Todos os produtos
Search

Este produto

    Anti-DDoS:Restaurar cargas de trabalho após a ativação da filtragem blackhole em uma instância do Elastic Compute Service (ECS)

    Central de documentação

    Anti-DDoS:Restaurar cargas de trabalho após a ativação da filtragem blackhole em uma instância do Elastic Compute Service (ECS)

    Última atualização: Oct 22, 2026

    Quando a filtragem blackhole é ativada em uma instância do Elastic Compute Service (ECS), o Alibaba Cloud descarta todo o tráfego de entrada, o que impede o acesso externo ao endereço IP. O tráfego de saída também é bloqueado, o que impede o servidor de se conectar a redes externas (por exemplo, chamadas para APIs do WeChat ou APIs de terceiros podem expirar). Esse é o comportamento esperado da filtragem blackhole, e não uma falha interna do servidor. Primeiro, estime o horário em que a filtragem blackhole será desativada automaticamente e aguarde a desativação automática. Após a desativação da filtragem blackhole, o endereço IP público volta a ficar acessível automaticamente, sem necessidade de reiniciar os serviços ou a instância. Se as cargas de trabalho forem urgentes, você também pode restaurá-las rapidamente alterando o endereço IP público da instância ECS ou migrando as cargas de trabalho para outra instância ECS. Este tópico descreve como restaurar cargas de trabalho após a ativação da filtragem blackhole em uma instância ECS.

    Importante

    Após alterar o endereço IP público de uma instância ECS ou substituir o servidor, os invasores ainda podem obter o novo endereço IP, por exemplo, fazendo ping no nome de domínio, e lançar outro ataque. Para resolver o problema de forma definitiva, adquira o Anti-DDoS Native ou o Anti-DDoS Proxy.

    Estimar o horário de desativação automática da filtragem blackhole

    Se você não adquiriu o Anti-DDoS Native ou o Anti-DDoS Proxy, só pode aguardar a expiração e a desativação automática da filtragem blackhole. Se adquiriu o Anti-DDoS Native ou o Anti-DDoS Proxy, você pode desativar manualmente a filtragem blackhole após a proteção das cargas de trabalho, em vez de aguardar a desativação automática. Para obter instruções, consulte desativar a filtragem blackhole (Anti-DDoS Native) e desativar a filtragem blackhole (Anti-DDoS Proxy).

    1. Verifique o horário do último ataque à instância ECS.

      Faça login no console Traffic Security. Na página Event Center, localize o endereço IP público da instância ECS, clique em Details e verifique o horário do último ataque.

      Nota

      Se um ativo for alvo de múltiplos ataques DDoS, o horário de desativação da filtragem blackhole é calculado a partir do horário de término do ataque DDoS mais recente.

    2. Verifique o horário atual de desativação da filtragem blackhole.

      Na página Assets, verifique o horário atual de desativação da filtragem blackhole. Esse valor representa a duração total da filtragem blackhole. A duração padrão é de 2,5 horas. A duração real varia conforme a frequência de ataques ao ativo e pode variar de 30 minutos a 24 horas. Em casos raros, pode ser ainda maior.

    3. Estime o horário de desativação automática da filtragem blackhole.

      Por exemplo, se o último ataque ocorreu às 12:30 e o horário atual de desativação da filtragem blackhole é de 150 minutos, a filtragem blackhole deve ser desativada às 15:00.

      Nota

      Esse horário é apenas uma estimativa. Se o endereço IP público continuar recebendo ataques DDoS, o horário pode ser estendido.

    Você pode aguardar a expiração e a desativação automática da filtragem blackhole. Se as cargas de trabalho forem urgentes, use um dos métodos a seguir para restaurá-las rapidamente.

    Importante

    Após alterar o endereço IP público da instância ECS ou substituir o servidor, atualize imediatamente as configurações de resolução de DNS, as configurações de conexão do banco de dados e outras configurações de acordo com as suas cargas de trabalho.

