Anti-DDoS：IP 防護策略

規則生效說明

• 規則生效優先順序：

  • 標準型雲產品：ICMP 協議禁用>白名單>黑名單>地區封鎖>連接埠封鎖>指紋過濾。

  • 增強型雲產品：ICMP 協議禁用>白名單>黑名單>地區封鎖>連接埠封鎖>指紋過濾>反射攻擊過濾>源限速。

• 規則生效時間長度：除黑名單需要設定生效時間長度外，其餘規則均永久生效。

• 規則生效時機：需要注意部分規則僅攻擊狀態生效。

  • 攻擊時生效：僅在 DDoS 原生防護檢測到攻擊流量並啟動流量清洗時自動生效，非攻擊狀態下不生效。

  • 常態化生效：在任何狀態下均持續生效。

防護規則概覽

AI智能防護

智能巨量資料分析引擎自學習業務流量基準，自適應防護網路層及傳輸層 DDoS 攻擊。

• 使用情境：標準型雲產品和增強型雲產品均為常態化生效。

• 防護效果：結合歷史業務及專家經驗演算法，各等級的防護效果如下：

  重要

  建立原則範本後功能預設開啟，防護等級為正常，約需 3 天業務流量訓練後達到最佳防護效果。

  • 寬鬆：針對攻擊明顯的惡意 IP 實施防護，存在一定漏過，誤殺率低。

  • 正常：針對攻擊明顯、疑似的惡意 IP 實施防護，平衡防護效果及誤殺。

  • 嚴格：針對攻擊的防禦效果強，但存在一定機率誤殺。

• 配置方法：

  1. 在規則配置面板中，找到AI智能防護地區。

  2. 在等級地區選取項目防護等級：寬鬆、正常或嚴格。

ICMP協議禁用

流量清洗時直接丟棄 ICMP 協議流量，過濾 ICMP 攻擊並減少伺服器被探測的風險。

• 使用情境：標準型雲產品在攻擊時生效，增強型雲產品常態化生效。

• 防護效果：

  • 禁用後會導致 ping 命令將無法得到響應。

    警告

    網路診斷與維護前請先解除禁用，否則將無法使用ping命令。

  • ICMP協議禁用對白名單中IP也會生效，即開啟該策略後，來自白名單IP的ICMP協議流量也會被丟棄。

• 配置方法：

  1. 在規則配置面板中，找到ICMP協議禁用地區。

  2. 在狀態地區開啟或關閉開關。如果業務不涉及 ICMP 協議，建議開啟。

黑/白名單

• 使用情境：標準型雲產品在攻擊時生效，增強型雲產品常態化生效

• 防護效果：針對源 IP 設定過濾或允許存取規則，直接丟棄或允許存取指定源 IP 的流量。

  重要

  如果白名單允許存取的流量過大，雲端式產品規格和雲平台保障的原因，允許存取流量仍然可能會命中 DDoS 原生防護預設的目的 IP 限速策略。

• 配置方法：

  1. 在規則配置面板中，找到黑/白名單地區，單擊設定。

  2. 選擇黑名單或白名單，參考如下說明，完成配置。

     黑名單

     1. 設定逾時時間（僅黑名單）：添加黑名單時，需要設定黑名單逾時時間，設定後對當前黑名單中所有 IP 均生效。

        1. 在黑名單頁簽，單擊逾時時間設定。

        2. 在彈窗內逾時時間設定地區，根據業務需求設定逾時時間。支援選擇自訂（5~43200分鐘），永久生效，30分鐘等時間段。

     2. 添加名單：

        1. 單擊手動添加，彈出黑名單配置配置框。

        2. 在配置框，填寫黑名單IP，多個地址請用空格或換行分隔。

           說明

           黑名單最多支援手動添加2000個IP。

     白名單

     1. 單擊手動添加，彈出白名單配置配置框。

     2. 在配置框，填寫白名單IP，多個地址請用空格或換行分隔。

        說明

        白名單最多支援手動添加2000個IP。

地區封鎖

基於地理地區的訪問請求封鎖策略。

• 使用情境：標準型雲產品在攻擊時生效，增強型雲產品常態化生效。

• 防護效果：開啟後，由封鎖地區到目的 IP 的流量將被丟棄，支援按照地區或國家封鎖。

• 配置方法：

  1. 在規則配置面板中，找到地區封鎖地區。

  2. 在地區選取項目列表中，勾選需要封鎖的地區或國家後，單擊确定。

     說明

     建議將非業務訪問的地區全部封鎖。

連接埠封鎖

針對 UDP 或 TCP 協議，設定源連接埠或目的連接埠過濾規則。

• 使用情境：標準型雲產品在攻擊時生效，增強型雲產品常態化生效。

• 防護效果：直接丟棄來自指定協議及對應連接埠的流量，可以用於過濾 UDP 反射攻擊。

