检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
DDoS原生高级防护对华为云上的IP生效，无需更换IP地址，通过简单的配置，提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力。 DDoS原生高级防护适用于部署在华为云服务上，且华为云服务有公网IP资源的业务，能够满足业务规模大、对网络质量要求高的用户。 DDoS原生高级防护适用于具有以下特征的业务：
DDoS原生高级防护对华为云上的IP生效，无需更换IP地址，通过简单的配置，提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力。 DDoS原生高级防护适用于部署在华为云服务上，且华为云服务有公网IP资源的业务，能够满足业务规模大、对网络质量要求高的用户。 DDoS原生高级防护适用于具有以下特征的业务：
单击页面左上方的，选择“网络 > 虚拟私有云”。 参考添加安全组规则添加回源IP的安全组放行规则。 参考创建网络ACL添加回源IP的网络ACL放行规则。 如果源站有自设的安全策略，请确保生效。用户配置的有些安全策略可能需要重启才能生效。 父主题： 接入配置
此带来的后果华为云无法承担。 高防侧：检查源站IP配置是否有错误。 如果源站业务单独使用某个运营商，那么跨站访问天然会产生延迟与丢包，由此带来的后果华为云无法承担。 如果源站使用多个运营商的IP地址，请根据高防IP的运营商添加相对应的源站IP，例如将电信的高防IP与电信的源站IP
填写域名信息后，单击“下一步”。 防护域名：需要防护的域名，如www.example.com。 源站类型：选择“源站IP”。 源站IP：填写防护域名的源站公网IP地址。 转发协议：源站服务器的转发协议。 源站端口：源站服务器使用的端口。 图2 配置网站类域名信息 选择高防实例与线路，单击“提交并继续”。
DDoS原生高级防护为软件DDoS防护服务，与成本相对较高的传统硬件防护相比，可一键提升华为云ECS、ELB、WAF、EIP等云服务的DDoS防御能力，具有以下优势： 快速接入 无需配置转发规则，快速接入服务即可直接提升华为云上EIP的防护能力。 DDoS原生高级防护-全力防高级版只能防护专属EIP。
服务器端在应答客户请求前需要和数据库进行交互的业务。 支付 登录 动态资源的域名解析到高防的CNAME。高防防护能够保证登录、支付等功能平台稳定运行不中断。 静态资源 客户可以直接在对象存储中获取的固定资源。 图片 视频 静态资源的域名解析到CDN的CNAME。CDN加速使客户能够快速获取视频、图片等资源，提升客户体验。
DDoS攻击流程 CC攻击 CC攻击是攻击者使用代理服务器向受害服务器发送大量貌似合法的请求，攻击者控制某些主机不停地发大量协议正常的数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃，如图2所示。 图2 CC攻击示意图 例如，当一个网页访问的人数特别多的时候，用户打开网页就慢了，CC攻击模拟
通过大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问。 NTP Flood攻击。 传输层攻击 通过占用服务器的连接池资源，达到拒绝服务的目的。 SYN Flood攻击、ACK Flood攻击、ICMP Flood攻击。 会话层攻击 通过占用服务器的SSL会话资源，达到拒绝服务的目的。
开启了云审计服务后，系统开始记录Anti-DDoS资源的操作。云审计服务管理控制台保存最近7天的操作记录。 用户可以通过云审计服务查看历史Anti-DDoS的操作记录。 前提条件 已开通云审计服务，具体操作请参考开通云审计服务。 查看Anti-DDoS审计日志 登录管理控制台。 单击页面左侧的，选择“管理与监管 >
内部，则不会经过Anti-DDoS流量清洗服务。 如果您从公网访问EIP，入网流量会先经过公网路由。您可以在EIP所在的虚拟机上查看访问的路由，如果有经过公网路由，则经过了Anti-DDoS流量清洗服务。 如果经过了Anti-DDoS流量清洗服务，当EIP受到DDoS攻击时，会有以下信息：
DDoS原生高级防护可以防护非华为云和云下的IP吗？ DDoS原生高级防护支持对华为云公网IP资源，例如ECS、ELB、WAF、EIP等进行防护，不支持对非华为云和云下的资源进行防护。 父主题： 功能咨询
Anti-DDoS通过对互联网访问公网IP的业务流量进行实时监测，及时发现异常DDoS攻击流量。在不影响正常业务的前提下，根据用户配置的防护策略，清洗掉攻击流量。同时，Anti-DDoS为用户生成监控报表，清晰展示网络流量的安全状况。 Anti-DDoS可以帮助用户缓解以下攻击： Web服务器类攻击 SYN
通过智能CC策略防御CC攻击 开启智能CC防护后，DDoS高防中的压力学习模型会根据源站返回的HTTP状态码和时延等来实时地感知源站的压力，从而识别源站是否被CC攻击了，DDoS高防再根据异常检测模型实时地检测源站在HTTP协议上的特征的异常行为，然后基于这些异常特征，使用AI算法生成精准防护规则和CC防护规则，来防御CC攻击。
CNAD自定义策略 如果系统预置的CNAD权限，不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参见CNAD权限及授权项。 目前华为云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、
海外流量封禁 DDoS高防支持一键封禁海外流量，可以阻止海外流量的访问。 发布区域：全部 配置区域封禁 流量清洗阈值设置 当IP遭受的DDoS攻击带宽超过配置的清洗阈值时，触发Anti-DDoS/DDoS原生高级防护对攻击流量进行清洗，保障您的业务可用。 发布区域：和子服务发布区域一致
DDoS高防回源到云主机的是公网IP吗？ 是。DDoS高防系统通过公网回源到源站，因此回源到云主机的源站IP为公网IP。 父主题： 功能规格
AAD自定义策略 如果系统预置的AAD权限，不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参见AAD权限及授权项。 目前华为云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服务、操作、资源、条件等策略内容，可自动生成策略。
DDoS原生基础防护（Anti-DDoS流量清洗）最佳实践 通过ECS访问被黑洞的服务器
最佳实践汇总 本文汇总了DDoS防护常见应用场景的操作实践，为每个实践提供详细的方案描述和操作指导，帮助用户轻松使用DDoS防护业务。 表1 最佳实践一览表 分类 相关文档 被攻击后处理 通过ECS访问被黑洞的服务器 使用DDoS高防识别攻击类型 网站业务迁移：从DDoS高防实例A到实例B
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
