當(dāng)您將業(yè)務(wù)接入DDoS高防后，網(wǎng)站類業(yè)務(wù)把域名解析指向高防IP，非網(wǎng)站類的業(yè)務(wù)IP將替換成高防IP，DDoS高防將所有的公網(wǎng)流量都引流至高防IP，進(jìn)而隱藏源站，避免源站（用戶業(yè)務(wù)）遭受大流量DDoS攻擊。
緊急接入場(chǎng)景說(shuō)明
如果您的業(yè)務(wù)在接入DDoS高防前已經(jīng)遭受攻擊或源站IP已被黑洞，建議您在業(yè)務(wù)接入DDoS高防時(shí)參照表1進(jìn)行處理。
如果在接入DDoS高防前業(yè)務(wù)已遭受攻擊，建議您更換源站服務(wù)器IP。更換IP前，請(qǐng)務(wù)必確認(rèn)是否在客戶端或App端中通過(guò)代碼直接指向源站IP，在這種情況下，請(qǐng)先更新客戶端或App端代碼后再更換源站IP，避免影響業(yè)務(wù)正常訪問(wèn)。具體操作請(qǐng)參見(jiàn)更換源站ECS公網(wǎng)IP。
表1 緊急接入場(chǎng)景說(shuō)明
|
業(yè)務(wù)場(chǎng)景
|
使用說(shuō)明
|
|---|---|
業(yè)務(wù)已經(jīng)遭受DDoS攻擊 |
一般情況下，業(yè)務(wù)接入DDoS高防后，采用默認(rèn)防護(hù)配置。 |
源站IP已被黑洞 |
如果在接入DDoS高防前，業(yè)務(wù)源站服務(wù)器已被攻擊且觸發(fā)黑洞策略，請(qǐng)及時(shí)更換源站IP。 如果您的源站為華為云ELB實(shí)例，請(qǐng)更換ELB實(shí)例公網(wǎng)IP，詳細(xì)操作請(qǐng)參見(jiàn)更換ECS IP。 須知： 更換源站IP后，請(qǐng)盡快將業(yè)務(wù)接入DDoS高防進(jìn)行防護(hù)，避免源站IP暴露。 如果您的業(yè)務(wù)部署在華為云上，而您不希望更換源站IP，或者已經(jīng)更換源站IP但仍存在IP暴露的情況，建議您在源站ECS服務(wù)器前部署彈性負(fù)載均衡（ELB）實(shí)例，并將ELB實(shí)例的公網(wǎng)IP作為源站IP接入DDoS高防。 |
前提條件
- 已完成業(yè)務(wù)情況進(jìn)行梳理和接入前準(zhǔn)備工作。
- 域名類業(yè)務(wù)已接入WAF。
操作步驟
1.購(gòu)買(mǎi)DDoS高防實(shí)例。
-如果您的業(yè)務(wù)服務(wù)器部署在中國(guó)內(nèi)地，請(qǐng)購(gòu)買(mǎi)DDoS高防實(shí)例。
須知：
DDoS高防實(shí)例不支持接入未經(jīng)ICP備案的域名。如果您需要使用D DoS高防防護(hù)網(wǎng)站業(yè)務(wù)，請(qǐng)確認(rèn)網(wǎng)站域名已經(jīng)完成ICP備案。
DDoS高防實(shí)例默認(rèn)提供IPv4高防IP。如果您需要IPv6高防IP，請(qǐng)選擇購(gòu)買(mǎi)DDoS原生防護(hù)實(shí)例。
-如果您的業(yè)務(wù)服務(wù)器部署在中國(guó)內(nèi)地以外地域，且業(yè)務(wù)主要用戶來(lái)自中國(guó)內(nèi)地，由于單獨(dú)使用DDoS高防（國(guó)際版）不能保障中國(guó)內(nèi)地用戶的訪問(wèn)質(zhì)量（存在約300毫秒的平均訪問(wèn)延時(shí)），建議您考慮以下方案：
如果只需要保障中國(guó)內(nèi)地電信、聯(lián)通和非移動(dòng)線路用戶的業(yè)務(wù)訪問(wèn)速度和穩(wěn)定性，您可以單獨(dú)購(gòu)買(mǎi)DDoS高防和優(yōu)選線路（無(wú)防護(hù)）。
2.根據(jù)業(yè)務(wù)類型，將業(yè)務(wù)接入DDoS高防。
3.為避免惡意攻擊者繞過(guò)DDoS高防直接攻擊源站服務(wù)器，建議您設(shè)置源站保護(hù)。
