best compatibility but low security.: Suporta TLS 1.0, TLS 1.1 e TLS 1.2.

       • TLS 1.1 and later. This setting provides good compatibility and medium security.: Suporta TLS 1.1 e TLS 1.2.

       • TLS 1.2 and later. This setting provides good compatibility and high security level.: Suporta TLS 1.2.

       • Enable TLS 1.3 Support: Suporta TLS 1.3.

     • Cipher Suites for SSL Certificate: selecione uma suíte de criptografia suportada para o certificado HTTPS padrão internacional ou selecione uma suíte personalizada. Passe o ponteiro sobre o ícone de uma opção de suíte de criptografia para visualize as suítes incluídas.

   • Mutual Authentication:

     • Issued by Alibaba Cloud: selecione um certificado CA padrão na lista suspensa A default CA certificate is required.. Este certificado é emitido pelo Certificate Management Service (Original SSL Certificate) da Alibaba Cloud.

     • Not Issued by Alibaba Cloud:

       • Primeiro, faça o upload do certificado CA autoassinado para o Certificate Management Service (Original SSL Certificate). Para instruções detalhadas, consulte Upload Certificate Repository.

       • Na lista suspensa A default CA certificate is required., selecione o certificado CA autoassinado enviado.

   • Enable OCSP Stapling: OCSP significa Online Certificate Status Protocol. É usado para consultar a autoridade certificadora (CA) emissora do certificado do servidor e verifique se o certificado foi revogado. Durante um handshake TLS com o servidor, o cliente deve obter tanto o certificado quanto a resposta OCSP correspondente.

     Importante

     As respostas OCSP são assinadas digitalmente pela CA e não podem ser falsificadas. ative este recurso não introduz riscos adicionais de segurança.

     • Desativado (Padrão): O cliente envia uma consulta OCSP à CA durante o handshake TLS para verifique se o certificado foi revogado. Esse processo bloqueia a conexão e pode causar atrasos no carregamento da página se a rede estiver instável.

     • Ativado: O Anti-DDoS Proxy executa a consulta OCSP e armazena o resultado em cache por 3.600 segundos. Quando um cliente inicia uma solicitação de handshake TLS para o servidor, o Anti-DDoS Proxy envia a resposta OCSP em cache junto com a cadeia de certificados ao cliente. Isso evita o bloqueio causado por consultas no lado do cliente e melhora o desempenho do HTTPS.

   • SM Certificate: Apenas instâncias do Anti-DDoS Proxy (Chinese Mainland) suportam o upload de certificados HTTPS baseados em SM. Somente o algoritmo SM2 é suportado.

     • Allow Access Only from SM Certificate-based Clients: Desativado por padrão. Opções:

       • Ativado: Aceita apenas clientes com certificado SM.

         Nota

         Quando ativado, as suítes TLS, a autenticação mútua e as configurações de OCSP stapling para certificados HTTPS padrão internacional não entram em vigor.

       • Desativado: Aceita clientes com certificado SM ou padrão internacional.

     • SM Certificate: selecione um certificado SM na lista. Faça o upload do certificado para o Certificate Management Service primeiro.

     • SM Cipher Suites for HTTPS Support: As seguintes suítes de criptografia estão ativadas por padrão (não configuráveis):

       • ECC-SM2-SM4-CBC-SM3

       • ECC-SM2-SM4-GCM-SM3

       • ECDHE-SM2-SM4-CBC-SM3

       • ECDHE-SM2-SM4-GCM-SM3

     • Advanced settings

       • Enable HTTPS Redirection: Esta configuração é adequada para sites que suportam http e HTTPS. Ao ative esta configuração, todas as solicitações http são redirecionadas à força para solicitações HTTPS na porta 443 por padrão.

         Importante

         • ative esta configuração apenas se selecionar os protocolos http e HTTPS e não selecionar o protocolo WebSocket.

         • Ao acessar um site por uma porta http não padrão (diferente de 80) e ative o redirecionamento forçado para HTTPS, as solicitações de acesso serão redirecionadas para a porta HTTPS 443 por padrão.

       • HTTP/2 Listener: Se esta chave estiver ativada, os clientes que usam http/2 podem acessar o Anti-DDoS Proxy. No entanto, o Anti-DDoS Proxy ainda usa http/1.1 para retorno à source. As especificações do recurso http/2 são as seguintes:

         • Especificações básicas:

           • Tempo limite ocioso após o fechamento de uma conexão (http2_idle_timeout): 120 s

           • Número máximo de solicitações por conexão (http2_max_requests): 1.000

           • Número máximo de fluxos simultâneos por conexão (http2_max_concurrent_streams): 4

           • Tamanho máximo de toda a lista de cabeçalhos de solicitação após a descompactação HPACK (http2_max_header_size): 256 K

           • Tamanho máximo de um campo de cabeçalho de solicitação compactado por HPACK (http2_max_field_size): 64 K

         • Especificações configuráveis: defina o Upper Limit for HTTP/2 Streams, que é o número máximo de fluxos simultâneos permitidos entre o cliente e o Anti-DDoS Proxy.

