Protect a website domain against DDoS attacks - Anti-DDoS: Central de Documentação do Alibaba Cloud

Após adicionar um nome de domínio de site ao Anti-DDoS Proxy, aponte o registro DNS do nome de domínio para o endereço CNAME gerado pelo Anti-DDoS Proxy. Isso ativa a proteção contra ataques DDoS. Este tópico orienta você em todo o processo — desde a integração rápida até a configuração avançada — e garante uma transição de service suave.

Antes de começar

Uma instância do Anti-DDoS Proxy (Chinese Mainland) ou Anti-DDoS Proxy (Outside Chinese Mainland) foi adquirida. Para mais informações, consulte Purchase an Anti-DDoS Proxy instance.
Se o seu service de site for adicionado a uma instância do Anti-DDoS Proxy (Chinese Mainland), o nome de domínio deve ter um registro ICP. Para mais informações, consulte ICP filing.

Nota
Sites adicionados a instâncias do Anti-DDoS Proxy (Outside Chinese Mainland) não estão sujeitos aos requisitos de registro ICP.

Procedimento

Faça login na página Website Config no console do Anti-DDoS Proxy.
Na barra de navegação superior, selecione a região da sua instância.
- Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.
Na página Website Config, clique em Add Website.

Nota
Você também pode clicar em Batch Import na parte inferior da página para importar várias configurações de site de uma só vez. As configurações devem estar em um arquivo XML. Para mais informações sobre o formato do arquivo, consulte Other operations.

Insira as informações de Website Config e clique em Next.

Configuração básica

Function Plan: Selecione o plano de função da instância do Anti-DDoS Proxy que você deseja associar. Opções: Standard e Enhanced.

Nota
Passe o mouse sobre o ícone após Function Plan para visualizar as diferenças de recursos entre o plano de função Standard e o plano de função Enhanced. Para mais informações, consulte differences between Standard and Enhanced function plans.
Instance: Selecione a instância do Anti-DDoS Proxy que deseja associar.

Importante
Um nome de domínio pode ser associado a no máximo oito instâncias do Anti-DDoS Proxy. As instâncias devem usar o mesmo Function Plan.
Websites: Insira o nome de domínio do site que deseja proteger. É possível inserir um nome de domínio de correspondência exata, como www.example.com, ou um nome de domínio curinga, como *.example.com.
Nota
- Se existirem configurações tanto para um nome de domínio curinga (por exemplo, *.aliyundoc.com) quanto para um nome de domínio de correspondência exata (por exemplo, www.aliyundoc.com), o Anti-DDoS Proxy prioriza as regras de encaminhamento e as políticas de mitigação do nome de domínio de correspondência exata (www.aliyundoc.com).
- Caso insira um domínio raiz, apenas o domínio raiz será protegido. Domínios de segundo nível e outros subdomínios não serão protegidos. Para proteger um domínio de segundo nível, insira o domínio de segundo nível ou um nome de domínio curinga.
- É permitido inserir apenas um nome de domínio, não um endereço IP.
Protocol Type: Selecione os protocolos suportados pelo site.
- HTTP / HTTPS: Os protocolos básicos para web services.
  
  Nota
  Para informações sobre configurações HTTPS, consulte a descrição na aba HTTPS configuration.
- WebSocket / Websockets: Protocolos de comunicação em tempo real. Se você selecionar um desses protocolos, HTTP ou HTTPS será selecionado automaticamente.

Server Address: Defina o endereço do servidor backend (servidor de origem) que o Anti-DDoS Proxy usa durante uma origin fetch.