    Solução 1: Alterar o endereço IP público de uma instância ECS

    Importante

    Se você alterar frequentemente o endereço IP público de uma instância ECS após a ativação da filtragem blackhole, o servidor permanecerá sob ataque, e o tráfego de ataque pode representar riscos para a plataforma de nuvem. Isso pode fazer com que a plataforma imponha restrições à sua conta Alibaba Cloud, incluindo, entre outras, a impedimento de compra de novas instâncias.

    Alterar um endereço IP elástico (EIP)

    1. (Opcional) Solicite um novo endereço IP elástico (EIP).

      Para obter instruções, consulte Solicitar EIPs.

    2. Desassocie o EIP da instância ECS.

      Para obter instruções, consulte Desassociar um EIP de um recurso de nuvem.

      Importante

    3. Associe o novo EIP à instância ECS.

      Para obter instruções, consulte Associar um EIP a um recurso de nuvem.

    Alterar um endereço IP público estático

    Até 6 horas após a criação da instância

    Até 6 horas após a criação da instância, você pode usar diretamente o console para Change Public IP Address.

    Pré-requisitos

    • A instância deve estar no estado Stopped (Stopped).

      Nota

      Se o método de faturamento da instância for pagamento conforme o uso e o tipo de rede for Virtual Private Cloud (VPC), ative o modo padrão ao parar a instância. Se o modo econômico estiver ativado, você não poderá alterar o endereço IP público estático. Para mais detalhes, consulte Modo econômico.

    • Você pode alterar o endereço IP público estático de uma instância no máximo três vezes.

      Nota

      Se precisar alterar o endereço IP público após três alterações, consulte Mais de 6 horas após a criação da instância.

    Exemplo

    1. Faça login no console ECS.

    2. No painel de navegação à esquerda, escolha Instances & Images > Instance.

    3. No canto superior esquerdo da página, selecione o grupo de recursos e a região do recurso de destino.

    4. Localize a instância cujo endereço IP público você deseja alterar. Na coluna Actions, escolha icon1 > Network and Security Group > Change Public IP Address.

    5. Na caixa de diálogo Change Public IP Address, confirme que as informações estão corretas e clique em OK.

      Após a conclusão da alteração, a caixa de diálogo exibe o novo endereço IP público.

    Mais de 6 horas após a criação da instância

    Mais de 6 horas após a criação da instância, não é possível alterar diretamente o endereço IP público estático existente. Você pode reatribuir um endereço IP público estático à instância da seguinte forma:

    1. Converta o endereço IP público estático da instância ECS, exceto no caso de uma instância por assinatura faturada por largura de banda, em um EIP. O endereço IP permanece inalterado.

      Para obter instruções, consulte Converter IP público estático em EIP.

      Importante

      • Se o método de faturamento da instância for assinatura, essa operação não é suportada nas 24 horas anteriores à expiração da instância.

      • Para uma instância por assinatura faturada por largura de banda, primeiro use Alterar o faturamento de largura de banda para um IP público estático para alterar o método de faturamento para Pay-by-traffic e, em seguida, realize esta operação.

    2. Desassocie o EIP convertido.

      Para obter instruções, consulte Desassociar um EIP de um recurso de nuvem.

      Importante

    3. Ajuste a largura de banda de Internet da instância ECS para mais de 1 Mbps para atribuir um novo endereço IP público estático à instância.

      Para obter instruções, consulte Modificar largura de banda pública para instância por assinatura ou Modificar para instância com pagamento conforme o uso.

    Solução 2: Usar uma imagem para criar uma instância ECS com a mesma configuração e substituir o servidor

    1. Crie uma imagem personalizada para a instância ECS na qual a filtragem blackhole foi ativada. Para obter instruções, consulte Criar imagem personalizada.

      Nota

      (Recomendado) Crie snapshots das instâncias ECS regularmente durante a operação e manutenção. Quando precisar restaurar cargas de trabalho rapidamente, crie uma imagem personalizada a partir de um snapshot para restaurar as cargas de trabalho. Para obter instruções, consulte Criar política e Criar uma imagem personalizada a partir de um snapshot.

