检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
DDoS调度中心的工作原理是什么? 购买DDoS原生防护-全力防基础版后,通过配置DDoS阶梯调度策略,可以自动联动调度DDoS高防对DDoS原生防护-全力防基础版防护的云资源进行防护,防御海量攻击。
DDoS调度中心常见问题 DDoS调度中心的工作原理是什么? DDoS调度中心需要购买DDoS高防实例吗? 配置DDoS阶梯调度需要使用备用IP吗? DDoS调度中心在什么时候生效? DDoS阶梯调度过程中,业务会自动解封吗?
本章节以网站类业务“www.example.com”域名为例,介绍如何通过DDoS调度中心实现流量的阶梯调度。 方案架构 DDoS阶梯调度工作原理如图1所示。
黑洞阈值 黑洞阈值指华为云为客户提供的基础防御阈值,当流量超过限定的阈值时,华为云会采取黑洞策略封堵IP。 清洗原理 系统对业务攻击流量进行实时检测,一旦发现针对云主机的攻击行为,将把业务流量从原始网络路径引流到华为云DDoS清洗系统。
配置DDoS阶梯调度策略 购买DDoS原生防护-全力防基础版后,通过配置DDoS阶梯调度策略,可以自动联动调度DDoS高防对DDoS原生防护-全力防基础版防护的云资源进行防护,防御海量攻击。 工作原理 DDoS原生高级防护自动联动调度DDoS高防的流程如图1所示。
ACK Flood攻击原理与SYN Flood攻击原理类似。 ACK Flood攻击是指攻击者通过使用TCP ACK数据包使服务器过载。像其他DDoS攻击一样,ACK Flood攻击的目的是通过使用垃圾数据来减慢攻击目标的速度或使其崩溃,从而导致拒绝向其他用户提供服务。
图2 接入DDoS高防示意图 DDoS高防工作原理 DDoS高防服务通过高防IP代理源站IP对外提供服务,将所有的公网流量都引流至高防IP,进而隐藏源站,避免源站(用户业务)遭受大流量DDoS攻击。DDoS高防引流和转发原理示意图如下: 客户 访问源站(用户业务)的客户。
慢速连接攻击是CC攻击的变种,该攻击的基本原理说明如下: 对任何一个允许HTTP访问的服务器,攻击者先在客户端上向该服务器建立一个content-length比较大的连接,然后通过该连接以非常低的速度(例如,1秒~10秒发一个字节)向服务器发包,并维持该连接不断开。
图1 源站IP暴露典型原因 解决方案 以弹性云服务器为例,通过为弹性云服务器实例重新分配弹性公网IP(Elastic IP,简称EIP),将已暴露的EIP更换为未暴露的EIP,实现修改源站IP的目的。 图2 原理说明 操作步骤 登录管理控制台。
表1 连接黑洞服务器说明 弹性云服务器的操作系统 黑洞服务器的操作系统 连接方式 Windows Windows 使用mstsc方式登录黑洞状态的服务器。 在弹性云服务器中输入“mstsc”,单击mstsc打开远程桌面连接工具。 在“远程桌面连接”的对话框中,单击“选项”。
图1 设备防护原理图 如图2所示,华为云解决方案通过在UDP报文中增加水印头部信息,用以标识正常的业务报文,线下DDoS防护设备在接收到UDP报文后,通过检查UDP水印的正确性,可以高效准确放行正常的业务报文,阻断攻击报文。
方案架构 通常情况下,经过高防的流量会修改真实源IP与高防IP(由真实源IP->高防IP转换为回源IP->源站IP),用户在自己的源站服务器上看到的流量源IP是回源IP,如图1所示。 图1 原理说明 高防IP:华为云为用户提供的IP,用来代理源站IP,确保源站的稳定可靠。
证书管理:查看证书信息,进行证书的更新和删除等管理。 转发规则管理:查看转发规则、修改源站IP、导出转发规则等。 查看监控指标:通过云监控服务,查看DDoS高防的相关指标,及时了解DDoS高防的防护状况,及时调整防护策略。
客户端访问的IP为什么是华为的高防IP? 您购买高防服务后,把域名解析到高防IP(Web业务把域名解析指向高防IP,非Web业务把业务IP替换成高防IP),接入高防IP后,所有访问经过高防IP过滤。 高防IP代替源站IP提供访问,客户端访问的IP即为华为的高防IP。
部署在华为云外的业务系统能否接入DDoS高防? 用户只要保证源站(用户业务系统)IP地址在公网可以访问即可,不区分云内云外。 父主题: 接入配置
网络流量异常的原因? 为了保障华为云网络的整体可用性,华为云采用黑洞封堵,对遭受大流量攻击的云主机在一定时间内限制外网通信。
华为云为普通用户免费提供2Gbps的DDoS攻击防护,最高可达5Gbps(视华为云可用带宽情况),当攻击超过限定的阈值时,华为云会采取黑洞策略封堵IP,对于可能会遭受超过5Gbps流量攻击的应用,建议您购买华为云DDoS高防服务,提升防护能力。 父主题: 阈值及黑洞类
域名接入WAF的方法请参考将网站接入WAF防护。 方案架构 DDoS高防和云模式WAF联动后,流量会先经过DDoS高防,再转发至WAF,实现联动防御。 图1 联动原理 如果您在DDoS高防使用同一实例和端口防护了多个域名,且域名源站为WAF CNAME时。
图1 “DDoS高防+CDN”联动方案原理说明 表1 方案说明 类别 定义 举例 解决方案 动态资源 服务器端在应答客户请求前需要和数据库进行交互的业务。 支付 登录 动态资源的域名解析到高防的CNAME。高防防护能够保证登录、支付等功能平台稳定运行不中断。
401 Unauthorized 被请求的页面需要用户名和密码。 403 Forbidden 对被请求页面的访问被禁止。 404 Not Found 服务器无法找到被请求的页面。 405 Method Not Allowed 请求中指定的方法不被允许。