       • Set Forward Connection Timeout: Este é o período de tempo limite ocioso para uma conexão tcp persistente estabelecida entre um cliente e o Anti-DDoS Proxy. É o tempo máximo de espera entre duas solicitações do cliente.

         Nota

         Se nenhuma nova solicitação for recebida dentro do período especificado, o Anti-DDoS Proxy fecha a conexão para liberar recursos.

     • insira as Forwarding Settings e clique em Next.

       Back-to-Origin settings

       • Back-to-origin Scheduling Algorithm: Ao configurar vários Origin IP Addresses ou Origin Domain Names, altere o algoritmo de balanceamento de carga ou defina pesos para diferentes servidores a fim de determinar como o tráfego é distribuído entre os servidores de source.

         Método	Cenários	Descrição
         Round-robin (Padrão)	Cenários que usam vários servidores de source e requerem alto desempenho de balanceamento de carga.	Todas as solicitações são distribuídas para todos os endereços de servidor alternadamente. Por padrão, todos os endereços de servidor têm o mesmo peso. Altere os pesos dos servidores conforme necessário. Um peso maior indica maior probabilidade de receber solicitações.
         IP hash	Cenários que requerem consistência de sessão. Em casos extremos, pode ocorrer desequilíbrio de carga.	As solicitações do mesmo endereço IP do cliente são sempre direcionadas ao mesmo servidor de source para garantir a consistência da sessão. defina pesos para servidores ao usar o algoritmo IP hash. Isso permite distribuir o tráfego com base nas capacidades de processamento do servidor e priorizar servidores com melhor desempenho.
         Least time	service altamente sensíveis à velocidade de acesso e latência de resposta, como jogos e transações online.	A capacidade de resolução dns inteligente e o algoritmo de menor tempo para retorno à source garantem a menor latência para todo o link do POP ao servidor de source.

       • Retry Back-to-origin Requests: Número de sondagens de verificação de integridade para verifique a disponibilidade do servidor de source para encaminhamento de domínio. O valor padrão é 3. O mecanismo de nova tentativa funciona da seguinte forma:

         1. O recurso de nova tentativa de retorno à source é acionado apenas quando o tráfego do service acessa uma zona de borda. Quando a zona de borda detecta que o servidor de source de um nome de domínio está indisponível, ela tenta novamente o retorno à source.

         2. Se o servidor de source continuar inacessível após o número máximo de novas tentativas, ele entra em um período de silêncio. Durante esse período, nenhum tráfego é encaminhado para o servidor de source e nenhuma sondagem é enviada.

         3. Após o término do período de silêncio, o recurso de nova tentativa de retorno à source é acionado novamente com base no tráfego do service. Se a nova tentativa for bem-sucedida, o servidor de source é reativado.

       • Traffic Marking:

         • Request Header Forwarding Configuration: O Anti-DDoS Proxy suporta o encaminhamento de cabeçalhos de solicitação. Adicione ou modifique cabeçalhos de solicitação http ao encaminhar solicitações para o seu servidor de source. Isso ajuda a identificar e marcar o tráfego que passa pelo Anti-DDoS Proxy.

           • Insert X-Client-IP to Get Originating IP Address: Transmite o endereço IP original do cliente.

           • Insert X-True-IP to Forward Client IP: Transmite o endereço IP que o cliente usou para estabelecer a conexão.

           • Insert Web-Server-Type to Get Service Type: Geralmente adicionado pelo primeiro proxy. Informa ao servidor backend qual servidor web frontend ou proxy lidou com a solicitação.

           • Insert WL-Proxy-Client-IP to Get Connection IP: Mesma função do X-Client-IP. Um cabeçalho específico do Oracle WebLogic Server.

           • X-Forwarded-Proto (Listener Protocol): O protocolo usado entre o cliente e o primeiro proxy.

         • Marcas de tráfego

           • Marcas padrão

             Nota

             • JA3 Fingerprint, JA4 Fingerprint, Client TLS Fingerprint e HTTP/2 Fingerprint requerem a assistência do seu gerente de conta para configuração.