• 配置建議：

  • 如果生效資產中只有 TCP 業務（無 UDP 業務），建議封鎖全部 UDP 源連接埠。

    說明

    若後續增加了 UDP 業務，請及時調整防護策略。

  • 如果生效資產中存在 UDP 業務，建議封鎖常見的 UDP 反射源連接埠，包括 1~52 、 54~161 、 389 、 1900 、 11211 。

• 配置方法：

  1. 在規則配置面板中，單擊連接埠封鎖地區的設定。

  2. 在禁用連接埠頁面，單擊添加連接埠。

  3. 在新增禁用連接埠，參考如下資訊完成配置後，單擊确定儲存規則。

     說明

     最多支援 8 條規則。

     • 協議：設定協議類型 TCP 或 UDP 。

     • 開始源連接埠 - 結束源連接埠、開始目的連接埠 - 結束目的連接埠：設定源連接埠範圍和目的連接埠範圍。

     • 匹配後動作：僅支援丟棄。

源限速

對訪問頻率超出閾值的源 IP 位址進行限速。

• 使用情境：僅增強型雲產品支援，常態化生效。

• 防護效果：設定限速閾值後，超限後會將該源 IP 加入黑名單，即所有來自該 IP 的訪問請求會被丟棄。

• 配置方法：

  1. 在規則配置面板中，單擊源限速地區的設定。

  2. 在源限速設定面板，開啟限速維度（ 源PPS限速、源帶寬限速、源SYN PPS限速、源SYN 帶寬限速）開關，輸入限速閾值。

  3. （可選）開啟自動加入黑名單功能：勾選60秒內5次超限，將該源IP加入黑名單，在60秒內超限5次IP將被加入黑名單。

反射攻擊過濾

• 使用情境：僅增強型雲產品支援，常態化生效。

• 防護效果：僅針對 UDP 協議流量生效，處理 UDP 協議流量時，直接丟棄指定的 UDP 反射源連接埠的流量。

• 配置方法：

  1. 在規則配置面板中，單擊反射攻擊過濾地區的設定。

  2. 在設定UDP反射攻擊防護面板，選擇過濾策略。支援以下兩種策略：

     • 一鍵過濾策略：列出了常見的 UDP 反射攻擊，如果業務不涉及這些 UDP 源連接埠，建議全部封鎖。

     • 自訂過濾策略：自訂反射源連接埠，最多設定 20 個連接埠，連接埠不能與一鍵過濾策略中的連接埠重複。

反射攻擊過濾

• 使用情境：標準型雲產品在攻擊時生效，增強型雲產品常態化生效。

• 防護效果：由攻擊工具偽造的攻擊報文通常都擁有相同的特徵欄位，比如都包含某一字串或整個報文內容一致，通過對資料包中指定位置的內容特徵匹配，根據匹配結果設定過濾、允許存取或限速規則。

• 配置方法：

  1. 在規則配置面板中，單擊指紋過濾地區的設定。

  2. 在指紋過濾特徵面板，單擊添加特徵。

  3. 在新增指紋過濾特徵頁面，參考如下說明完成配置後，單擊确定。

     • 協議： TCP 或 UDP 。

     • 開始源連接埠 - 結束源連接埠：源連接埠範圍。可選範圍： 0~65535 。

     • 開始目的連接埠 - 結束目的連接埠：目的連接埠範圍。可選範圍： 0~65535 。

     • 最小包長 - 最大包長： IP 資料包的長度範圍。可選範圍： 1~1500 ，單位： Byte 。

     • 位移量： UDP 或 TCP 頭部後資料體（ payload ）的位移量，可選範圍： 0~1500 ，單位： Byte 。

       位移量為 0 時，從資料體的第一位元組開始匹配。

     • 檢測載荷：要匹配的資料體（ payload ）內容，輸入十六進位字串，長度為 1~15 位元組。輸入時不需要帶有十六進位的 0x ，例如需要匹配 0xad 時，只需填寫 ad 。

     • 匹配後動作：匹配中特徵後，對流量執行的操作。可選值：通過、丟棄、源IP限速、session限速。選擇源IP限速、session限速後，必須設定限速值。

       說明

       session限速即能在每個請求中攜帶的所有Cookie。

DDoS高防回源地址加白

將 DDoS 高防的回源 IP 添加到雲產品的存取控制策略白名單中。僅增強型雲產品支援。防護增強型雲產品時，流量會通過 DDoS 高防清洗中心轉寄回源，強烈建議開啟高防回源加白功能，避免業務流量誤傷。

配置方法：

1. 在規則配置面板中，找到DDoS高防（中國內地&非中國內地）回源地址加白地區。

2. 開啟或關閉開關。防護增強型雲產品時強烈建議開啟。