4.配置CC攻擊防護(hù)策略。
-業(yè)務(wù)正常時(shí)
網(wǎng)站業(yè)務(wù)接入DDoS高防后，建議您在業(yè)務(wù)運(yùn)行一段時(shí)間后（兩、三天左右），通過(guò)分析業(yè)務(wù)應(yīng)用日志數(shù)據(jù)（包括URL、單一源IP平均訪問(wèn)QPS等），評(píng)估正常情況下單訪問(wèn)源IP的請(qǐng)求QPS情況并相應(yīng)配置頻率控制自定義規(guī)則限速策略，避免遭受攻擊后的被動(dòng)響應(yīng)。
-正在遭受CC攻擊時(shí)
通過(guò)查看DDoS高防防護(hù)日志，獲取域名請(qǐng)求TOP URL、IP地址、訪問(wèn)來(lái)源IP、User-Agent等參數(shù)信息，根據(jù)實(shí)際情況配置頻率控制自定義規(guī)則，并觀察防護(hù)效果。
如果實(shí)際防護(hù)效果不佳，建議您購(gòu)買(mǎi)MDR服務(wù)，協(xié)助您進(jìn)一步分析日志并制定防護(hù)策略。
5.本地檢查測(cè)試配置準(zhǔn)確性。
配置完DDoS高防防護(hù)策略后，建議參照表2和表3檢查測(cè)試DDoS高防配置是否正確。
表2 業(yè)務(wù)檢查項(xiàng)說(shuō)明
|
業(yè)務(wù)類型
|
檢查項(xiàng)說(shuō)明
|
|---|---|
域名類業(yè)務(wù) |
接入配置域名是否填寫(xiě)正確。 域名是否備案。 接入配置協(xié)議是否與實(shí)際協(xié)議一致。 接入配置端口是否與實(shí)際提供的服務(wù)端口一致。 源站填寫(xiě)的IP是否是真實(shí)服務(wù)器IP，而不是錯(cuò)誤填寫(xiě)為其他IP。 證書(shū)信息是否正確上傳。 證書(shū)是否合法（例如，加密算法不合規(guī)、錯(cuò)誤上傳其他域名的證書(shū)等）。 證書(shū)鏈?zhǔn)欠裢暾?/p> 是否已了解DDoS高防實(shí)例的彈性防護(hù)計(jì)費(fèi)方式。 協(xié)議類型是否啟用WebSocket、WebSockets協(xié)議。 |
非域名類業(yè)務(wù) |
業(yè)務(wù)端口是否可以正常訪問(wèn)。 接入配置協(xié)議是否與實(shí)際協(xié)議一致，確認(rèn)未錯(cuò)誤地為T(mén)CP協(xié)議業(yè)務(wù)配置UDP協(xié)議規(guī)則等。 源站填寫(xiě)的IP是否是真實(shí)服務(wù)器IP，而不是錯(cuò)誤填寫(xiě)為其他IP。 是否已了解DDoS高防實(shí)例的彈性防護(hù)計(jì)費(fèi)方式。 |
表3 業(yè)務(wù)可用性驗(yàn)證項(xiàng)
|
驗(yàn)證說(shuō)明
|
驗(yàn)證項(xiàng)
|
|---|---|
必檢項(xiàng) |
測(cè)試業(yè)務(wù)是否能夠正常訪問(wèn)。 |
必檢項(xiàng) |
測(cè)試業(yè)務(wù)登錄會(huì)話保持功能是否正常。 |
必檢項(xiàng) |
（域名類業(yè)務(wù)）觀察業(yè)務(wù)返回4XX和5XX響應(yīng)碼的次數(shù)，確?；卦碔P未被攔截。 |
建議項(xiàng) |
是否配置后端服務(wù)器獲取真實(shí)訪問(wèn)源IP。 |
建議項(xiàng) |
（域名類業(yè)務(wù)）是否配置源站保護(hù)，防止攻擊者繞過(guò)DDoS高防直接攻擊源站。 |
必檢項(xiàng) |
測(cè)試TCP業(yè)務(wù)的端口是否可以正常訪問(wèn)。 |
6.切換業(yè)務(wù)流量。
本地檢查驗(yàn)證通過(guò)后，建議采用測(cè)試的方式逐個(gè)修改DNS解析記錄，將網(wǎng)站業(yè)務(wù)流量切換至DDoS高防，避免批量操作導(dǎo)致業(yè)務(wù)異常。如果切換流量過(guò)程中出現(xiàn)異常，請(qǐng)快速恢復(fù)DNS解析記錄。
