當(dāng)您將業(yè)務(wù)接入DDoS高防后，網(wǎng)站類業(yè)務(wù)把域名解析指向高防IP，非網(wǎng)站類的業(yè)務(wù)IP將替換成高防IP，DDoS高防將所有的公網(wǎng)流量都引流至高防IP，進(jìn)而隱藏源站，避免源站（用戶業(yè)務(wù)）遭受大流量DDoS攻擊。
緊急接入場景說明
如果您的業(yè)務(wù)在接入DDoS高防前已經(jīng)遭受攻擊或源站IP已被黑洞，建議您在業(yè)務(wù)接入DDoS高防時(shí)參照表1進(jìn)行處理。
如果在接入DDoS高防前業(yè)務(wù)已遭受攻擊，建議您更換源站服務(wù)器IP。更換IP前，請務(wù)必確認(rèn)是否在客戶端或App端中通過代碼直接指向源站IP，在這種情況下，請先更新客戶端或App端代碼后再更換源站IP，避免影響業(yè)務(wù)正常訪問。具體操作請參見更換源站ECS公網(wǎng)IP。
表1 緊急接入場景說明
|
業(yè)務(wù)場景
|
使用說明
|
|---|---|
業(yè)務(wù)已經(jīng)遭受DDoS攻擊 |
一般情況下，業(yè)務(wù)接入DDoS高防后，采用默認(rèn)防護(hù)配置。 |
源站IP已被黑洞 |
如果在接入DDoS高防前，業(yè)務(wù)源站服務(wù)器已被攻擊且觸發(fā)黑洞策略，請及時(shí)更換源站IP。 如果您的源站為華為云ELB實(shí)例，請更換ELB實(shí)例公網(wǎng)IP，詳細(xì)操作請參見更換ECS IP。 須知： 更換源站IP后，請盡快將業(yè)務(wù)接入DDoS高防進(jìn)行防護(hù)，避免源站IP暴露。 如果您的業(yè)務(wù)部署在華為云上，而您不希望更換源站IP，或者已經(jīng)更換源站IP但仍存在IP暴露的情況，建議您在源站ECS服務(wù)器前部署彈性負(fù)載均衡（ELB）實(shí)例，并將ELB實(shí)例的公網(wǎng)IP作為源站IP接入DDoS高防。 |
前提條件
- 已完成業(yè)務(wù)情況進(jìn)行梳理和接入前準(zhǔn)備工作。
- 域名類業(yè)務(wù)已接入WAF。
操作步驟
1.購買DDoS高防實(shí)例。
-如果您的業(yè)務(wù)服務(wù)器部署在中國內(nèi)地，請購買DDoS高防實(shí)例。
須知：
DDoS高防實(shí)例不支持接入未經(jīng)ICP備案的域名。如果您需要使用D DoS高防防護(hù)網(wǎng)站業(yè)務(wù)，請確認(rèn)網(wǎng)站域名已經(jīng)完成ICP備案。
DDoS高防實(shí)例默認(rèn)提供IPv4高防IP。如果您需要IPv6高防IP，請選擇購買DDoS原生防護(hù)實(shí)例。
-如果您的業(yè)務(wù)服務(wù)器部署在中國內(nèi)地以外地域，且業(yè)務(wù)主要用戶來自中國內(nèi)地，由于單獨(dú)使用DDoS高防（國際版）不能保障中國內(nèi)地用戶的訪問質(zhì)量（存在約300毫秒的平均訪問延時(shí)），建議您考慮以下方案：
如果只需要保障中國內(nèi)地電信、聯(lián)通和非移動線路用戶的業(yè)務(wù)訪問速度和穩(wěn)定性，您可以單獨(dú)購買DDoS高防和優(yōu)選線路（無防護(hù)）。
2.根據(jù)業(yè)務(wù)類型，將業(yè)務(wù)接入DDoS高防。
3.為避免惡意攻擊者繞過DDoS高防直接攻擊源站服務(wù)器，建議您設(shè)置源站保護(hù)。
4.配置CC攻擊防護(hù)策略。
