:Solucionar problemas de resposta lenta, alta latência e falhas de acesso em serviços protegidos pelo Anti-DDoS Proxy

Etapa 1: Coletar endereços IP afetados e testar a conectividade

Execute MTR ou traceroute no endereço IP afetado para identificar onde ocorre a latência ou perda de pacotes no caminho de rede.

Quando usar o MTR : O MTR combina traceroute e ping para monitoramento contínuo do caminho. Use-o quando suspeitar de perda de pacotes ou alta latência em saltos específicos entre seu cliente e o Anti-DDoS Proxy, ou entre o proxy e o servidor de origem.

Esta seção usa o MTR como exemplo. Usar MTR para analisar caminhos de rede aborda ambas as ferramentas em detalhes.

mtr --no-dns [$IP]

Substitua [$IP] pelo endereço IP afetado.

A saída de exemplo a seguir mostra que a latência ocorre em um nó específico:

Etapa 2: Determinar se a latência está dentro da faixa normal

O Anti-DDoS Proxy adiciona latência devido ao proxy de tráfego e à inspeção de segurança. A latência real varia conforme a região do cliente e o ISP. A tabela a seguir lista valores de referência.

Se sua latência estiver dentro da faixa de referência, tente as dicas em Reduzir a latência dentro da faixa normal. Caso exceda significativamente a faixa, prossiga para a próxima etapa.

Etapa 3: Identificar onde ocorre a latência

Analise a saída do MTR para determinar se o nó com alta latência é o seu servidor de origem ou sua instância do Anti-DDoS Proxy.

• A latência está no servidor de origem -- Solucionar problemas do servidor de origem.

• A latência está na instância do Anti-DDoS Proxy -- Solucionar problemas da instância do Anti-DDoS Proxy.

Instância do Server Load Balancer (SLB)

1. Use TCPing para testar o IP e a porta da instância SLB. Verifique se há latência ou perda de pacotes. Apêndice: Usar TCPing para testar conectividade.

2. Verifique o status da instância SLB. Confirme se a contagem de conexões não excede a especificação Max Connection.

3. Verifique se as políticas de controle de acesso na instância SLB negam os blocos CIDR de retorno à origem do Anti-DDoS Proxy. Em caso afirmativo, permita-os. Permitir que endereços IP de retorno à origem acessem o servidor de origem.

4. Verifique se softwares de segurança ou bloqueios de IP no servidor backend do SLB estão bloqueando os blocos CIDR de retorno à origem. Se estiverem, permita-os. Permitir que endereços IP de retorno à origem acessem o servidor de origem.

   Quando o balanceamento de carga da Camada 7 não é utilizado, o servidor backend vê todas as solicitações como originadas dos blocos CIDR de retorno à origem do Anti-DDoS Proxy. O alto volume de solicitações de cada bloco pode fazer com que o software de segurança os bloqueie. Adicione esses blocos CIDR à lista de permissões do servidor de origem.

5. Verifique se o endereço IP da instância SLB foi exposto. Se estiver exposto ou for desconhecido, use uma instância SLB diferente para evitar que invasores contornem o Anti-DDoS Proxy.

Instância do Elastic Compute Service (ECS)

1. Use TCPing para testar o IP e a porta da instância ECS. Verifique exceções nos logs. Apêndice: Usar TCPing para testar conectividade.

2. Verifique se a instância ECS apresenta problemas de desempenho, como alta utilização de CPU, consultas lentas ao banco de dados ou largura de banda de saída elevada. Verifique também eventos de filtragem blackhole e limpeza de tráfego.

3. Verifique se grupos de segurança ou softwares de segurança bloqueiam os blocos CIDR de retorno à origem. Em caso afirmativo, permita-os. Permitir que endereços IP de retorno à origem acessem o servidor de origem.

4. Se você usa um serviço que não seja site, verifique se uma regra de grupo de segurança permite solicitações dos endereços IP de origem para a instância ECS.