             • Se o seu service usar campos personalizados em vez de marcas padrão, consulte Custom Header abaixo. Após a configuração, seu servidor de source analisará esse campo das solicitações encaminhadas pelo Anti-DDoS Proxy. Para exemplos de análise, consulte Get the true source IP address after configuring Anti-DDoS Proxy.

             • Originating Port: O nome do campo de cabeçalho para a porta de source do cliente no cabeçalho http. Normalmente registrado no campo X-Forwarded-ClientSrcPort.

             • Originating IP Address: O nome do campo de cabeçalho para o endereço IP de source do cliente no cabeçalho http. Normalmente registrado no campo X-Forwarded-For.

             • JA3 Fingerprint: O nome do campo de cabeçalho http que contém o hash MD5 da impressão digital JA3 do cliente. O campo padrão é ssl_client_ja3_fingerprinting_md5.

             • JA4 Fingerprint: O nome do campo de cabeçalho http que contém o hash MD5 da impressão digital JA4 do cliente. O campo padrão é ssl_client_ja4_fingerprinting_md5.

             • Client TLS Fingerprint: O nome do campo de cabeçalho http que contém o hash MD5 da impressão digital TLS do cliente. O campo padrão é ssl_client_tls_fingerprinting_md5.

             • HTTP/2 Fingerprint: O nome do campo de cabeçalho para o valor de hash MD5 gerado a partir da impressão digital http/2.0 do cliente no cabeçalho http. Normalmente registrado no campo http2_client_fingerprint_md5.

           • Custom Header: Adicione um cabeçalho http personalizado (incluindo nome e valor do campo) para marcar as solicitações que passam pelo Anti-DDoS Proxy. Quando o Anti-DDoS Proxy encaminha o tráfego do site, ele adiciona o valor do campo configurado às solicitações enviadas ao seu servidor de source. Isso ajuda seu service backend a analisar e rastrear o tráfego.

             • Restrições de nomenclatura: Para evitar a sobrescrita dos campos de cabeçalho de solicitação originais, não use os seguintes nomes de campo reservados ou comuns para o seu cabeçalho personalizado:

               • Campos padrão do Anti-DDoS Proxy:

                 • X-Forwarded-ClientSrcPort: Usado por padrão para obter a porta do cliente para acesso ao mecanismo da Camada 7.

                 • X-Forwarded-ProxyPort: Usado por padrão para obter a porta de escuta para acesso ao mecanismo da Camada 7.

                 • X-Forwarded-For: Usado por padrão para obter o endereço IP do cliente para acesso ao mecanismo da Camada 7.

                 • ssl_client_ja3_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital JA3 do cliente.

                 • ssl_client_ja4_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital JA4 do cliente.

                 • ssl_client_tls_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital TLS do cliente.

                 • http2_client_fingerprint_md5: Usado por padrão para obter o valor de hash MD5 da impressão digital http/2.0 do cliente.

               • Campos http padrão: Como host, user-agent, connection e upgrade.

               • Campos de proxy comuns: Como x-real-ip, x-true-ip, x-client-ip, web-server-type, wl-proxy-client-ip, eagleeye-rpcid, eagleeye-traceid, x-forwarded-cluster e x-forwarded-proto.

             • Limite de quantidade: Adicione até cinco rótulos de cabeçalho personalizados.

             • Recomendações de configuração:

               • Use default marks primeiro.

               • verifique a configuração do campo de cabeçalho no ambiente de testes antes de aplicá-la ao ambiente de produção.

               • Mantenha os valores dos campos com 100 caracteres ou menos para evitar afetar o desempenho de encaminhamento.

         • CNAME Reuse: selecione se deseja ative a reutilização de CNAME. Ao ative a reutilização de CNAME, adicione vários nomes de domínio hospedados no mesmo servidor ao Anti-DDoS Proxy apontando seus registros dns para o mesmo CNAME do Anti-DDoS Proxy. Não é necessário adicionar uma configuração de site separada para cada nome de domínio. Para mais informações, consulte CNAME reuse.

           Importante

           Este parâmetro é suportado apenas pelo Anti-DDoS Proxy (Outside Chinese Mainland).

         Other settings

         • Enable HTTP Redirection of Back-to-origin Requests: Se o seu site não suportar HTTPS para retorno à source, ative esta configuração. Ao ative esta configuração, todas as solicitações HTTPS são enviadas para o servidor de source via http, e todas as solicitações WebSocket são enviadas via WebSocket. A porta de source padrão é 80.

           Nota

           Ao acessar um site por uma porta HTTPS não padrão (diferente de 443) e ative o http para retorno à source, as solicitações de acesso serão redirecionadas para a porta http 80 do servidor de source por padrão.