-業(yè)務(wù)正常時(shí)
網(wǎng)站業(yè)務(wù)接入DDoS高防后，建議您在業(yè)務(wù)運(yùn)行一段時(shí)間后（兩、三天左右），通過分析業(yè)務(wù)應(yīng)用日志數(shù)據(jù)（包括URL、單一源IP平均訪問QPS等），評估正常情況下單訪問源IP的請求QPS情況并相應(yīng)配置頻率控制自定義規(guī)則限速策略，避免遭受攻擊后的被動響應(yīng)。
-正在遭受CC攻擊時(shí)
通過查看DDoS高防防護(hù)日志，獲取域名請求TOP URL、IP地址、訪問來源IP、User-Agent等參數(shù)信息，根據(jù)實(shí)際情況配置頻率控制自定義規(guī)則，并觀察防護(hù)效果。
如果實(shí)際防護(hù)效果不佳，建議您購買MDR服務(wù)，協(xié)助您進(jìn)一步分析日志并制定防護(hù)策略。
5.本地檢查測試配置準(zhǔn)確性。
配置完DDoS高防防護(hù)策略后，建議參照表2和表3檢查測試DDoS高防配置是否正確。
表2 業(yè)務(wù)檢查項(xiàng)說明
|
業(yè)務(wù)類型
|
檢查項(xiàng)說明
|
|---|---|
域名類業(yè)務(wù) |
接入配置域名是否填寫正確。 域名是否備案。 接入配置協(xié)議是否與實(shí)際協(xié)議一致。 接入配置端口是否與實(shí)際提供的服務(wù)端口一致。 源站填寫的IP是否是真實(shí)服務(wù)器IP，而不是錯(cuò)誤填寫為其他IP。 證書信息是否正確上傳。 證書是否合法（例如，加密算法不合規(guī)、錯(cuò)誤上傳其他域名的證書等）。 證書鏈?zhǔn)欠裢暾?/p> 是否已了解DDoS高防實(shí)例的彈性防護(hù)計(jì)費(fèi)方式。 協(xié)議類型是否啟用WebSocket、WebSockets協(xié)議。 |
非域名類業(yè)務(wù) |
業(yè)務(wù)端口是否可以正常訪問。 接入配置協(xié)議是否與實(shí)際協(xié)議一致，確認(rèn)未錯(cuò)誤地為TCP協(xié)議業(yè)務(wù)配置UDP協(xié)議規(guī)則等。 源站填寫的IP是否是真實(shí)服務(wù)器IP，而不是錯(cuò)誤填寫為其他IP。 是否已了解DDoS高防實(shí)例的彈性防護(hù)計(jì)費(fèi)方式。 |
表3 業(yè)務(wù)可用性驗(yàn)證項(xiàng)
|
驗(yàn)證說明
|
驗(yàn)證項(xiàng)
|
|---|---|
必檢項(xiàng) |
測試業(yè)務(wù)是否能夠正常訪問。 |
必檢項(xiàng) |
測試業(yè)務(wù)登錄會話保持功能是否正常。 |
必檢項(xiàng) |
（域名類業(yè)務(wù)）觀察業(yè)務(wù)返回4XX和5XX響應(yīng)碼的次數(shù)，確保回源IP未被攔截。 |
建議項(xiàng) |
是否配置后端服務(wù)器獲取真實(shí)訪問源IP。 |
建議項(xiàng) |
（域名類業(yè)務(wù)）是否配置源站保護(hù)，防止攻擊者繞過DDoS高防直接攻擊源站。 |
必檢項(xiàng) |
測試TCP業(yè)務(wù)的端口是否可以正常訪問。 |
6.切換業(yè)務(wù)流量。
本地檢查驗(yàn)證通過后，建議采用測試的方式逐個(gè)修改DNS解析記錄，將網(wǎng)站業(yè)務(wù)流量切換至DDoS高防，避免批量操作導(dǎo)致業(yè)務(wù)異常。如果切換流量過程中出現(xiàn)異常，請快速恢復(fù)DNS解析記錄。
