Quando o volume de tráfego de ataque DDoS contra seu serviço da Alibaba Cloud ultrapassa o limiar de acionamento de blackhole, o serviço entra em filtragem de blackhole. Todo o tráfego de fontes externas é descartado e os serviços relacionados ficam inacessíveis. Este tópico descreve como consultar os detalhes de um evento de filtragem de blackhole.
Informações de contexto
A Alibaba Cloud oferece uma capacidade básica gratuita de mitigação de DDoS de 500 Mbit/s a 5 Gbit/s para serviços específicos da Alibaba Cloud (Anti-DDoS Basic). Quando a largura de banda de pico de um ataque DDoS excede a capacidade de mitigação, a Alibaba Cloud implementa a política de filtragem de blackhole e bloqueia todo o tráfego de entrada para o serviço. Isso evita danos maiores ao serviço e também impede que um ataque DDoS a um único endereço IP afete a operação normal de outros serviços na rede. Para obter mais informações sobre a filtragem de blackhole, consulte Alibaba Cloud blackhole filtering policy.
O Anti-DDoS Basic não oferece suporte à desativação manual da filtragem de blackhole. O sistema desativa a filtragem de blackhole automaticamente apenas após o ataque DDoS cessar por um período.
Para verificar os limiares de acionamento de blackhole dos serviços da Alibaba Cloud, consulte View the thresholds that trigger blackhole filtering in Anti-DDoS Basic e Configure traffic scrubbing thresholds.
Aplicabilidade
Se o endereço IP do ativo for um endereço IPv4, você poderá visualizar os detalhes apenas dentro de 7 dias após a ocorrência do evento de filtragem de blackhole. Se for um endereço IPv6, a visualização dos detalhes fica disponível por apenas 3 horas após o evento. Após a expiração desse prazo, a opção View Details fica esmaecida e não é possível visualizar os detalhes.
Se o ativo for um AnycastEIP, a opção View Details fica esmaecida, e não é possível visualizar os detalhes do evento de filtragem de blackhole.
Se o ativo tiver sido liberado, não é possível visualizar os detalhes do evento de filtragem de blackhole.
Procedimento
Faça logon no Traffic Security console. No painel de navegação à esquerda, escolha DDoS.
No painel de navegação à esquerda, clique em Event Center.
Insira o endereço IP do ativo, defina o tipo de evento como Blackhole, selecione um intervalo de tempo e clique em Search para visualizar eventos históricos de filtragem de blackhole.
(Opcional) Na coluna Actions, clique em View Details para visualizar os gráficos de tendência de Traffic e Inbound Traffic (pps) durante a ocorrência do evento de filtragem de blackhole.
-
(Opcional) Na seção Traffic da página de detalhes, clique em Download para baixar as evidências do ataque.
Perguntas frequentes
-
Como descubro o horário exato em que a filtragem de blackhole é desativada?
Não é possível consultar o horário exato da desativação, e não há suporte para a desativação manual. Para obter mais informações, consulte Deactivate blackhole filtering.
Desativação automática: o sistema remove automaticamente o status de filtragem de blackhole após detectar que o ataque cessou por um período. Não é possível desativar manualmente a filtragem de blackhole antecipadamente, nem consultar o horário exato da desativação ou estimar o tempo de recuperação do serviço.
-
Referência de duração:
Duração padrão: aproximadamente 2,5 horas.
Intervalo: geralmente entre 30 minutos e 24 horas.
Fatores de influência: a duração exata depende da duração, do tipo e da frequência do ataque, bem como da carga geral de rede da Alibaba Cloud.
-
Quais nomes de domínio são afetados após um endereço IP entrar em filtragem de blackhole?
A filtragem de blackhole é aplicada no nível do endereço IP. Todos os nomes de domínio que resolvem para o endereço IP ficam inacessíveis.
Impacto geral: a política de filtragem de blackhole é aplicada na camada de endereço IP, e não na camada de aplicação (nomes de domínio). Depois que um endereço IP entra em filtragem de blackhole, todo o tráfego de entrada destinado a ele é descartado. Portanto, todos os nomes de domínio que resolvem para o endereço IP em blackhole ficam inacessíveis.
-
Observações importantes para usuários do WAF (Web Application Firewall):
Risco: se você usar o WAF e o endereço IP atacado for o endereço IP virtual (VIP) da instância do WAF, o impacto poderá se estender a todos os nomes de domínio associados à instância.
Causa: vários nomes de domínio geralmente compartilham o mesmo VIP do WAF. O tráfego externo é totalmente bloqueado na camada de rede, no nível do endereço IP, antes de chegar ao WAF para o encaminhamento no nível de domínio.
Consequência: assim que o VIP do WAF entra em filtragem de blackhole, o acesso a todos os nomes de domínio associados à instância do WAF é interrompido ao mesmo tempo.
Solução de problemas: para confirmar a lista de nomes de domínio afetados, acesse o console do WAF e visualize as configurações de todos os nomes de domínio associados à instância.
Referências
How to select an Anti-DDoS product: o Anti-DDoS Basic é um serviço gratuito com capacidade de mitigação limitada. Para evitar impactos nos seus negócios, implemente uma solução comercial de mitigação de DDoS.
Restore workloads after blackhole filtering is triggered on an Elastic Compute Service (ECS) instance: conecte-se a um servidor para o qual a filtragem de blackhole foi acionada a fim de transferir arquivos ou modificar configurações.