         • HTTP/2.0 Origin: Ao ative o http/2.0 para solicitações de retorno à source, o Anti-DDoS Proxy usa http/2.0 para enviar solicitações à source.

           Aviso

           • Para configure este recurso, entre em contato com seu gerente de conta.

           • Se o seu servidor de source não suportar http/2.0, não configure este recurso. Caso contrário, seu site ficará inacessível.

         • Cookie Settings

           • Delivery Status: Ativado por padrão. O Anti-DDoS Proxy insere um cookie no cliente, como um navegador, para diferenciar clientes ou obter impressões digitais de clientes. Para mais informações, consulte Configure http flood protection.

             Importante

             Se ocorrerem falhas de login ou perdas de sessão após adicionar seu aplicativo ao Anti-DDoS Proxy, tente desativar esta chave. Observe que, ao desativar esta chave, alguns recursos de proteção contra http flood se tornarão ineficazes.

           • Secure Attribute: Desativado por padrão. Ao ative este atributo, o cookie será enviado apenas por conexões HTTPS, e não por conexões http. Isso ajuda a proteger o cookie contra roubo.

             Nota

             Recomendamos ative este atributo se o seu service de site suportar apenas conexões HTTPS.

         • Configure New Connection Timeout Period: O tempo que o Anti-DDoS Proxy aguarda para estabelecer uma conexão com o servidor de source.

           Nota

           Se uma conexão não for estabelecida dentro deste período, a tentativa será considerada uma falha.

         • Configure Read Connection Timeout Period: O tempo máximo que o Anti-DDoS Proxy aguarda por uma resposta do servidor de source após estabelecer uma conexão e enviar uma solicitação de leitura.

         • Configure Write Connection Timeout Period: O tempo que o Anti-DDoS Proxy aguarda após enviar dados e antes que o servidor de source comece a processá-los.

           Nota

           Se o Anti-DDoS Proxy não conseguir enviar todos os dados para o servidor de source ou se o servidor de source não começar a processar os dados dentro deste período, a tentativa será considerada uma falha.

         • Back-to-origin Persistent Connections: Uma conexão tcp entre um servidor de cache e um servidor de source permanece ativa por um período em vez de fechar após cada solicitação. Isso pode desperdiçar recursos. ative as Back-to-origin Persistent Connections para reduzir o tempo de estabelecimento de conexão e o consumo de recursos, além de melhorar a eficiência e a velocidade de processamento de solicitações.

           • Requests Reusing Persistent Connections: O número de solicitações http que podem ser enviadas por uma única conexão tcp do Anti-DDoS Proxy para o servidor de source. Isso reduz a latência e o consumo de recursos causados pelo estabelecimento e encerramento frequentes de conexões.

             Nota

             Recomendamos defina este valor como menor ou igual ao número de solicitações por conexão persistente configurado no servidor de source backend, como uma instância WAF ou SLB. Isso evita a inacessibilidade do service causada pelo encerramento da conexão.

           • Timeout Period of Idle Persistent Connections: O tempo máximo que uma conexão tcp persistente ociosa do Anti-DDoS Proxy para o servidor de source pode permanecer aberta no pool de conexões do Anti-DDoS Proxy. Se nenhuma nova solicitação for recebida dentro deste período, a conexão será fechada para liberar recursos do sistema.

             Nota

             Recomendamos defina este valor como menor ou igual ao período de tempo limite configurado no servidor de source backend, como uma instância WAF ou SLB. Isso evita a inacessibilidade do service causada pelo encerramento da conexão.

         Etapa 2: Direcione o tráfego do site para o Anti-DDoS Proxy

         O tráfego do site deve primeiro passar pelo Anti-DDoS Proxy para limpeza antes de ser encaminhado para o servidor de source. Isso permite que o Anti-DDoS Proxy proteja seu site contra ataques DDoS.

         Aviso

         Teste a configuração de encaminhamento localmente antes de atualize o dns. Alternar o dns sem verificação prévia pode causar a interrupção do service.

         Conclua estas três tarefas em ordem:

         1. Permita endereços IP de retorno à source. Adicione os intervalos de endereços IP de retorno à source do Anti-DDoS Proxy à lista de permissões do firewall ou grupo de segurança do seu servidor de source. Isso evita que o tráfego encaminhado pelo proxy seja bloqueado. Para instruções, consulte Add back-to-origin IP addresses to allowlist.

         2. verifique a configuração localmente. Antes de alterar seu registro dns, teste a configuração de encaminhamento modifique seu arquivo hosts local. Isso confirma se o tráfego é encaminhado e se o servidor de source responde corretamente. Para instruções, consulte Locally validate your forwarding configuration.

