Como configurar a proteção contra DDoS para sites que usam CDN ou DCDN - Anti-DDoS: Central de Documentação do Alibaba Cloud

Integre o Anti-DDoS Proxy à CDN ou DCDN para que o tráfego utilize os nós de aceleração em operações normais e seja redirecionado automaticamente ao Anti-DDoS Proxy para limpeza durante ataques.

Visão geral do recurso

O Alibaba Cloud oferece duas soluções para service que precisam de aceleração e proteção contra DDoS:

Solução 1: Mitigação de DDoS na Borda para DCDN (Recomendada)

Adicione um domínio à DCDN e ative a Mitigação de DDoS na Borda no console da DCDN com um clique. Nenhuma configuração do Anti-DDoS Proxy é necessária. Protection Configuration.

Nota
Apenas a DCDN oferece suporte à Mitigação de DDoS na Borda. Para usar este recurso com a CDN, migrate your domain to DCDN first.
Solução 2: Interação do Anti-DDoS Proxy com a CDN ou DCDN

Este tópico aborda esta solução. O Anti-DDoS limpa o tráfego de ataque e encaminha o tráfego limpo diretamente ao servidor de origem. configure seu domínio tanto no service de aceleração quanto no Anti-DDoS Proxy e, em seguida, defina a interação no Traffic Scheduler.

Com o recurso de interação, o tráfego limpo segue diretamente para o servidor de origem. Com a Mitigação de DDoS na Borda, o tráfego limpo segue para a DCDN, mantendo a aceleração durante os ataques.

Precauções

Se a sua largura de banda exceder 3 Gbit/s ou o QPS ultrapassar 10.000, entre em contato com o gerente da sua conta para uma avaliação antes de usar este recurso.
Para sites atacados mais de três vezes por semana, use apenas o Anti-DDoS Proxy para evitar interrupções causadas pela troca frequente de tráfego.
O recurso de interação suporta IPs do Anti-DDoS tanto em IPv4 quanto em IPv6.
Quando o tráfego é redirecionado para o Anti-DDoS Proxy durante um ataque, o TTL do DNS pode afetar o tempo de ativação.
Antes de usar este recurso, verifique se o seu domínio não está em um estado de Sandbox no service de aceleração. Se estiver, entre em contato com o gerente da sua conta para removê-lo antes que você configure a proteção contra DDoS.

Tipos de instância do Anti-DDoS compatíveis

Anti-DDoS Proxy (Chinese Mainland) nos planos Professional ou Advanced, e Anti-DDoS Proxy (Outside Mainland China) nos planos Insurance ou Unlimited. Todas as instâncias devem usar o plano Enhanced Function.

Pré-requisitos

A aceleração da CDN ou DCDN está ativada para o seu domínio. Add a domain name to CDN ou Add a domain name to DCDN.
Você adquiriu uma instância do Anti-DDoS Proxy e adicionou seu site a ela. Para mais informações, consulte Purchase an Anti-DDoS Proxy instance e Add a website.
A instância do Anti-DDoS Proxy encaminha o tráfego corretamente. Locally verify the forwarding configuration.

Procedimento

Acesse o console do Anti-DDoS Proxy.
Na barra de navegação superior, selecione a região da sua instância.
- Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.
No painel de navegação à esquerda, escolha Onboarding > Sec-Traffic Manager e clique em CDN/DCDN Interaction.

Nota
Se você estiver usando o recurso de interação pela primeira vez, clique em Authorize Now e siga as instruções na tela para autorizar o Anti-DDoS Proxy a acessar o service de aceleração.

Encontre o domínio e gerencie e clique em Actions na coluna Actions. No painel Create Interaction Rule, conclua a configuração e clique em OK.

