Controle quais endereços IP de source podem acessar sua instância do Anti-DDoS Proxy adicionando-os a uma lista de bloqueios (negar) ou lista de permissões (permitir). Essa configuração se aplica a todos os services associados à instância.
Como funciona
O Anti-DDoS Proxy mantém dois tipos de listas de controle de acesso baseadas em IP:
Lista de bloqueios: solicitações provenientes de endereços IP incluídos na lista de bloqueios são negadas.
Lista de permissões: solicitações originadas de endereços IP presentes na lista de permissões são sempre permitidas.
Caso o mesmo endereço IP conste em ambas as listas, a lista de permissões tem precedência.
O Anti-DDoS Proxy oferece suporte a listas de bloqueios e listas de permissões baseadas tanto em endereços IP quanto em nomes de domínio:
Baseada em endereço IP (este tópico): afeta todos os services adicionados a uma instância. Utilize esta opção quando precisar de controle de acesso em nível de instância.
Baseada em nome de domínio: afeta apenas nomes de domínio específicos. Use esta modalidade quando for necessário
Solucionar falsos positivos
Se solicitações de acesso legítimas forem bloqueadas inesperadamente, siga estas etapas para identificar a causa e restaurar o acesso.
Etapa 1: Adicione o endereço IP bloqueado à lista de permissões
No painel de navegação à esquerda, escolha Mitigation Settings > General Policies. Localize a seção Blacklist and Whitelist (IP address-based) e clique em Settings. No painel Configure Blacklist and Whitelist, selecione Whitelist, insira o endereço IP que foi bloqueado por engano (use vírgulas para separar vários endereços) e salve a alteração. Após adicionar um endereço IP à lista de permissões, as solicitações provenientes desse IP serão permitidas.
Etapa 2: Identifique o módulo de mitigação que bloqueou a solicitação usando a consulta completa de log
Se vários endereços IP forem bloqueados incorretamente, acesse Investigation > Full Log Query no painel de navegação à esquerda. O Full Log Query é um service de valor agregado e deve ser ativado antes do uso. Pesquise a solicitação bloqueada pelo ID da solicitação e verifique o campo last_module no resultado retornado para identificar qual módulo de mitigação efetuou o bloqueio.
Valores válidos para last_module:
|
Valor |
Descrição |
|
gfareaban |
Lista de bloqueios por localização |
|
gfbwip |
Lista de bloqueios e lista de permissões |
|
gfacl |
Políticas personalizadas de mitigação |
|
gfcc |
Modo de mitigação de inundação HTTP |
|
gfglobal |
Política global de mitigação |
Etapa 3: Desative ou ajuste o módulo de bloqueio
Com base no módulo identificado pelo campo last_module, ajuste a política correspondente na página Mitigation Settings. Por exemplo, altere o nível de proteção da política global de mitigação na lista suspensa, desative a lista de bloqueios por localização ou atualize as configurações na aba Protection for Website Services para mitigação de inundação HTTP.
Período de validade
|
Tipo de lista |
Duração |
|
Lista de bloqueios personalizada |
Permanente |
|
Lista de bloqueios gerada pelo algoritmo de proteção inteligente |
De 5 minutos a 1 hora. Para endereços IP que lançam ataques frequentemente, o período de bloqueio pode ser estendido automaticamente. |
|
Lista de permissões personalizada |
Permanente |
Nota: Apenas listas de permissões personalizadas são suportadas. Não existe lista de permissões gerada por algoritmo.
Limites
É possível adicionar até 2.000 endereços IP ou blocos CIDR à lista de bloqueios e outros 2.000 à lista de permissões, considerando todas as instâncias do Anti-DDoS Proxy sob a mesma conta da Alibaba Cloud.
Para mover um endereço IP da lista de permissões para a lista de bloqueios, remova-o primeiro da lista de permissões.
-
Restrições de formato de endereço IP:
Instâncias somente IPv4 aceitam endereços IPv4 e blocos CIDR (/8–/32).
Instâncias somente IPv6 aceitam endereços IPv6 e blocos CIDR (/32–/128).
Os seguintes endereços não são permitidos:
0.0.0.0,255.255.255.255(IPv4);::,ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff(IPv6).
Pré-requisitos
Antes de começar, certifique-se de ter:
Uma instância do Anti-DDoS Proxy (Chinese Mainland) ou Anti-DDoS Proxy (Outside Chinese Mainland) instance.
Configure a lista de bloqueios ou lista de permissões de IP
Faça login no console do Anti-DDoS Proxy.
-
Na barra de navegação superior, selecione a região da sua instância:
Chinese Mainland para instâncias do Anti-DDoS Proxy (Chinese Mainland)
Outside Chinese Mainland para instâncias do Anti-DDoS Proxy (Outside Chinese Mainland)
No painel de navegação à esquerda, escolha Mitigation Settings > General Policies.
Na aba Protection for Infrastructure, selecione sua instância do Anti-DDoS Proxy na lista. A busca pode ser feita por ID ou descrição da instância.
Na seção Blacklist and Whitelist (IP address-based), clique em Settings.
-
No painel Configure Blacklist and Whitelist, selecione Blacklist ou Whitelist e insira os endereços IP ou blocos CIDR a serem adicionados.
Utilize vírgulas para separar múltiplas entradas. Formatos de endereço IP ou máscara de sub-rede são suportados. Exemplos:
Formato
Exemplo
Descrição
Endereço IPv4 único
203.0.113.42Bloqueia ou permite um endereço IP específico
Bloco CIDR IPv4
203.0.113.0/24Abrange o intervalo 203.0.113.0–203.0.113.255
Endereço IPv6 único
2001:db8::1Bloqueia ou permite um endereço IPv6 específico
Bloco CIDR IPv6
2001:db8::/32Cobre um intervalo de endereços IPv6
Após salvar, é possível excluir em lote, baixar ou limpar a lista.