         3. atualize seu registro dns. Após a aprovação da verificação local, atualize o registro dns do seu domínio para apontar para o endereço CNAME fornecido pelo Anti-DDoS Proxy. Isso roteia o tráfego em tempo real através dos nós de limpeza do Anti-DDoS. Para instruções, consulte Point a domain name to Anti-DDoS Proxy.

         Etapa 3: configure políticas de mitigação

         Ao adicionar seu site, o Anti-DDoS Proxy ativa a Anti-DDoS Global Mitigation Policy, a Intelligent Protection e o Frequency Control por padrão. ative recursos de proteção adicionais ou modifique regras de proteção na aba Protection for Website Services.

         1. Na página Website Config, encontre o nome de domínio de destino e clique em Actions > Mitigation Settings.

         2. Na aba Protection for Website Services, crie uma política de mitigação para o nome de domínio de destino.

            Item de Configuração	Descrição
            Intelligent Protection	Ativado por padrão. A Intelligent Protection usa um mecanismo de análise inteligente e baseado em big data para aprender padrões de tráfego, detectar e bloquear novos tipos de ataques http flood e ajustar dinamicamente as políticas para bloquear solicitações maliciosas. Altere manualmente o modo e o nível de proteção. Para mais informações, consulte Use the intelligent protection feature.
            Anti-DDoS Global Mitigation Policy	Ativado por padrão. O Anti-DDoS Proxy fornece três políticas de mitigação global integradas classificadas por intensidade de limpeza de tráfego. Essas políticas ajudam a responder a ataques volumétricos imediatamente e melhoram a tempestividade da resposta. Para mais informações, consulte Configure the global mitigation policy.
            Blacklist and Whitelist	Ao ative esta política, as solicitações de endereços IP ou blocos CIDR na lista de bloqueios são bloqueadas, e as solicitações de endereços IP ou blocos CIDR na lista de permissões são permitidas sem filtragem por nenhuma política de mitigação. Para mais informações, consulte Configure blacklists and whitelists for domain names.
            Location Blacklist	Bloqueie todas as solicitações de acesso ao site de endereços IP em locais especifique. Para mais informações, consulte Configure a location blacklist for a domain name.
            Accurate Access Control	configure regras personalizadas de controle de acesso para filtrar solicitações com base em campos http comumente usados, como IP, URI, Referer, User-Agent e parâmetros. Permita, bloqueie ou verifique solicitações que correspondam às regras. Para mais informações, consulte Configure accurate access control rules.
            Frequency Control	Ativado por padrão. Restrinja a frequência de acesso de um único endereço IP de source ao seu site. O Frequency Control entra em vigor imediatamente após ser ativado. Por padrão, o modo Normal é usado para proteger seu site contra ataques http flood comuns. Altere manualmente o modo de proteção e crie regras personalizadas para reforçar a proteção. Para mais informações, consulte Configure frequency control.

         Etapa 4: visualize os dados de proteção

         Ao adicionar seu site ao Anti-DDoS Proxy, use os relatórios de segurança e os recursos de log no console do Anti-DDoS Proxy para visualize os dados de proteção.

         1. Na página Security Overview, visualize as estatísticas da instância e do nome de domínio, e os detalhes dos ataques DDoS. Para mais informações, consulte Security Overview.

         2. Na página Operation Logs, visualize registros de operações importantes. Para mais informações, consulte Operation logs.

         3. Na página Log Analysis, visualize os logs do seu site. Para mais informações, consulte Use the Log Analysis feature.

            Nota

            O recurso de análise de log é um service de valor agregado. Para usar este service, compre-o e ative-o. Após ative a análise de log, o Simple Log Service coleta e mantém logs de acesso ao site e ataques http flood. Pesquise e analise dados de log em tempo real e visualize resultados em painéis. Para mais informações, consulte What is Simple Log Service?.

         FAQ

         • Após adicionar meu site ao Anti-DDoS Proxy, os usuários relatam falhas de login ou perda de sessão.

           Este problema provavelmente é causado pelo recurso de inserção de cookie do Anti-DDoS Proxy, que é usado para proteção contra http flood. Tente desativar a chave Delivery Status em Forwarding Settings > Cookie Settings.

           Aviso

           Observe que desativar este recurso afeta a eficácia de algumas regras de proteção contra http flood.

         • Acabei de comprar uma instância. Meu site já está protegido?

           Não. Comprar uma instância é apenas o primeiro passo. Conclua a configuração Add Website no console e atualize o registro dns do seu domínio para apontar para o endereço CNAME fornecido pelo Anti-DDoS Proxy. O tráfego do seu site é protegido apenas após a alteração do dns entrar em vigor.