Anti-DDoS:FAQ for Anti-DDoS Proxy

Faturamento e especificações do product

• What happens after an Anti-DDoS Proxy instance expires?

• What are the limits on the number of protected ports and domain names that Anti-DDoS Proxy supports?

Integração e configuração

• How do I obtain the back-to-origin IP addresses of Anti-DDoS Proxy? Do I need to add them to a whitelist manually?

• Can I specify a private IP address as the origin IP address of Anti-DDoS Proxy? Is there a delay when I change the origin IP address?

• How does Anti-DDoS Proxy implement load balancing, health checks, and session persistence?

• Can Anti-DDoS Proxy work together with CDN or DCDN? How do I configure it?

Recursos e suporte a protocolos

• Which common protocols does Anti-DDoS Proxy support?

• What is the default connection timeout period of Anti-DDoS Proxy?

• How does Anti-DDoS Proxy support HTTPS?

Mecanismos de proteção e segurança

• What is the clean bandwidth of Anti-DDoS Proxy, and what can I do if the limit is exceeded?

• How do I handle the blackhole filtering status? Does an Anti-DDoS Proxy instance support manually deactivating blackhole filtering?

• Why does the Security Overview page show mitigated traffic even though the traffic scrubbing threshold is not reached?

• Does Anti-DDoS Proxy support blocking access from IP addresses outside the Chinese mainland?

• Is it safe to upload HTTPS certificates and private keys? Does Anti-DDoS Proxy decrypt HTTPS traffic and log the content of access requests?

• Do the open ports of Anti-DDoS Proxy clusters pose risks?

O que acontece após o vencimento de uma instância do Anti-DDoS Proxy?

O exemplo a seguir usa o Anti-DDoS Proxy (Chinese Mainland) como base:

• Até 7 dias após o vencimento: A capacidade de mitigação da instância é reduzida ao limiar básico de blackhole de 5 Gbps. Se o tráfego de service ou de ataque exceder 5 Gbps, o sistema aciona a filtragem blackhole para o endereço IP.

• De 7 a 30 dias após o vencimento: A instância para de encaminhar todo o tráfego de service. Se você renovar a instância durante esse período, o service volta a funcionar normalmente.

• 30 dias ou mais após o vencimento: Os recursos da instância são totalmente liberados. As configurações se perdem e não há como recuperá-las.

Para mais informações, consulte Billing of Anti-DDoS Proxy (Chinese Mainland).

Quais são os limites para a quantidade de portas e nomes de domínio protegidos suportados pelo Anti-DDoS Proxy?

• Quantidade de portas protegidas:

  • Instâncias do Chinese Mainland: 50 por padrão, expansível para até 1.500 conforme a necessidade.

  • Instâncias fora do Chinese Mainland: 5 por padrão, expansível para até 1.500 conforme a necessidade.

• Quantidade de nomes de domínio protegidos:

  • Instâncias do Chinese Mainland: 50 por padrão, expansível para até 200 conforme a necessidade.

  • Instâncias fora do Chinese Mainland: 10 por padrão, expansível para até 200 conforme a necessidade.

Como obtenho os endereços IP de back-to-origin do Anti-DDoS Proxy? Preciso adicioná-los a uma lista de permissões manualmente?

• Obter endereços IP de back-to-origin: visualize os blocos CIDR de back-to-origin mais recentes na página Website Config ou em uma página relacionada no console do Anti-DDoS Proxy.

• Adicionar os endereços IP a uma lista de permissões: Você deve adicioná-los manualmente. O Anti-DDoS Proxy não modifique automaticamente as políticas de segurança do seu servidor de origem. Se o seu servidor de origem estiver implantado com um firewall, grupos de segurança ou software de segurança de terceiros, você deve adicionar os blocos CIDR de back-to-origin do Anti-DDoS Proxy à lista de permissões. Caso contrário, o servidor de origem bloqueará todo o tráfego não malicioso encaminhado pelo Anti-DDoS Proxy.

Posso especifique um endereço IP privado como o endereço IP de origem do Anti-DDoS Proxy? Há algum atraso ao alterar o endereço IP de origem?