    2. Use a imagem personalizada para criar rapidamente uma instância ECS com a mesma configuração. Para obter instruções, consulte Criar a partir de imagem personalizada ou imagem compartilhada.

    Solução 3: Substituir o servidor usando o Server Migration Center (SMC)

    Server Migration Center (SMC) é uma plataforma de migração fornecida pelo Alibaba Cloud. (Recomendado) Use o SMC para migrar a instância ECS na qual a filtragem blackhole foi ativada para uma imagem personalizada e, em seguida, crie uma nova instância ECS a partir dessa imagem personalizada.

    1. Importe a instância ECS na qual a filtragem blackhole foi ativada como uma origem de migração do SMC. Para obter instruções, consulte Etapa 1: Importar as informações de uma origem de migração.

    2. Crie uma tarefa de migração para migrar as configurações do sistema e os dados do negócio para uma imagem personalizada. Para obter instruções, consulte Etapa 2: Criar e iniciar uma tarefa de migração.

    3. Use a imagem personalizada para criar rapidamente uma instância ECS com a mesma configuração. Para obter instruções, consulte Criar a partir de imagem personalizada ou imagem compartilhada.

    Solução 4: Fazer login na instância ECS com filtragem blackhole ativada e migrar dados do negócio

    Uma instância ECS com filtragem blackhole ativada não pode ser conectada remotamente pela Internet. No entanto, você pode tentar conectar-se usando o Workbench, gerenciamento de sessão, Virtual Network Computing (VNC) ou uma instância ECS na mesma VPC.

    Para instruções detalhadas sobre como se conectar a uma instância ECS usando o Workbench, gerenciamento de sessão ou VNC, consulte Conectar-se à sua instância. Este tópico usa como exemplo uma conexão por meio de uma instância ECS na mesma VPC.

    Notas de uso

    A instância ECS deve estar na mesma região, VPC e grupo de segurança que a instância ECS na qual a filtragem blackhole foi ativada, e a rede deve estar conectada. Para detalhes sobre grupos de segurança, consulte Visão geral.

    Procedimento

    1. Faça login no endereço IP privado ou no endereço IP público de uma instância ECS íntegra.

    2. Na instância ECS íntegra, use um comando ou ferramenta para se conectar ao endereço IP privado ou público da instância ECS na qual a filtragem blackhole foi ativada.

      A tabela a seguir lista os métodos de conexão comuns.

      Sistema operacional da instância ECS com filtragem blackhole ativada

      Sistema operacional da instância ECS íntegra

      Método de conexão

      Referências

      Windows

      Windows

      Conecte-se usando o Remote Desktop Connection (MSTSC).

      Usar o cliente RDP ou o Windows App

      Linux

      Conecte-se usando a ferramenta rdesktop.

      Linux

      Windows

      Conecte-se usando a ferramenta PuTTY.

      Linux

      Conecte-se usando um comando Secure Shell (SSH).

      ssh root@<endereço IP público estático ou EIP>

    3. Transfira os arquivos para a instância ECS íntegra.

    FAQ

    O que fazer se a filtragem blackhole for ativada no meu endereço IP e eu não puder alterar o endereço IP público?

    A filtragem blackhole ativada por um ataque DDoS volumétrico não pode ser desativada manualmente. Você deve aguardar até que o sistema determine que o ataque parou e a filtragem blackhole seja desativada automaticamente.

    Se as cargas de trabalho forem urgentes, mas restrições da conta ou condições dos recursos impedem a alteração do endereço IP público, você só pode aguardar a desativação automática da filtragem blackhole. Consulte a seção "Estimar o horário de desativação automática da filtragem blackhole" deste tópico para estimar o horário de desativação da filtragem blackhole.

    Para evitar que outro evento de blackhole afete suas cargas de trabalho, adquira o Anti-DDoS Native (Enterprise) ou o Anti-DDoS Proxy de acordo com os requisitos das suas cargas de trabalho para melhorar as capacidades de proteção. Para detalhes sobre os produtos Anti-DDoS, consulte O que é o Anti-DDoS Native? e O que é o Anti-DDoS Proxy?.

    Referências