Quando a filtragem blackhole é acionada em uma instância ECS, todo o tráfego de entrada é descartado e o tráfego de saída é bloqueado. O endereço IP público torna-se inacessível pela Internet, e a instância não consegue mais chamar serviços externos, como APIs de terceiros. Esse comportamento é esperado e não indica falha no servidor. A filtragem blackhole é desativada automaticamente ao expirar, e o endereço IP público é restaurado sem necessidade de reinicialização. Este tópico descreve como estimar o horário de desativação e como restaurar cargas de trabalho urgentes alterando o endereço IP público ou migrando para outra instância ECS.
Atacantes ainda podem descobrir o novo endereço IP público executando ping no seu nome de domínio e atacar novamente. Alterar o endereço IP ou migrar cargas de trabalho é apenas uma solução temporária. Para resolver o problema definitivamente, adquira Anti-DDoS Native ou Anti-DDoS Proxy.
Estimar o horário de desativação automática da filtragem blackhole
Sem o Anti-DDoS Native ou Anti-DDoS Proxy, é necessário aguardar a expiração da filtragem blackhole. Caso você possua um desses service e suas cargas de trabalho estejam protegidas por ele, é possível desativar a filtragem blackhole manualmente. Para mais informações, consulte Deactivate blackhole filtering (Anti-DDoS Native) e Deactivate blackhole filtering (Anti-DDoS Proxy).
-
Visualize o horário do ataque mais recente à instância ECS.
Faça login no Traffic Security console. Na página Event Center, localize o endereço IP público da instância ECS e clique em Details para visualizar o horário do ataque mais recente.
NotaSe um ativo receber múltiplos ataques DDoS, a duração da filtragem blackhole será calculada após a interrupção do último ataque DDoS.
-
Verifique a duração da filtragem blackhole.
Na página Assets, visualize a duração total da filtragem blackhole. O padrão é 2,5 horas. A duração real varia de 30 minutos a 24 horas conforme a frequência dos ataques, podendo ser maior em casos raros.
-
Calcule a previsão de desativação automática da filtragem blackhole.
Por exemplo, se o último ataque ocorreu às 12:30 e a duração é de 150 minutos, espera-se que a filtragem blackhole seja desativada às 15:00.
NotaEssa estimativa serve apenas como referência. Ataques DDoS contínuos prolongam a duração.
É possível aguardar a desativação automática da filtragem blackhole. Em situações urgentes, utilize uma das soluções abaixo.
Após alterar o endereço IP público ou migrar suas cargas de trabalho, atualize seus registros DNS, conexões de banco de dados e outras configurações afetadas.
Solução 1: Alterar o endereço IP público da instância ECS
Alterar repetidamente o endereço IP público de uma instância sob ataque mantém o tráfego malicioso na plataforma cloud. Isso pode resultar em restrições à sua conta Alibaba Cloud, como o bloqueio para compra de novas instâncias.
Alterar o elastic IP address (EIP) da instância ECS
(Opcional) Apply for a new EIP.
-
Disassociate the current EIP from the ECS instance.
ImportanteUm EIP no modelo pagamento conforme o uso continua gerando taxas de configuração mesmo após ser desassociado. Libere-o caso não seja mais necessário. Para mais informações, consulte Pay-as-you-go e Release a pay-as-you-go EIP.
Cancele a assinatura de um EIP por assinatura que não seja mais necessário. Para mais informações, consulte Rules for unsubscribing from resources.
Alterar o endereço IP público atribuído pelo sistema da instância ECS
Até 6 horas após a criação da instância
Altere o endereço IP público diretamente no ECS console. A instância deve estar no estado Stopped, e o endereço pode ser alterado até três vezes.
Pare instâncias VPC no modelo pagamento conforme o uso no modo padrão. No modo econômico, talvez não seja possível alterar o endereço IP público. Para mais informações, consulte Economical mode. Para uma quarta alteração dentro da janela de 6 horas, siga o procedimento destinado a instâncias criadas há mais de 6 horas.
Localize a instância e, na coluna Actions, escolha
> Network and Security Group > Change Public IP Address.Confirme os detalhes na mensagem Change Public IP Address e clique em OK. O novo endereço será exibido na mensagem.