• Tipo de endereço IP de origem: Não. O Anti-DDoS Proxy se comunica com o seu servidor de origem pela Internet. Portanto, o endereço IP de origem deve ser um endereço IP público.

• Atraso na alteração: Sim. Após alterar o endereço IP de origem, a configuração leva cerca de 5 minutos para entrar em vigor em todos os nós da rede. Recomendamos realizar essa operação fora dos horários de pico para evitar impactos nos seus negócios.

Como o Anti-DDoS Proxy implementa o balanceamento de carga, as verificações de integridade e a persistência de sessão?

• Balanceamento de carga: Ao configure vários endereços IP de origem:

  • Service de site (Camada 7): Três políticas são suportadas: Round Robin, IP Hash e Least Time.

  • Service que não são de site (Camada 4): A política Round Robin é usada por padrão e não pode ser alterada.

• Verificações de integridade: Suportado. As verificações de integridade ficam ativadas por padrão para service de site e desativadas por padrão para service que não são de site, mas você pode ative-las manualmente. O Anti-DDoS Proxy verifica a disponibilidade dos service de origem e remove automaticamente os endereços IP de origem anormais.

  Nota

  Para mais informações sobre verificações de integridade, consulte CLB health checks e Configure health checks.

• Persistência de sessão: A configuração entra em vigor apenas para o encaminhamento puro de portas. A configuração não tem efeito quando o aprimoramento de proteção da camada de aplicação está ativado. Após ative a persistência de sessão, o Anti-DDoS Proxy encaminha continuamente as solicitações do mesmo endereço IP de cliente para o mesmo servidor de backend dentro de um período especificado. Para mais informações, consulte Configure session persistence.

  Nota

  Se o ambiente de rede do cliente mudar, por exemplo, se o cliente alternar de Wi-Fi para 4G, o endereço IP público do cliente mudará e a persistência de sessão falhará.

O Anti-DDoS Proxy pode funcionar em conjunto com o CDN ou DCDN? Como faço para configure-lo?

Sim, mas o encadeamento direto é altamente não recomendado. A abordagem correta é usar a solução de interação inteligente fornecida pelo Anti-DDoS Proxy, que considera tanto a aceleração quanto a proteção.

• Encadeamento direto:

  • O tráfego chega ao CDN/DCDN antes do Anti-DDoS Proxy: Se um ponto de presença do CDN/DCDN for atacado, ele poderá ser isolado (sandboxed). Como resultado, o tráfego não consegue chegar ao Anti-DDoS Proxy e a proteção falha.

  • O tráfego chega ao Anti-DDoS Proxy antes do CDN/DCDN: O processo de back-to-origin do Anti-DDoS Proxy aumenta a latência e degrada o desempenho de aceleração do CDN/DCDN.

• Solução de interação: Use o Enhanced function plan do Anti-DDoS Proxy, que fornece o recurso Sec-Traffic Manager para interação com o CDN/DCDN.

  • Como funciona: Aponte o seu nome de domínio para o registro CNAME gerado pelo Sec-Traffic Manager. Em condições normais, o tráfego é roteado pelo CDN/DCDN para aceleração. Quando ocorre um ataque, o tráfego é alternado automaticamente para o Anti-DDoS Proxy para limpeza. Após o fim do ataque, o tráfego volta ao normal.

  • Benefícios: Esta solução considera tanto a experiência de aceleração do acesso diário quanto a disponibilidade do service durante os ataques.

Quais protocolos comuns o Anti-DDoS Proxy suporta?

• IPv6: Suportado pelo Anti-DDoS Proxy (Chinese Mainland). Ainda não é suportado pelo Anti-DDoS Proxy (Outside Chinese Mainland).

• WebSocket: Suportado. Para mais informações, consulte How do I enable WebSocket?.

• Autenticação NTLM: Não suportada. As solicitações encaminhadas pelo Anti-DDoS Proxy podem falhar na autenticação NTLM do servidor de origem. Recomendamos usar o Anti-DDoS Native como alternativa.

• gRPC: Não suportado.

