Um ataque de Negação de Serviço Distribuída (DDoS) é uma tentativa mal-intencionada de interromper seus services. Por padrão, a Alibaba Cloud ativa o Anti-DDoS Basic gratuitamente para os endereços IP acelerados e os endereços IP públicos dos grupos de endpoints em uma instância do Global Accelerator. Esse service defende contra ataques maliciosos, o que melhora a segurança e a resiliência da sua instância do Global Accelerator.
Como funciona
Capacidade de proteção
O Anti-DDoS Basic vem ativado por padrão para os endereços IP acelerados e os endereços IP públicos dos grupos de endpoints em uma instância do Global Accelerator, e fornece proteção básica contra DDoS de até 5 Gbps. A capacidade de proteção gratuita varia de acordo com a região:
Para obter os limiares padrão de acionamento de blackhole do Anti-DDoS Basic em diferentes regiões, consulte Anti-DDoS Basic blackhole thresholds.
O limiar real de blackhole para uma instância do Global Accelerator depende da região e da configuração de largura de banda. Prevalece o valor exibido na página Asset.
Mecanismo de proteção
Uma rede de proteção contra DDoS direciona todo o tráfego da internet antes que ele chegue à instância do Global Accelerator. Essa rede monitora, em tempo real, o tráfego de entrada na instância do Global Accelerator. Ao detectar um volume de tráfego anormalmente alto ou outras anomalias, como um ataque DDoS, o Anti-DDoS Basic redireciona o tráfego suspeito da rota de rede original para os dispositivos de limpeza. Esse redirecionamento não afeta os services normais. Esses dispositivos identificam e removem o tráfego mal-intencionado. Em seguida, a rede reinjeta o tráfego legítimo restante na rede original e o encaminha para a instância do Global Accelerator de destino. Esse processo recebe o nome de limpeza de tráfego.
Se o tráfego de entrada exceder a capacidade de proteção, o sistema o direciona para um blackhole para proteger todo o cluster e descarta todo o tráfego de entrada. Para obter mais informações, consulte Alibaba Cloud blackhole filtering policy .
As seguintes condições acionam a limpeza de tráfego:
Padrão de tráfego: o tráfego corresponde à assinatura de um modelo de ataque conhecido.
Volume de tráfego: o Anti-DDoS Basic define automaticamente um limiar de limpeza com base na largura de banda do endereço IP acelerado e do endereço IP público do grupo de endpoints. Ao atingir esse limiar, a limpeza de tráfego tem início, mesmo que o tráfego seja legítimo.
Os métodos de limpeza de tráfego incluem filtragem de pacotes de ataque, limitação de taxa de tráfego e limitação de taxa de pacotes. O Anti-DDoS Basic usa os seguintes limiares de limpeza:
Limiar de limpeza BPS: a limpeza tem início quando a taxa de tráfego de entrada, em bits por segundo, excede este limiar.
Limiar de limpeza PPS: a limpeza é acionada quando o número de pacotes de entrada por segundo excede este limiar.
Limiares de limpeza
As tabelas a seguir apresentam os limiares de limpeza para os endereços IP acelerados e os endereços IP públicos dos grupos de endpoints em uma instância do Global Accelerator:
Tabela 1. Limiar máximo de limpeza BPS
|
Largura de banda do IP (Mbps) |
Limiar máximo de BPS (Mbps) |
|
≤300 |
450 |
|
>300 |
Largura de banda do IP × 1,5 |
Tabela 2. Limiar máximo de limpeza PPS
|
Largura de banda do IP (Mbps) |
Limiar máximo de PPS (pps) |
|
≤100 |
100.000 |
|
>100 |
Largura de banda do IP × 1.000 |
A largura de banda do IP segue o seguinte cálculo:
Largura de banda do IP de um endereço IP acelerado: valor de largura de banda alocado à área de aceleração.
-
O método de faturamento e o método de medição de largura de banda da instância do Global Accelerator determinam o valor de largura de banda para o endereço IP público de um grupo de endpoints.
Método de faturamento
Método de medição de largura de banda
Largura de banda do IP
assinatura
Pagamento por largura de banda (associado a um plano de largura de banda básico)
Largura de banda de pico do plano de largura de banda básico
pagamento conforme o uso
Pagamento por transferência de dados (liquidado pelo CDT)
1.200 Mbps
Por exemplo, considere uma instância padrão do Global Accelerator na qual o endereço IP acelerado tem 100 Mbps de largura de banda alocada à sua área de aceleração, e o plano de largura de banda básico associado tem largura de banda de pico de 200 Mbps.
Limiares de proteção para o endereço IP acelerado: o limiar máximo de limpeza BPS é de 450 Mbps, e o limiar máximo de limpeza PPS é de 100.000 pps.
Limiares de proteção para o endereço IP público do grupo de endpoints: o limiar máximo de limpeza BPS é de 450 Mbps, e o limiar máximo de limpeza PPS é de 200.000 pps.
Visualize os limiares de proteção do Global Accelerator
Faça login no console do Global Accelerator.
-
Na página Instances, clique em ID da instância.
Para visualize os limiares de proteção de uma instância básica do Global Accelerator, escolha Basic GA Instance no painel de navegação à esquerda do console do Global Accelerator para abrir a lista de instâncias básicas.
-
Visualize o limiar de proteção do endereço IP acelerado de uma instância do Global Accelerator ou do endereço IP público do seu endpoint.
O status de proteção contra DDoS pode ser Protected, Scrubbing ou Blackhole Filtering. A cor do ícone de proteção contra DDoS varia de acordo com o status. A dica de ferramenta exibe os detalhes.
Endereço IP acelerado
Na página de detalhes da instância, clique em guia Acceleration Areas e localize o endereço IP acelerado de destino. Na coluna Security Protection, passe o mouse sobre o ícone de proteção contra DDoS. A dica de ferramenta exibe o limiar de limpeza BPS, o limiar de limpeza PPS e o limiar de blackhole para o endereço IP acelerado.
IP público do grupo de endpoints
Esta seção se aplica apenas a instâncias padrão do Global Accelerator.
Na página de detalhes da instância, clique em guia Listeners e, em seguida, clique em ID do listener para o grupo de endpoints de destino.
Na página de detalhes do listener, clique em guia Endpoint Group. Localize o grupo de endpoints de destino com o endereço IP público e passe o mouse sobre o ícone de proteção contra DDoS. A dica de ferramenta exibe o limiar de limpeza BPS, o limiar de limpeza PPS e o limiar de blackhole para o endereço IP público do grupo de endpoints.
Operações relacionadas
Configure os limiares de limpeza: Por padrão, o Global Accelerator aplica o limiar máximo de proteção do Anti-DDoS Basic com base na largura de banda do IP. No entanto, o limiar máximo de limpeza BPS pode ser alto demais para uma proteção eficaz com determinadas larguras de banda de IP. Portanto, ajuste o limiar de limpeza para atender às suas necessidades de negócios. Para obter mais informações, consulte Configure traffic scrubbing thresholds.
Compre outros services de proteção contra DDoS: o Anti-DDoS Basic oferece apenas proteção básica. Se precisar de uma proteção mais robusta, associate your Global Accelerator instance with Anti-DDoS Origin or Anti-DDoS Pro/Premium.