須知：
-修改DNS解析記錄后，需要10分鐘左右生效。
-真實(shí)業(yè)務(wù)流量切換后，您需要再次根據(jù)上述業(yè)務(wù)可用性驗(yàn)證項(xiàng)進(jìn)行測(cè)試，確保業(yè)務(wù)正常運(yùn)行。
7.開(kāi)啟告警通知。
開(kāi)啟DDoS高防告警通知后，當(dāng)出現(xiàn)以下情況時(shí)，您將接收到告警通知信息（接收消息方式由您設(shè)置），及時(shí)發(fā)現(xiàn)業(yè)務(wù)異?，F(xiàn)象：
-IP遭受DDoS攻擊時(shí)
-DDoS攻擊峰值超過(guò)保底防護(hù)帶寬而產(chǎn)生彈性計(jì)費(fèi)時(shí)
您將在次日上午收到告警通知信息。
接入后日常維護(hù)事項(xiàng)說(shuō)明
業(yè)務(wù)接入DDoS高防后，建議您參照表4例行維護(hù)業(yè)務(wù)。
表4 日常維護(hù)事項(xiàng)
|
維護(hù)事項(xiàng)
|
說(shuō)明
|
|---|---|
彈性防護(hù)后付費(fèi) |
如果需要啟用DDoS高防的彈性防護(hù)能力，請(qǐng)務(wù)必先查看DDoS高防的計(jì)費(fèi)方式，避免實(shí)際產(chǎn)生的彈性防護(hù)費(fèi)用超出預(yù)算。有關(guān)DDoS高防詳細(xì)的服務(wù)資費(fèi)和費(fèi)率標(biāo)準(zhǔn)，請(qǐng)參見(jiàn)產(chǎn)品價(jià)格詳情。 |
判斷攻擊類型 |
當(dāng)DDoS高防同時(shí)遭受CC攻擊和DDoS攻擊時(shí)，您可以查看DDoS高防防護(hù)日志，根據(jù)攻擊流量信息判斷遭受的攻擊類型。 -DDoS攻擊類型：在實(shí)例防護(hù)報(bào)表中有攻擊流量的波動(dòng)，且已觸發(fā)流量清洗，但在域名防護(hù)報(bào)表中不存在相關(guān)聯(lián)的波動(dòng)。 -CC攻擊類型： 在實(shí)例防護(hù)報(bào)表中有攻擊流量的波動(dòng)，已觸發(fā)流量清洗，且在域名防護(hù)報(bào)表中有相關(guān)聯(lián)的波動(dòng)。 |
業(yè)務(wù)訪問(wèn)延時(shí)或丟包 |
針對(duì)源站服務(wù)器在中國(guó)內(nèi)地以外地域、主要訪問(wèn)用戶來(lái)自中國(guó)內(nèi)地地域的情況，如果用戶訪問(wèn)網(wǎng)站時(shí)存在延時(shí)高、丟包等現(xiàn)象，主要訪問(wèn)用戶來(lái)自非中國(guó)內(nèi)地地域的情況，可能存在跨網(wǎng)絡(luò)運(yùn)營(yíng)商導(dǎo)致的訪問(wèn)鏈路不穩(wěn)定，建議您購(gòu)買(mǎi)DDoS高防（國(guó)際版）實(shí)例并選擇加速線路。 |
刪除域名或端口轉(zhuǎn)發(fā)配置 |
如果需要?jiǎng)h除已防護(hù)的域名端口轉(zhuǎn)發(fā)配置記錄，請(qǐng)您確認(rèn)業(yè)務(wù)是否已正式接入DDoS高防。 -如果尚未正式切換業(yè)務(wù)流量，直接刪除域名或端口轉(zhuǎn)發(fā)配置記錄。 -如果已完成業(yè)務(wù)流量切換，刪除域名或端口轉(zhuǎn)發(fā)配置前務(wù)必前往域名DNS解析服務(wù)控制臺(tái)，修改域名解析記錄將業(yè)務(wù)流量切換回源站服務(wù)器。
-刪除轉(zhuǎn)發(fā)配置前，請(qǐng)務(wù)必確認(rèn)域名的DNS解析或業(yè)務(wù)訪問(wèn)已經(jīng)切換至源站服務(wù)器。 -刪除域名配置后，DDoS高防將無(wú)法再為您的業(yè)務(wù)提供專業(yè)級(jí)安全防護(hù)。 |
說(shuō)明：