DDoS基礎防護

DDoS基礎防護工作原理

啟用DDoS基礎防護後，雲盾會即時監控進入ECS執行個體的流量。當監測到超大流量或者包括DDoS攻擊在內的異常流量時，在不影響正常業務的前提下，雲盾會將可疑流量從原始網路路徑中重新導向到淨化產品上，識別並剝離惡意流量，並將還原的合法流量回注到原始網路中轉寄給目標ECS執行個體。這一過程，就是 流量清洗。更詳細的資訊，請參見 DDoS基礎防護服務-產品架構。

	说明
	啟用了DDoS基礎防護的ECS執行個體，當來自互連網的流量大於5 Gbit/s時，為保護整個叢集的安全，阿里雲會讓相應ECS執行個體進入黑洞，丟棄進入該執行個體的所有流量，屏蔽公網對它的所有訪問。詳細資料，請參見 DDoS防護指南 -阿里雲黑洞策略。

流量清洗的觸發條件包括：

• 流量模型的特徵。當流量符合攻擊流量特徵時，就會觸發清洗。
• 流量大小。DDoS攻擊一般流量都非常大，通常都以Gbit/s為單位，因此，當進入ECS執行個體的流量達到設定的閾值時，無論是否為正常業務流量，雲盾都會啟動流量清洗。

流量清洗的方法包括：過濾攻擊報文、限制流量速度、限制資料包速度等。

所以，在使用DDoS基礎防護時，您需要設定以下閾值：

• BPS清洗閾值：當入方向流量超過BPS清洗閾值時，會觸發流量清洗。
• PPS清洗閾值：當入方向資料包數超過PPS清洗閾值時，會觸發流量清洗。

Elastic Compute Service的清洗閾值

Elastic Compute Service的清洗閾值由執行個體規格決定。下表列出了目前 在售 和 已停售 的部分執行個體規格的清洗閾值。

相關操作

Elastic Compute Service預設開啟DDoS基礎防護。ECS執行個體建立後，您可以執行以下操作：

• 設定清洗閾值：ECS執行個體建立後，預設按執行個體規格對應的最大閾值執行DDoS基礎防護。但是，部分執行個體規格的最大清洗閾值（BPS）可能過大，無法起到應有的防護作用，所以，您需要根據實際情況調整清洗閾值，具體操作，請參見 DDoS基礎防護使用者指南-DDoS基礎防護設定。

• （不推薦）取消流量清洗：當進入ECS執行個體的流量達到清洗閾值時，無論是否為正常業務流量，雲盾都會啟動流量清洗，此時，可能會導致正常業務不可用或受影響。為了保證正常業務，您可以手動取消流量清洗。具體操作，請參見 DDoS基礎防護使用者指南-如何取消流量清洗。

  	警告
  	取消流量清洗後，當流入ECS執行個體的流量超過5 Gbit/s時，您的ECS執行個體會被打進黑洞。請謹慎操作。