Origin IP Address: Insira os endereços IP públicos do servidor de origem. Você pode inserir vários endereços IP, separados por vírgulas. Exemplos:
- Servidor de origem no Alibaba Cloud: Insira o endereço IP público da instância ECS de origem. Se uma instância SLB estiver implantada antes da instância ECS, insira o endereço IP público da instância SLB.
- Servidor de origem em um data center não gerenciado pelo Alibaba Cloud ou em outra plataforma cloud: Execute o comando ping <domain name> para consultar o endereço IP público para o qual o nome de domínio resolve. Em seguida, insira o endereço IP público.
Origin Domain Name:
- Cenários: Esta opção é adequada para cenários onde outro service de proxy está configurado entre o servidor de origem e o Anti-DDoS Proxy. Exemplos:
  - Se o WAF for usado como o proxy anterior, você pode inserir o CNAME da instância WAF. Para mais informações, consulte Improve website protection by deploying Anti-DDoS Proxy and WAF together.
  - Se você definir Origin Domain Name como o default public endpoint de um bucket OSS, deverá anexar um nome de domínio personalizado ao bucket. Para mais informações, consulte Attach a custom domain name.
- Limites: É possível configurar no máximo 10 nomes de domínio de origem. Separe-os com quebras de linha.
Server Port: Defina a port que o servidor de origem usa para escutar os web services.
- HTTP/WebSocket: A porta padrão é 80.
- HTTPS/Websockets: A porta padrão é 443.
- Custom Server Port:
  - Múltiplas portas: Você pode especificar várias portas, separadas por vírgulas. O número total de portas personalizadas para todos os web services protegidos pela instância do Anti-DDoS Proxy não pode exceder 10. Isso inclui portas personalizadas para diferentes protocolos.
  - Intervalo de portas (HTTP/HTTPS): 80 a 65535

Configuração HTTPS

Se você selecionar HTTPS para autenticação criptografada, conclua as seguintes configurações.

Configurar um certificado: Para ativar o HTTPS, é necessário configurar um certificado SSL que corresponda ao nome de domínio do site.
Configure as TLS Security Settings:

Nota
Para mais informações, consulte Customize the TLS security policy for an HTTPS certificate of a server.
- TLS Versions for SSL Certificate: Selecione as versões TLS suportadas pelo certificado HTTPS padrão internacional.
  - TLS 1.0 and later. This setting provides the best compatibility but low security.: Suporta TLS 1.0, TLS 1.1 e TLS 1.2.
  - TLS 1.1 and later. This setting provides good compatibility and medium security.: Suporta TLS 1.1 e TLS 1.2.
  - TLS 1.2 and later. This setting provides good compatibility and high security level.: Suporta TLS 1.2.
  - Enable TLS 1.3 Support: Suporta TLS 1.3.
- Cipher Suites for SSL Certificate: Selecione um conjunto de cifras suportado para o certificado HTTPS padrão internacional ou escolha um conjunto de cifras personalizado. Passe o ponteiro sobre o ícone de uma opção de conjunto de cifras para visualizar os conjuntos de cifras incluídos.
Mutual Authentication:
- Issued by Alibaba Cloud: Selecione um certificado CA padrão na lista suspensa A default CA certificate is required.. Este certificado é emitido pelo Certificate Management Service (Original SSL Certificate) do Alibaba Cloud.
- Not Issued by Alibaba Cloud:
  - Primeiro, faça upload do certificado CA autoassinado no Certificate Management Service (Original SSL Certificate). Para instruções detalhadas, consulte Upload Certificate Repository.
  - Na lista suspensa A default CA certificate is required., selecione o certificado CA autoassinado enviado.
Enable OCSP Stapling: OCSP significa Online Certificate Status Protocol. Ele é usado para consultar a autoridade certificadora (CA) que emitiu o certificado do servidor e verificar se o certificado foi revogado. Durante um handshake TLS com o servidor, o cliente deve obter tanto o certificado quanto sua resposta OCSP correspondente.