• SSE: Suportado.

Qual é o tempo limite de conexão padrão do Anti-DDoS Proxy?

• Conexões TCP da Camada 4: 900 segundos.

• Conexões HTTP/HTTPS da Camada 7: 120 segundos.

Como o Anti-DDoS Proxy suporta HTTPS?

• Autenticação mútua HTTPS: Suportada. Para mais informações, consulte Configure HTTPS mutual authentication using Anti-DDoS Proxy.

  • Website Config (Camada 7): Você deve fazer upload do certificado do servidor e do certificado da CA do cliente no console do Anti-DDoS Proxy. Os nós do Anti-DDoS Proxy concluem a verificação dos certificados do cliente.

  • Port Config (Camada 4): O Anti-DDoS Proxy atua como um canal de transmissão transparente. O processo de autenticação mútua é inteiramente gerenciado pelo seu servidor de origem.

• Protocolos SSL e suítes de criptografia: Do TLS 1.0 ao TLS 1.3 são suportados, juntamente com várias suítes de criptografia principais e legadas, incluindo ECDHE-ECDSA-AES128-GCM-SHA256. Você pode personalizar a política de segurança TLS no console.

  Para mais informações, consulte Customize the TLS security policy of a server HTTPS certificate.

• Compatibilidade com SNI: Se um navegador desatualizado ou determinados clientes Android não conseguirem acessar o seu site HTTPS, a causa mais provável é que eles não suportam o Server Name Indication (SNI). O Anti-DDoS Proxy usa o SNI para hospedar serviços HTTPS para vários nomes de domínio. Clientes incompatíveis não conseguem concluir o handshake TLS. Para mais informações sobre os problemas que a autenticação SNI pode causar, consulte HTTPS access issues caused by SNI.

O que é a largura de banda limpa do Anti-DDoS Proxy e o que posso fazer se o limite for excedido?

Largura de banda limpa: O tráfego de service não malicioso que é encaminhado ao Anti-DDoS Proxy para proteção. O sistema usa o maior valor entre o tráfego de entrada e o tráfego de saída como padrão de medição. Unidade: Mbit/s.

Impacto ao exceder o limite: Se o seu tráfego de service real exceder a especificação de largura de banda limpa da instância adquirida, o sistema aciona a limitação de taxa de tráfego. Isso causa acesso ao service com travamentos, respostas lentas, falhas de conexão intermitentes ou perda aleatória de pacotes. Execute as seguintes etapas:

1. Confirme o uso da largura de banda: No console do Anti-DDoS Proxy, na página Instances, monitore o gráfico de largura de banda da instância e confirme se a especificação foi excedida.

2. Atualize a instância em caso de emergência

   • Objetivo: Aumentar imediatamente o limite superior da largura de banda limpa e restaurar o desempenho do service.

   • Procedimento:

     1. Faça login no console do Anti-DDoS Proxy.

     2. Na página Instances, encontre a instância de destino e clique em Upgrade na coluna Actions.

     3. No item de configuração largura de banda limpa, selecione uma especificação superior e conclua o pagamento.

   • Tempo de vigência: A alteração de configuração entra em vigor em toda a rede dentro de 3 a 5 minutos.

Como lido com o status de filtragem blackhole? Uma instância do Anti-DDoS Proxy suporta a desativação manual da filtragem blackhole?

Quando o tráfego de ataque excede o limite superior da capacidade de mitigação da instância, o sistema aciona a filtragem blackhole para o endereço IP da instância a fim de proteger a estabilidade geral dos data centers da Alibaba Cloud. Como resultado, todos os service são interrompidos. Todos os service encaminhados pela instância do Anti-DDoS Proxy tornam-se completamente inacessíveis. Execute as seguintes etapas:

1. Avalie a situação do ataque: Faça login no console do Anti-DDoS Proxy. Na página Security Overview, visualize o valor de pico e a tendência do tráfego de ataque e confirme se o ataque parou ou enfraqueceu.

