O EIP oferece acesso à Internet por conexões IPv4 e integra-se aos serviços Anti-DDoS para fortalecer a segurança de rede dos recursos.
Controle de acesso à Internet com gateways IPv4
Os gateways IPv4 conectam Virtual Private Clouds (VPCs) à Internet. Esse recurso permite que uma VPC acesse a Internet ao rotear tráfego IPv4 e traduzir endereços IP privados em endereços IP públicos. Quando uma VPC acessa a Internet por meio de um gateway IPv4, o tráfego IPv4 passa obrigatoriamente por esse gateway.
Controle de acesso à Internet
Se os recursos em uma VPC tiverem um EIP associado, eles poderão acessar a Internet independentemente das configurações da tabela de rotas. Para reduzir os riscos de segurança causados pelo acesso direto à Internet, utilize gateways IPv4 e roteamento de sub-rede para regular o acesso da VPC à Internet, concedendo ou revogando permissões de acesso por sub-rede.
Políticas de roteamento para tráfego de entrada
Combine o recurso de roteamento de sub-rede com um IPv4 gateway para direcionar o tráfego de entrada a um firewall virtual, como o Cloud Firewall. Essa abordagem protege suas instâncias do Elastic Compute Service (ECS) contra solicitações maliciosas.
Mitigação de DDoS
Ataques DDoS são ciberataques direcionados a sistemas específicos com o objetivo de tornar os services indisponíveis para os usuários. O Alibaba Cloud Anti-DDoS Origin Basic fornece até 5 Gbps de largura de banda gratuita para mitigação de DDoS. Caso seu service exija uma capacidade de mitigação superior, adquira o Anti-DDoS (Enhanced) EIP.
Anti-DDoS Basic
Por padrão, os EIPs incluem o Anti-DDoS Basic, que oferece até 5 Gbps de proteção contra DDoS. Todo o tráfego de entrada da Internet passa primeiro pelo Alibaba Cloud Anti-DDoS Basic. Ao detectar tráfego compatível com o perfil de um ataque DDoS e que ultrapasse o limiar de limpeza, o Anti-DDoS Basic inicia a limpeza, filtra pacotes maliciosos e encaminha apenas o tráfego legítimo para o EIP.
-
Limpeza:
Métodos de limpeza: filtragem de pacotes de ataque, limitação de taxa de tráfego e limitação de taxa de pacotes.
-
Gatilho de limpeza: a limpeza é acionada quando o tráfego apresenta características de ataque DDoS e seu volume atinge o limiar de bits por segundo (BPS) ou pacotes por segundo (PPS). O Anti-DDoS Basic define automaticamente os limiares de limpeza com base na largura de banda do EIP.
Limiar de limpeza BPS: se a largura de banda do EIP for ≤ 300 Mbps, o limiar será de 450 Mbps. Se a largura de banda do EIP for > 300 Mbps, o limiar será de
EIP bandwidth value × 1.5Mbps.Limiar de limpeza PPS: 100.000 pps para larguras de banda de EIP de até 100 Mbps. Para larguras de banda acima de 100 Mbps, o limiar será de
EIP bandwidth value × 1000pps.
Roteamento blackhole: quando o tráfego de ataque DDoS excede o limiar de blackhole do EIP (capacidade de 5 Gbps do Anti-DDoS Basic, especificamente 5.200 Mbps), a Alibaba Cloud aplica o roteamento blackhole para proteger o recurso cloud de impactos adicionais. Essa política bloqueia todo o tráfego de entrada destinado ao EIP, o que pode causar uma interrupção total do service. Por padrão, o blackhole é suspenso automaticamente após 2,5 horas. A duração real pode variar conforme a frequência de ataques ao EIP.
Anti-DDoS (Enhanced)
A Alibaba Cloud disponibiliza EIPs protegidos pelo Anti-DDoS (Enhanced), capazes de mitigar ataques DDoS no nível de Tbps.
Ao utilizar EIPs protegidos pelo Anti-DDoS (Enhanced), não é necessário configurar parâmetros adicionais nem alterar os endereços IP do service. Esses EIPs são ideais para cenários que exigem alta segurança e baixa latência, como jogos de grande escala e transmissões ao vivo críticas.