Parâmetro	Descrição
Anti-DDoS Proxy Instance	Selecione a instância do Anti-DDoS Proxy a ser integrada ao service de aceleração. Nota Se a mensagem To enable CDN interaction, you must use an instance of the Enhanced function plan. aparecer, siga as instruções para atualizar sua instância. Se a mensagem No instance is selected. aparecer, primeiro adicione seu domínio a uma instância do Anti-DDoS Proxy. Add a website.
Resource for Interaction	O recurso associado é selecionado automaticamente. Se o domínio não tiver sido adicionado a um service de aceleração, adicione-o e aguarde cerca de 10 minutos antes de configurar a interação. Add a domain name to CDN ou Add a domain name to DCDN.
Access QPS	defina o limiar mínimo de QPS para acionar a mudança para o Anti-DDoS Proxy. Para mais informações sobre a troca de tráfego, consulte Traffic switching. Nota defina o limiar como pelo menos 2 a 3 vezes o pico histórico de QPS. Valor mínimo recomendado: 500, mesmo para sites com pouco tráfego.

verifique se a regra de agendamento de tráfego funciona ao modificar seu arquivo hosts local. Isso evita problemas de compatibilidade causados por políticas de back-to-origin inconsistentes. Locally verify the forwarding configuration.

Por exemplo, se a CDN interage com o Anti-DDoS e a origem é um bucket do OSS: a CDN permite que você modifique o cabeçalho HOST de back-to-origin, mas o Anti-DDoS não. Se o tráfego for redirecionado para o Anti-DDoS durante um ataque, o bucket do OSS poderá rejeitar as solicitações, causando uma falha no service.
Aponte o registro DNS do seu domínio para o CNAME gerado pelo Traffic Scheduler. Change the CNAME record to use the Traffic Scheduler.

Nota
Três CNAMEs são gerados: um pelo service de aceleração, um pelo Anti-DDoS e um pelo Traffic Scheduler. Aponte seu registro DNS para o CNAME do Traffic Scheduler.

Troca de tráfego

A troca de tráfego entre o service de aceleração e o Anti-DDoS Proxy ocorre de forma automática ou manual. Recomenda-se a troca automática.

Troca automática

Tipo de troca

Condição de troca

Do service de aceleração para o Anti-DDoS Proxy

Acionada quando qualquer uma das condições é atendida:

O QPS excede o limiar 3 vezes em 3 minutos ou mais de 6 vezes em 10 minutos, e o tráfego normal do service não excede 10 Gbit/s.
O Anti-DDoS detecta que o domínio entrou em estado de sandbox, e o tráfego normal do service não excede 10 Gbit/s.

Do Anti-DDoS Proxy de volta para o service de aceleração

Acionada quando todas as condições são atendidas:

Por mais de 12 horas consecutivas, o QPS permanece abaixo de 80% do limiar e as solicitações de ataque representam menos de 10% do tráfego.
O IP do Anti-DDoS de destino não está em estado de limpeza ou blackhole, e nenhum evento desse tipo ocorreu na última hora.
O domínio não está em estado de sandbox.

Importante

As trocas de volta ocorrem apenas entre 08:00 e 23:00.

Troca manual

Operação	Descrição
Do service de aceleração para o Anti-DDoS Proxy	Troque manualmente o tráfego para o Anti-DDoS para limpeza quando houver picos de tráfego, mas as condições de troca automática não forem atendidas. Importante A troca para o Anti-DDoS só é possível se o IP do Anti-DDoS não estiver em estado de blackhole. Após uma troca manual, o tráfego retorna automaticamente ao service de aceleração quando as condições de troca de volta são atendidas.
Do Anti-DDoS Proxy de volta para o service de aceleração	Troque manualmente o tráfego de volta para o service de aceleração se ele tiver sido roteado para o Anti-DDoS devido a um pico de tráfego normal. Importante Antes de trocar de volta, confirme se o ataque terminou e se o domínio não está em estado de sandbox.

Operações relacionadas

modifique uma regra de interação: Na aba CDN/DCDN Interaction, encontre o domínio de destino, clique em Actions na coluna Actions e modifique a Anti-DDoS Proxy Instance ou o Access QPS.
exclua uma regra de interação: Na aba CDN/DCDN Interaction, encontre o domínio de destino e clique em Actions na coluna Actions.

Aviso
Antes que você exclua uma regra de interação, certifique-se de que seu registro DNS não aponte mais para o CNAME do Traffic Scheduler. Caso contrário, seu site ficará inacessível.

Documentos relacionados

FAQ

FAQ for Anti-DDoS Proxy