2. Execute a desativação do blackhole

   • Instâncias do Anti-DDoS Proxy (Chinese Mainland)

     • Objetivo: Restaurar manualmente o acesso ao service após confirme que o tráfego de ataque voltou a ficar dentro da capacidade de mitigação da instância.

     • Pré-requisitos: Cada conta da Alibaba Cloud tem um total de cinco oportunidades para desativar manualmente a filtragem blackhole por dia. A cota é redefinida à meia-noite (00:00) todos os dias.

     • Procedimento: Para mais informações sobre como desativar manualmente a filtragem blackhole, consulte Deactivate blackhole filtering.

       1. Faça login no console do Anti-DDoS Proxy. Na página Mitigation Settings > General Policies, encontre e selecione a instância que deseja desbloquear.

       2. Localize a seção Blackhole Filtering Deactivation abaixo da instância e clique em Unblock para concluir a operação manual.

   • Instâncias do Anti-DDoS Proxy (Outside Chinese Mainland)

     • Limites: A desativação manual do status de filtragem blackhole ainda não é suportada.

     • Recomendações:

       • Instâncias Insurance: Se a filtragem blackhole for acionada porque as sessões de mitigação avançada do mês atual se esgotaram, recomendamos que você atualize a instância imediatamente para Unlimited. Após a atualização, o status de filtragem blackhole é desativado automaticamente.

       • As instâncias Unlimited fornecem mitigação avançada sem limite superior. Em circunstâncias normais, a filtragem blackhole não é acionada por exceder a capacidade de mitigação. Se a filtragem blackhole for acionada, envie um ticket.

Por que a página Security Overview mostra tráfego mitigado mesmo que o limiar de limpeza de tráfego não tenha sido atingido?

Isso é normal. O Anti-DDoS Proxy filtra automaticamente os pacotes malformados em todo o tráfego de entrada, como pequenos pacotes SYN e pacotes de dados com sinalizadores anormais que não estão em conformidade com as especificações do protocolo TCP. Esses pacotes malformados interceptados são contados como "tráfego mitigado". Portanto, uma pequena quantidade de tráfego mitigado pode ser registrada mesmo que o seu service não esteja sob um ataque em grande escala.

O Anti-DDoS Proxy suporta o bloqueio de acesso de endereços IP fora do Chinese Mainland?

Sim. O Anti-DDoS Proxy fornece o recurso Location Blacklist. Você pode configurar uma política de controle de acesso por país ou região com base nos requisitos do seu negócio para bloquear ou permitir com precisão endereços IP fora do Chinese Mainland.

É seguro fazer upload de certificados HTTPS e chaves privadas? O Anti-DDoS Proxy descriptografa o tráfego HTTPS e registra o conteúdo das solicitações de acesso?

• Segurança da chave: Extremamente seguro. O Anti-DDoS Proxy usa um servidor de certificados dedicado (Key Server) para armazenar e gerencie certificados e chaves privadas. O service depende do Alibaba Cloud Key Management Service (KMS) e passou por várias certificações internacionais autorizadas, como ISO 27001, SOC 1/2/3 e Payment Card Industry Data Security Standard (PCI DSS), o que garante a segurança da chave privada. Ele possui qualificações de conformidade de segurança no mesmo nível da Alibaba Cloud. Para mais informações, consulte Alibaba Cloud Trust Center.

• Privacidade do tráfego: O conteúdo completo não é registrado. O Anti-DDoS Proxy descriptografa o tráfego HTTPS apenas para detecção em tempo real. Ele não registra o conteúdo completo das solicitações ou respostas, e registra apenas características parciais do ataque (payload) para análise de relatórios quando um ataque é detectado.

As portas abertas dos clusters do Anti-DDoS Proxy apresentam riscos?

Não. As portas que os clusters do Anti-DDoS Proxy abrem para o público são usadas apenas para ingestão e encaminhamento de tráfego. O tráfego de service é encaminhado apenas pelas portas especificadas que você configura no console para os seus nomes de domínio ou portas. As solicitações de acesso às portas de service de origem que não estão configuradas no Anti-DDoS Proxy não são encaminhadas para o seu servidor de origem. Portanto, nenhum risco de segurança adicional é introduzido.