Importante
As respostas OCSP são assinadas digitalmente pela CA e não podem ser falsificadas. Ativar este recurso não introduz riscos adicionais de segurança.
- Desativado (Padrão): O cliente envia uma consulta OCSP à CA durante o handshake TLS para verificar se o certificado foi revogado. Esse processo bloqueia a conexão e pode causar atrasos no carregamento da página se a rede estiver ruim.
- Ativado: O Anti-DDoS Proxy executa a consulta OCSP e armazena o resultado em cache por 3.600 segundos. Quando um cliente inicia uma solicitação de handshake TLS para o servidor, o Anti-DDoS Proxy envia a resposta OCSP armazenada em cache junto com a cadeia de certificados para o cliente. Isso evita o problema de bloqueio causado por consultas no lado do cliente e melhora o desempenho HTTPS.

SM Certificate: Apenas instâncias do Anti-DDoS Proxy (Chinese Mainland) suportam upload de certificados HTTPS baseados em SM. Apenas o algoritmo SM2 é suportado.

Allow Access Only from SM Certificate-based Clients: Desativado por padrão. Opções:
- On: Aceita apenas clientes com certificado SM.
  
  Nota
  Quando ativado, as configurações de conjuntos TLS, autenticação mútua e OCSP stapling para certificados HTTPS padrão internacional não entram em vigor.
- Off: Aceita clientes com certificado SM ou padrão internacional.
SM Certificate: Selecione um certificado SM na lista. Faça upload do certificado no Certificate Management Service primeiro.
SM Cipher Suites for HTTPS Support: Os seguintes conjuntos de cifras são ativados por padrão (não configuráveis):
- ECC-SM2-SM4-CBC-SM3
- ECC-SM2-SM4-GCM-SM3
- ECDHE-SM2-SM4-CBC-SM3
- ECDHE-SM2-SM4-GCM-SM3

Configurações avançadas

Enable HTTPS Redirection: Esta configuração é adequada para sites que suportam HTTP e HTTPS. Após ativar esta configuração, todas as solicitações HTTP são redirecionadas à força para solicitações HTTPS na porta 443 por padrão.
Importante
- Esta configuração só pode ser ativada se você selecionar ambos os protocolos HTTP e HTTPS e não selecionar o protocolo WebSocket.
- Se você acessar um site por uma porta HTTP não padrão (diferente de 80) e ativar o redirecionamento forçado para HTTPS, as solicitações de acesso serão redirecionadas para a porta HTTPS 443 por padrão.

HTTP/2 Listener: Se esta chave estiver ativada, clientes que usam HTTP/2 podem acessar o Anti-DDoS Proxy. No entanto, o Anti-DDoS Proxy ainda usa HTTP/1.1 para origin fetch. As especificações do recurso HTTP/2 são as seguintes:

Especificações básicas:
- Tempo limite ocioso após o fechamento de uma conexão (http2_idle_timeout): 120 s
- Número máximo de solicitações por conexão (http2_max_requests): 1.000
- Número máximo de streams simultâneos por conexão (http2_max_concurrent_streams): 4
- Tamanho máximo de toda a lista de cabeçalhos de solicitação após descompressão HPACK (http2_max_header_size): 256 K
- Tamanho máximo de um campo de cabeçalho de solicitação comprimido por HPACK (http2_max_field_size): 64 K
Especificações configuráveis: Você pode definir o Upper Limit for HTTP/2 Streams, que é o número máximo de streams simultâneos permitidos entre o cliente e o Anti-DDoS Proxy.
Set Forward Connection Timeout: Este é o período de tempo limite ocioso para uma conexão TCP persistente estabelecida entre um cliente e o Anti-DDoS Proxy. É o tempo máximo de espera entre duas solicitações do cliente.

Nota
Se nenhuma nova solicitação for recebida dentro do período especificado, o Anti-DDoS Proxy fecha a conexão para liberar recursos.

Insira as Forwarding Settings e clique em Next.

Configurações de Back-to-Origin

Back-to-origin Scheduling Algorithm: Se você configurar múltiplos Origin IP Addresses ou Origin Domain Names, poderá alterar o algoritmo de balanceamento de carga ou definir pesos para diferentes servidores para determinar como o tráfego é distribuído entre os servidores de origem.