5. Verifique se o endereço IP da instância ECS foi exposto. Se estiver exposto ou for desconhecido, altere-o para evitar que invasores contornem o Anti-DDoS Proxy. Alterar o endereço IP público de um servidor de origem ECS.

Servidor não implantado na Alibaba Cloud

1. Use TCPing para testar o IP e a porta do servidor. Verifique exceções nos logs. Apêndice: Usar TCPing para testar conectividade.

2. Verifique se o servidor apresenta problemas de desempenho, como alta utilização de CPU, consultas lentas ao banco de dados ou largura de banda de saída elevada.

3. Verifique se políticas de controle de acesso (lista de bloqueios, lista de permissões ou software de segurança) bloqueiam os blocos CIDR de retorno à origem. Em caso afirmativo, permita-os. Permitir que endereços IP de retorno à origem acessem o servidor de origem.

4. Verifique se o endereço IP do servidor foi exposto. Se estiver exposto ou for desconhecido, altere-o para evitar que invasores contornem o Anti-DDoS Proxy.

Solucionar eventos de limpeza de tráfego

A figura a seguir mostra eventos de limpeza de tráfego na página Instances.

Quando usar TCPing aqui : Compare portas afetadas com portas não afetadas usando TCPing. Isso revela se a política de limpeza ou o seu servidor backend está causando a latência.

Use TCPing para testar tanto as portas afetadas quanto as não afetadas. Verifique se há latência ou perda de pacotes e use a tabela a seguir para identificar a causa.

Solucionar eventos de filtragem blackhole

1. A figura a seguir mostra um evento de filtragem blackhole na página Instances. Identifique o endereço IP que está no estado de blackholing e verifique se o serviço afetado usa esse endereço IP.

2. Desative a filtragem blackhole. Cada conta da Alibaba Cloud pode desativá-la até cinco vezes por dia. Desativar filtragem blackhole.

3. Para evitar que a filtragem blackhole seja acionada novamente após a desativação, faça upgrade da sua instância do Anti-DDoS Proxy.

Caminho 1: Anti-DDoS Proxy > WAF (modo CNAME) > Cloud Firewall > servidor backend

No console do WAF, acesse a página Security report. Verifique se as regras de proteção do WAF bloqueiam equivocadamente o endereço IP de origem. Em caso afirmativo, adicione o IP à lista de permissões ou permita o ID da regra correspondente. Configurar regras de proteção para o módulo whitelist para permitir solicitações específicas.

Caminho 2: Anti-DDoS Proxy > Cloud Firewall > WAF (modo cloud native) > servidor backend

1. No console do Cloud Firewall, acesse a página Log audit. Verifique se o endereço IP foi bloqueado equivocadamente por regras do sistema de prevenção de intrusões (IPS).

2. Adicionar o endereço IP de origem a um catálogo de endereços.

3. Adicionar o catálogo de endereços à lista de permissões do IPS.

Usar TCPing no Windows

Copie a ferramenta TCPing para o diretório de destino e execute o seguinte comando:

tcping [$Domain_Name] [$Port]

[$Domain_Name] é o nome de domínio ou endereço IP que você deseja testar.

[$Port] é a porta que você deseja testar.

Saída de exemplo:

Probing 192.168.XX.XX:80/tcp - Port is open - time=19.550ms
Probing 140.XXX.XXX.8:80/tcp - Port is open - time=8.761ms
Probing 192.168.XX.XX:80/tcp - Port is open - time=10.899ms
Probing 192.168.XX.XX:80/tcp - Port is open - time=13.013ms

Ping statistics for 192.168.XX.XX:80
     4 probes sent.
     4 successful, 0 failed.
Approximate trip times in milliseconds:
     Minimum = 8.761ms, Maximum = 19.550ms, Average = 13.056ms

Usar TCPing no Linux

1. Instale o TCPing:

      tar zxvf tcping-1.3.5.tar.gz
      cd tcping-1.3.5
      make tcping.linux

2. Teste a conectividade: Saída de exemplo:

      for ((i=0; i<10; ++i)) ; do ./tcping www.example.com 80;done

      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.
      www.example.com port 80 open.