Um ataque de Negação de Serviço Distribuída (DDoS) é uma tentativa maliciosa de interromper seus service. Por padrão, a Alibaba Cloud ativa o Global Accelerator gratuitamente para os endereços IP acelerados e os endereços IP públicos dos grupos de endpoints em uma instância do Global Accelerator. Esse service defende contra ataques maliciosos, melhorando a segurança e a resiliência da sua instância do Global Accelerator.
Como funciona
Capacidade de proteção
O Anti-DDoS Basic vem ativado por padrão para os endereços IP acelerados e os endereços IP públicos dos grupos de endpoints em uma instância do Global Accelerator, oferecendo proteção básica contra DDoS de até 5 Gbps. A capacidade gratuita de proteção varia conforme a região:
Para consultar os limiares padrão de acionamento de blackhole do Anti-DDoS Basic em diferentes regiões, consulte Anti-DDoS Basic blackhole thresholds.
O limiar real de blackhole de uma instância do Global Accelerator depende da região e da configuração de largura de banda. Prevalece o valor exibido na página Asset.
Mecanismo de proteção
Todo o tráfego proveniente da internet passa por uma rede de proteção contra DDoS antes de chegar à instância do Global Accelerator. Essa rede monitora em tempo real o tráfego que entra na instância do Global Accelerator. Ao detectar um volume anormalmente alto de tráfego ou outras anomalias, como um ataque DDoS, o Anti-DDoS Basic redireciona o tráfego suspeito do caminho original da rede para dispositivos de limpeza. Esse redirecionamento ocorre sem afetar seus service normais. Os dispositivos de limpeza identificam e removem o tráfego malicioso. O tráfego legítimo restante é então reinjetado na rede original e encaminhado para a instância do Global Accelerator de destino. Esse processo é chamado de limpeza de tráfego.
Se o tráfego de entrada exceder a capacidade de proteção, ele será roteado para um blackhole para proteger todo o cluster. Todo o tráfego de entrada será então descartado. Para obter mais informações, consulte Alibaba Cloud blackhole policy .
A limpeza de tráfego é acionada pelas seguintes condições:
Padrão de tráfego: o tráfego corresponde à assinatura de um modelo de ataque conhecido.
Volume de tráfego: o Anti-DDoS Basic define automaticamente um limiar de limpeza com base na largura de banda do endereço IP acelerado e no endereço IP público do grupo de endpoints. Quando o tráfego atinge esse limiar, a limpeza começa, mesmo que o tráfego seja legítimo.
Os métodos de limpeza de tráfego incluem filtragem de pacotes de ataque, limitação de taxa de tráfego e limitação de taxa de pacotes. O Anti-DDoS Basic utiliza os seguintes limiares de limpeza:
Limiar de limpeza BPS: a limpeza começa quando a taxa de tráfego de entrada, em bits por segundo, ultrapassa esse limiar.
Limiar de limpeza PPS: a limpeza inicia quando o número de pacotes de entrada por segundo excede esse limiar.
Limiares de limpeza
As tabelas a seguir mostram os limiares de limpeza para os endereços IP acelerados e os endereços IP públicos dos grupos de endpoints em uma instância do Global Accelerator:
Tabela 1. Limiar máximo de limpeza BPS
|
Largura de banda do IP (Mbps) |
Limiar máximo de BPS (Mbps) |
|
≤300 |
450 |
|
>300 |
Largura de banda do IP × 1,5 |
Tabela 2. Limiar máximo de limpeza PPS
|
Largura de banda do IP (Mbps) |
Limiar máximo de PPS (pps) |
|
≤100 |
100.000 |
|
>100 |
Largura de banda do IP × 1.000 |
A largura de banda do IP é calculada da seguinte forma:
Largura de banda do IP de um endereço IP acelerado: corresponde ao valor de largura de banda alocado à área de aceleração.
-
O método de faturamento e a medição de largura de banda da instância do Global Accelerator determinam o valor de largura de banda para o endereço IP público de um grupo de endpoints.
Método de faturamento
Método de medição de largura de banda
Largura de banda do IP
subscription
Pagamento por largura de banda (associado a um plano de largura de banda básico)
Largura de banda de pico do plano de largura de banda básico
pay-as-you-go
Pagamento por transferência de dados (liquidado pelo CDT)
1.200 Mbps
Por exemplo, considere uma instância padrão do Global Accelerator em que o endereço IP acelerado possui 100 Mbps de largura de banda alocados à sua área de aceleração, e o plano de largura de banda básico associado tem uma largura de banda de pico de 200 Mbps.
Limiares de proteção para o endereço IP acelerado: o limiar máximo de limpeza BPS é de 450 Mbps e o limiar máximo de limpeza PPS é de 100.000 pps.
Limiares de proteção para o endereço IP público do grupo de endpoints: o limiar máximo de limpeza BPS é de 450 Mbps e o limiar máximo de limpeza PPS é de 200.000 pps.
Visualizar o limiar de proteção do Global Accelerator
Faça login no console do Global Accelerator.
-
Na página Instances, clique em ID da instância.
Para visualizar os limiares de proteção de uma instância básica do Global Accelerator, escolha Basic GA Instance no painel de navegação à esquerda do console do Global Accelerator para abrir a lista de instâncias básicas.
-
Visualize o limiar de proteção do endereço IP acelerado de uma instância do Global Accelerator ou do endereço IP público do seu endpoint.
O status de proteção contra DDoS pode ser Protected, Scrubbing ou Blackhole Filtering. A cor do ícone de proteção contra DDoS varia de acordo com o status. Os detalhes estão disponíveis na dica de ferramenta.
Endereço IP acelerado
Na página de detalhes da instância, clique em aba Acceleration Areas e localize o endereço IP acelerado desejado. Na coluna Security Protection, passe o mouse sobre o ícone de proteção contra DDoS. A dica de ferramenta mostra o limiar de limpeza BPS, o limiar de limpeza PPS e o limiar de blackhole para o endereço IP acelerado.
IP público do grupo de endpoints
Esta seção se aplica apenas a instâncias padrão do Global Accelerator.
Na página de detalhes da instância, clique em aba Listeners e, em seguida, clique em ID do listener do grupo de endpoints desejado.
Na página de detalhes do listener, clique em aba Endpoint Group. Localize o grupo de endpoints desejado com o endereço IP público e passe o mouse sobre o ícone de proteção contra DDoS. A dica de ferramenta exibe o limiar de limpeza BPS, o limiar de limpeza PPS e o limiar de blackhole para o endereço IP público do grupo de endpoints.
Operações relacionadas
Configurar limiares de limpeza: por padrão, o Global Accelerator aplica o limiar máximo de proteção do Anti-DDoS Basic com base na largura de banda do IP. No entanto, para certas larguras de banda, o limiar máximo de limpeza BPS pode ser alto demais para garantir uma proteção eficaz. Portanto, ajuste o limiar de limpeza para atender às necessidades do seu negócio. Para obter mais informações, consulte Configure traffic scrubbing thresholds.
Adquirir outros service de proteção contra DDoS: o Anti-DDoS Basic oferece apenas segurança básica. Caso necessite de uma proteção mais robusta, você pode associate your Global Accelerator instance with Anti-DDoS Origin or Anti-DDoS Pro/Premium.