Método	Cenários	Descrição
Round-robin (Padrão)	Cenários que usam múltiplos servidores de origem e exigem alto desempenho de balanceamento de carga.	Todas as solicitações são distribuídas para todos os endereços de servidor alternadamente. Por padrão, todos os endereços de servidor têm o mesmo peso. Você pode alterar os pesos dos servidores. Um peso maior indica uma probabilidade maior de receber solicitações.
IP hash	Cenários que exigem consistência de sessão. Em casos extremos, pode ocorrer desequilíbrio de carga.	Solicitações do mesmo endereço IP de cliente são sempre direcionadas ao mesmo servidor de origem para garantir a consistência da sessão. Você pode definir pesos para servidores enquanto usa o algoritmo IP hash. Isso permite distribuir o tráfego com base nas capacidades de processamento do servidor e priorizar servidores com melhor desempenho.
Least time	Services altamente sensíveis à velocidade de acesso e latência de resposta, como jogos e transações online.	A capacidade inteligente de resolução DNS e o algoritmo de menor tempo para origin fetch garantem a menor latência para todo o link do POP ao servidor de origem.

Retry Back-to-origin Requests: O número de sondagens de verificação de integridade para verificar a disponibilidade do servidor de origem para encaminhamento de domínio. O valor padrão é 3. O mecanismo de tentativa funciona da seguinte forma:
1. O recurso de nova tentativa de back-to-origin é acionado apenas quando o tráfego do service acessa uma zona de borda. Quando a zona de borda detecta que o servidor de origem de um nome de domínio está indisponível, ela tenta novamente a origin fetch.
2. Se o servidor de origem ainda estiver inacessível após o número máximo de tentativas, ele entra em um período de silêncio. Durante esse período, nenhum tráfego é encaminhado para o servidor de origem e nenhuma sonda é enviada.
3. Após o término do período de silêncio, o recurso de nova tentativa de back-to-origin é acionado novamente com base no tráfego do service. Se a tentativa for bem-sucedida, o servidor de origem é reativado.
Traffic Marking:
- Request Header Forwarding Configuration: O Anti-DDoS Proxy suporta encaminhamento de cabeçalho de solicitação. Você pode adicionar ou modificar cabeçalhos de solicitação HTTP ao encaminhar solicitações para o servidor de origem. Isso ajuda a identificar e marcar o tráfego que passa pelo Anti-DDoS Proxy.
  - Insert X-Client-IP to Get Originating IP Address: Transmite o endereço IP original do cliente.
  - Insert X-True-IP to Forward Client IP: Transmite o endereço IP que o cliente usou para estabelecer a conexão.
  - Insert Web-Server-Type to Get Service Type: Geralmente adicionado pelo primeiro proxy. Informa ao servidor backend qual servidor web frontend ou proxy lidou com a solicitação.
  - Insert WL-Proxy-Client-IP to Get Connection IP: Mesma função que X-Client-IP. Um cabeçalho específico do Oracle WebLogic Server.
  - X-Forwarded-Proto (Listener Protocol): O protocolo usado entre o cliente e o primeiro proxy.
- Marcas de tráfego
  - Marcas padrão
    Nota
    
    JA3 Fingerprint, JA4 Fingerprint, Client TLS Fingerprint e HTTP/2 Fingerprint requerem assistência do seu gerente de contas para configuração.
    