Mais de 6 horas após a criação da instância
Não é possível alterar o endereço existente. Reatribua um novo endereço conforme descrito abaixo:
-
Convert the system-assigned public IP address of the VPC instance into an EIP. O endereço em si não muda.
ImportanteEssa operação não é suportada nas 24 horas anteriores à expiração de uma instância por assinatura.
Se uma instância por assinatura for faturada por largura de banda fixa, primeiro modifique o método de faturamento de rede para Pay-by-traffic. Para mais informações, consulte Change from pay-by-bandwidth to pay-by-traffic.
Disassociate the converted EIP from the instance. As taxas de EIP descritas na seção anterior também se aplicam aqui.
Altere a largura de banda pública da instância para mais de 1 Mbit/s. O sistema então atribuirá um novo endereço IP público. Para mais informações, consulte Modify the bandwidth configurations of subscription instances ou Modify the bandwidth configurations of pay-as-you-go instances. O novo endereço aparecerá na coluna IP Address da lista de instâncias.
Solução 2: Usar uma imagem personalizada para criar uma instância ECS com as mesmas configurações
-
Create a custom image of the ECS instance que teve a filtragem blackhole acionada.
NotaRecomendamos criar snapshots regularmente durante a O&M para que você possa gerar uma imagem personalizada a partir de um snapshot quando precisar restaurar cargas de trabalho rapidamente. Para mais informações, consulte Create policy e Create a custom image from a snapshot.
Use the custom image to create an ECS instance with the same configurations.
Solução 3: Substituir o servidor usando o SMC
Server Migration Center (SMC) é a plataforma de migração da Alibaba Cloud. Utilize-a para migrar a instância ECS com filtragem blackhole ativada para uma imagem personalizada e, em seguida, crie uma nova instância ECS a partir dessa imagem.
Create a migration task para migrar configurações do sistema e dados de negócios para uma imagem personalizada.
Use the custom image to create an ECS instance with the same configurations.
Solução 4: Fazer login na instância ECS e migrar dados de negócios
Uma instância ECS com filtragem blackhole ativada não pode ser acessada pela Internet, mas ainda é possível conectar-se a ela usando Workbench, Session Manager, Virtual Network Computing (VNC) ou outra instância ECS na mesma VPC.
Para mais informações, consulte Connect to your instance. Este exemplo utiliza outra instância ECS na mesma VPC.
Observações de uso
Ambas as instâncias devem residir na mesma região, VPC e security group, e precisam ter conectividade entre si.
Procedimento
Faça login em uma instância ECS íntegra usando seu endereço IP privado ou público.
-
A partir dessa instância, use um comando ou ferramenta para conectar-se ao endereço IP privado ou público da instância com filtragem blackhole ativada.
A tabela a seguir lista os métodos de conexão comuns.
Sistema operacional da instância ECS com filtragem blackhole ativada
Sistema operacional da instância ECS sem filtragem blackhole
Método de conexão
Referências
Windows
Windows
Use Microsoft Terminal Services Client (MSTSC).
Linux
Use rdesktop.
Linux
Windows
Use PuTTY.
Linux
Execute um comando SSH.
ssh root@<System-assigned public IP address or EIP of the instance> Migre seus dados de negócios para a instância ECS íntegra.
FAQ
O que fazer se a filtragem blackhole for acionada no meu endereço IP e eu não conseguir alterar o endereço IP público?
A filtragem blackhole acionada por ataques DDoS volumétricos não pode ser desativada manualmente. É necessário aguardar até que o sistema detecte a interrupção do ataque.
Se restrições de conta ou limitações de recursos impedirem a alteração do endereço IP público, será preciso aguardar. Para estimar o horário de desativação, consulte a seção "Estimate the time when blackhole filtering is automatically deactivated" deste tópico.
Para evitar que a filtragem blackhole seja acionada novamente, adquira Anti-DDoS Native (Enterprise) ou Anti-DDoS Proxy conforme as necessidades do seu negócio.
Referências
Saiba mais sobre Alibaba Cloud blackhole policy.
Visualize o blackhole filtering thresholds of cloud services such as ECS.
Saiba mais sobre Anti-DDoS Native e Anti-DDoS Proxy.