須知：
-修改DNS解析記錄后，需要10分鐘左右生效。
-真實(shí)業(yè)務(wù)流量切換后，您需要再次根據(jù)上述業(yè)務(wù)可用性驗(yàn)證項(xiàng)進(jìn)行測試，確保業(yè)務(wù)正常運(yùn)行。
7.開啟告警通知。
開啟DDoS高防告警通知后，當(dāng)出現(xiàn)以下情況時(shí)，您將接收到告警通知信息（接收消息方式由您設(shè)置），及時(shí)發(fā)現(xiàn)業(yè)務(wù)異常現(xiàn)象：
-IP遭受DDoS攻擊時(shí)
-DDoS攻擊峰值超過保底防護(hù)帶寬而產(chǎn)生彈性計(jì)費(fèi)時(shí)
您將在次日上午收到告警通知信息。
接入后日常維護(hù)事項(xiàng)說明
業(yè)務(wù)接入DDoS高防后，建議您參照表4例行維護(hù)業(yè)務(wù)。
表4 日常維護(hù)事項(xiàng)
|
維護(hù)事項(xiàng)
|
說明
|
|---|---|
彈性防護(hù)后付費(fèi) |
如果需要啟用DDoS高防的彈性防護(hù)能力，請務(wù)必先查看DDoS高防的計(jì)費(fèi)方式，避免實(shí)際產(chǎn)生的彈性防護(hù)費(fèi)用超出預(yù)算。有關(guān)DDoS高防詳細(xì)的服務(wù)資費(fèi)和費(fèi)率標(biāo)準(zhǔn)，請參見產(chǎn)品價(jià)格詳情。 |
判斷攻擊類型 |
當(dāng)DDoS高防同時(shí)遭受CC攻擊和DDoS攻擊時(shí)，您可以查看DDoS高防防護(hù)日志，根據(jù)攻擊流量信息判斷遭受的攻擊類型。 -DDoS攻擊類型：在實(shí)例防護(hù)報(bào)表中有攻擊流量的波動，且已觸發(fā)流量清洗，但在域名防護(hù)報(bào)表中不存在相關(guān)聯(lián)的波動。 -CC攻擊類型： 在實(shí)例防護(hù)報(bào)表中有攻擊流量的波動，已觸發(fā)流量清洗，且在域名防護(hù)報(bào)表中有相關(guān)聯(lián)的波動。 |
業(yè)務(wù)訪問延時(shí)或丟包 |
針對源站服務(wù)器在中國內(nèi)地以外地域、主要訪問用戶來自中國內(nèi)地地域的情況，如果用戶訪問網(wǎng)站時(shí)存在延時(shí)高、丟包等現(xiàn)象，主要訪問用戶來自非中國內(nèi)地地域的情況，可能存在跨網(wǎng)絡(luò)運(yùn)營商導(dǎo)致的訪問鏈路不穩(wěn)定，建議您購買DDoS高防（國際版）實(shí)例并選擇加速線路。 |
刪除域名或端口轉(zhuǎn)發(fā)配置 |
如果需要?jiǎng)h除已防護(hù)的域名端口轉(zhuǎn)發(fā)配置記錄，請您確認(rèn)業(yè)務(wù)是否已正式接入DDoS高防。 -如果尚未正式切換業(yè)務(wù)流量，直接刪除域名或端口轉(zhuǎn)發(fā)配置記錄。 -如果已完成業(yè)務(wù)流量切換，刪除域名或端口轉(zhuǎn)發(fā)配置前務(wù)必前往域名DNS解析服務(wù)控制臺，修改域名解析記錄將業(yè)務(wù)流量切換回源站服務(wù)器。
-刪除轉(zhuǎn)發(fā)配置前，請務(wù)必確認(rèn)域名的DNS解析或業(yè)務(wù)訪問已經(jīng)切換至源站服務(wù)器。 -刪除域名配置后，DDoS高防將無法再為您的業(yè)務(wù)提供專業(yè)級安全防護(hù)。 |
說明：