    Se o seu service usar campos personalizados em vez de marcas padrão, consulte Custom Header abaixo. Após configurar, o servidor de origem analisará este campo das solicitações encaminhadas pelo Anti-DDoS Proxy. Para exemplos de análise, consulte Get the true source IP address after configuring Anti-DDoS Proxy.
    - Originating Port: O nome do campo de cabeçalho para a porta de origem do cliente no cabeçalho HTTP. Normalmente registrado no campo X-Forwarded-ClientSrcPort.
    - Originating IP Address: O nome do campo de cabeçalho para o endereço IP de origem do cliente no cabeçalho HTTP. Normalmente registrado no campo X-Forwarded-For.
    - JA3 Fingerprint: O nome do campo de cabeçalho HTTP que contém o hash MD5 da impressão digital JA3 do cliente. O campo padrão é ssl_client_ja3_fingerprinting_md5.
    - JA4 Fingerprint: O nome do campo de cabeçalho HTTP que contém o hash MD5 da impressão digital JA4 do cliente. O campo padrão é ssl_client_ja4_fingerprinting_md5.
    - Client TLS Fingerprint: O nome do campo de cabeçalho HTTP que contém o hash MD5 da impressão digital TLS do cliente. O campo padrão é ssl_client_tls_fingerprinting_md5.
    - HTTP/2 Fingerprint: O nome do campo de cabeçalho para o valor de hash MD5 gerado a partir da impressão digital HTTP/2.0 do cliente no cabeçalho HTTP. Normalmente registrado no campo http2_client_fingerprint_md5.
  - Custom Header: Adicione um cabeçalho HTTP personalizado (incluindo nome e valor do campo) para marcar solicitações que passam pelo Anti-DDoS Proxy. Quando o Anti-DDoS Proxy encaminha o tráfego do site, ele adiciona o valor do campo configurado às solicitações enviadas ao servidor de origem. Isso ajuda o service backend a analisar e rastrear o tráfego.
    - Restrições de nomenclatura: Para evitar sobrescrever campos de cabeçalho de solicitação originais, não use os seguintes nomes de campo reservados ou comuns para o seu cabeçalho personalizado:
      - Campos padrão do Anti-DDoS Proxy:
        
        X-Forwarded-ClientSrcPort: Usado por padrão para obter a porta do cliente para acesso ao mecanismo Layer 7.
        
        X-Forwarded-ProxyPort: Usado por padrão para obter a porta de escuta para acesso ao mecanismo Layer 7.
        
        X-Forwarded-For: Usado por padrão para obter o endereço IP do cliente para acesso ao mecanismo Layer 7.
        
        ssl_client_ja3_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital JA3 do cliente.
        
        ssl_client_ja4_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital JA4 do cliente.
        
        ssl_client_tls_fingerprinting_md5: Usado por padrão para recuperar o hash MD5 da impressão digital TLS do cliente.
        
        http2_client_fingerprint_md5: Usado por padrão para obter o valor de hash MD5 da impressão digital HTTP/2.0 do cliente.
      - Campos HTTP padrão: Como host, user-agent, connection e upgrade.
      - Campos de proxy comuns: Como x-real-ip, x-true-ip, x-client-ip, web-server-type, wl-proxy-client-ip, eagleeye-rpcid, eagleeye-traceid, x-forwarded-cluster e x-forwarded-proto.
    - Limite de quantidade: Você pode adicionar até cinco rótulos de cabeçalho personalizado.
    - Recomendações de configuração:
      - Use default marks primeiro.
      - Verifique a configuração do campo de cabeçalho no ambiente de testes antes de aplicá-la ao ambiente de produção.
      - Recomendamos manter os valores dos campos com 100 caracteres ou menos para evitar afetar o desempenho de encaminhamento.
- CNAME Reuse: Selecione se deseja ativar a reutilização de CNAME. Após ativar a reutilização de CNAME, você pode adicionar vários nomes de domínio hospedados no mesmo servidor ao Anti-DDoS Proxy apontando seus registros DNS para o mesmo CNAME do Anti-DDoS Proxy. Não é necessário adicionar uma configuração de site separada para cada nome de domínio. Para mais informações, consulte CNAME reuse.
  
  Importante
  Este parâmetro é suportado apenas pelo Anti-DDoS Proxy (Outside Chinese Mainland).

Anti-DDoS:Add a website configuration

Antes de começar

Procedimento

Configuração básica

Configuração HTTPS

Configurações avançadas

Configurações de Back-to-Origin

Outras configurações

Verificar e entrar em operação

Cotas e limites

Referências

Registro ICP

Excluir uma configuração de site

FAQ