Anti-DDoS：設定 DDoS 防護策略

在頂部功能表列左上方處，根據DDoS高防產品選擇地區。

• DDoS高防（中國內地）：選擇中國內地地區。

• DDoS高防（非中國內地）：選擇非中國內地地區。

在通用防護策略頁面，單擊非網站業務DDoS防護頁簽，並在頁面上方選擇要設定的 DDoS 高防執行個體。

從左側轉寄規則列表中單擊要設定的轉寄規則，配置防護策略。

• 虛假源：僅適用於 TCP 通訊埠轉寄規則。

  參數	描述
  虛假源	開啟後將自動過濾虛假源 IP 位址的串連請求。 關閉虛假源時，會同步關閉空串連。 關閉虛假源，空串連和進階攻擊防護均不生效。
  空串連	開啟後將自動過濾空串連請求，必須先開啟虛假源才能開啟空串連。

• 進階攻擊防護：僅適用於 TCP 通訊埠轉寄規則，開啟後防護等級預設為正常模式。開啟進階攻擊防護，必須先開啟虛假源。

  防護等級	防護效果	應用情境
  寬鬆	對有明顯攻擊特徵的請求進行攔截，可能存在少量漏過，但誤殺率極低。	適合於直播、流媒體、下載等具備單向大量傳輸的業務或者來源站點頻寬較大的業務。
  正常（推薦）	一般情況下，不會對正常業務造成影響，能夠充分平衡防護效果和誤殺率，建議您在一般情況下選擇該等級。	適用於絕大多數業務情境。
  嚴格	對惡意攻擊進行嚴格校正，但可能存在一定誤殺。	適合來源站點頻寬較小或防護效果不佳的情境。

• 會話特徵過濾：基於會話報文（ payload ），設定自訂的精準存取控制規則。單條規則下如果配置了多個匹配條件，必須同時滿足才執行對應動作。

  說明

  AI 智能防護下發的智能精準存取控制規則，也在此處顯示。

  參數	描述
  規則名稱	自訂的規則名稱。
  匹配條件	匹配條件：會話報文（ payload ）的格式，支援選擇 字串、十六進位。 區間匹配：匹配的 payload 開始、結束位置。開始位置、結束位置取值： 0~1499 ，單位為 Byte ，開始位置<=結束位置。 邏輯符：取值為包含、不包含。 匹配內容： 匹配條件為字串時，匹配內容長度不大於 1500 ，匹配內容長度<=結束位置-開始位置+1 。 匹配條件為十六進位時，匹配內容必須是十六進位字元，長度不大於 3000 ，且必須是偶數，匹配內容長度/2<= 結束位置-開始位置+1 。
  動作	觀察：命中觀察規則，允許存取該訪問請求。 阻斷：命中阻斷規則，拒絕該訪問請求。 阻斷並拉黑：命中阻斷規則，拒絕該訪問請求，並將源 IP 拉黑。拉黑處置時間長度支援設定 300 秒~600 秒。

• 白名單：每個白名單中最多支援手動添加 2000 個 IP 或 IP 段。

  • IPv4 的 DDoS 高防執行個體僅支援配置 IPv4 格式的 IP 或網段， IPv6 的 DDoS 高防執行個體僅支援配置 IPv6 格式的 IP 或網段。

  • IPv4 的網段支援/8~/32 ， IPv6 網段支援/32~/128 。

  • IPv4 地址不支援配置為 0.0.0.0 和 255.255.255.255 。 IPv6 地址不支援配置為::和 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff 。

• 源限速：

  • 參數說明：

    參數	描述
    源新建串連限速	限制單一源 IP 的每秒建立串連數量，取值範圍： 1~50000 （個）。超過限制的建立串連將被丟棄。 自動：系統將動態自動計算源建立串連限速閾值，無需手動設定。 手動：需要手動設定源建立串連限速閾值。 說明 由於防護裝置為叢集化部署，建立串連限速存在一定誤差。
    源并发连接限速	限制單一源 IP 的並發串連數量，取值範圍： 1~50000 （個）。超過限制的並發串連將被丟棄。
    源PPS限速	限制單一源 IP 的包轉寄數量，取值範圍： 1~100000 （ Packet/s ）。超過限制的資料包將被丟棄。
    源帶寬限速	限制單一源 IP 的源請求頻寬，取值範圍： 1024~268435456 （ Byte/s ）。

  • 黑名單策略 ：

    • 支援源新建串連60秒內5次超限，將該源IP加入黑名單選項，源 IP 若進入黑名單，則其串連請求都將被丟棄。

    • 開啟黑名單策略時，需要設定黑名單有效時間長度，取值範圍： 1~10080 （分鐘），預設為 30 分鐘。源 IP 被加入黑名單時，經有效時間長度後自動被釋放。

• 目的限速： TCP 通訊埠轉寄規則和 UDP 連接埠轉寄規則的預設設定不同。

  • TCP 通訊埠轉寄規則

    參數	描述
    目的新建串連限速	限制高防 IP 連接埠每秒最大建立串連數，超過限制的建立串連將被丟棄。 取值範圍： 100~100,000 （個）。 預設開啟，取值為 100,000 。 不支援關閉，如果您執行關閉操作，取值會恢複為預設值 100,000 。 說明 由於防護裝置為叢集化部署，建立串連限速存在一定誤差。
    目的并发连接限速	限制高防 IP 連接埠的最大並發串連數量，超過限制的並發串連將被丟棄。取值範圍： 1000~2,000,000 （個）。 預設開啟，取值為 2,000,000 。 不支援關閉，如果您執行關閉操作，取值會恢複為預設值 2,000,000 。

  • UDP 連接埠轉寄規則

    參數	描述
    目的新建串連限速	限制高防 IP 連接埠每秒最大建立串連數，超過限制的建立串連將被丟棄。 預設關閉。取值範圍： 100~50,000 （個）。 說明 由於防護裝置為叢集化部署，建立串連限速存在一定誤差。
    目的并发连接限速	限制高防 IP 連接埠的最大並發串連數量，超過限制的並發串連將被丟棄。取值範圍： 1,000~200,000 （個）。 預設開啟，取值為 200,000 。 不支援關閉，如果您執行關閉操作，會恢複為預設值 200,000 。

• 包長度過濾：單擊包長度過濾下的設定，設定允許通過高防 IP 連接埠的報文所含 payload 的最小和最大長度，取值範圍： 0~1500 （ Byte ），並單擊 確定。

登入DDoS高防控制台。

在頂部功能表列左上方處，根據DDoS高防產品選擇地區。

• DDoS高防（中國內地）：選擇中國內地地區。

• DDoS高防（非中國內地）：選擇非中國內地地區。

在左側導覽列，選擇接入管理 > 連接埠接入。

在連接埠接入頁面，選擇 DDoS 高防執行個體，並單擊規則列表下方的大量操作 > 添加DDoS防護策略。

在添加DDoS防護策略對話方塊，按照格式要求輸入要添加的防護策略內容，並單擊確定。