接入配置流程概述

步驟1：業務梳理

步驟2：準備工作

步驟3：接入和配置DDoS高防

1. 業務接入配置。

   說明

   如果在接入DDoS高防前業務已遭受攻擊，建議您更換源站服務器IP。更換IP前，請務必確認是否在客戶端或App端中通過代碼直接指向源站IP，在這種情況下，請先更新客戶端或App端代碼后再更換源站IP，避免影響業務正常訪問。具體操作，請參見更換源站ECS公網IP。

   根據您的業務場景和所選購的DDoS高防產品，參見以下接入配置指導，將您的業務接入DDoS高防：

   • 網站類業務接入DDoS高防

   • 非網站類業務接入DDoS高防

2. 配置源站保護。

   為避免惡意攻擊者繞過DDoS高防直接攻擊源站服務器，建議您完成源站保護配置。具體操作，請參見設置源站保護。

3. 配置防護策略。

   • 網站域名類業務

     • CC攻擊防護

       • 業務正常時：將網站業務接入DDoS高防后，建議您在運行一段時間后（兩、三天左右），通過分析業務應用日志數據（包括URL、單一源IP平均訪問QPS等），評估正常情況下單訪問源IP的請求QPS情況并相應配置頻率控制自定義規則限速策略，避免遭受攻擊后的被動響應。

       • 正在遭受CC攻擊時：通過查看DDoS高防管理控制臺的安全總覽報表（具體操作，請參見安全總覽），獲取域名請求TOP URL、IP地址、訪問來源IP、User-agent等參數信息，根據實際情況制定頻率控制自定義規則（具體操作，請參見自定義頻率控制防護規則），并觀察防護效果。

         重要

         由于頻率控制的攻擊緊急模式可能會對特定類型的業務造成一定的誤攔截，不建議將攻擊緊急作為頻率控制的默認防護模式。如果您的業務類型為App業務或者Web API服務，建議您不要使用攻擊緊急模式。

         如果使用頻率控制的正常模式仍發現誤攔截現象，建議您使用白名單功能放行特定IP。

     • （網站業務）AI智能防護

       由于AI智能防護策略中的嚴格模式存在對業務造成誤攔截的可能性，且網站域名類業務接入對常見四層攻擊已有天然的防護能力，請您不要使用網站業務AI智能防護中的嚴格模式，建議使用默認的正常模式。更多信息，請參見設置AI智能防護。

     • 開啟全量日志

       強烈建議您開啟全量日志分析服務（具體操作，請參見快速使用全量日志分析）。當業務遭受網絡七層攻擊時，可以通過全量日志功能分析攻擊行為特征，針對性制定防護策略。

       說明

       開通全量日志服務將可能產生額外費用，請您在開通服務前確認。

   • 非網站端口類業務

     一般情況下，將非網站業務接入DDoS高防后，采用默認防護配置即可。在運行一段時間后（兩、三天左右），您可以根據業務情況調整四層AI智能防護的模式（具體操作，請參見設置四層AI智能防護），可有效提升針對網絡四層CC攻擊的防護效果。

     說明

     如果您的業務是API類型或存在集中單個IP訪問（例如，辦公網出口、單個服務器IP、高頻率調用API接口業務等）的情況，請不要開啟非網站業務AI智能防護策略的嚴格模式。如果確實需要使用嚴格防護模式，請聯系阿里云技術支持人員確認情況后再啟用，避免因誤攔截造成業務無法訪問。

     如果您發現有攻擊流量透傳到源站服務器的情況，建議您啟用DDoS防護策略中的源、目的連接限速策略（具體操作，請參見設置端口DDoS防護策略）。在不完全清楚業務情況時，建議將源新建連接限速和并發連接限速均設置為5。如果發現存在誤攔截的現象，您可調整數值，適當放寬限速策略。

     如果存在服務端主動發送數據包的業務場景，需要關閉空連接防護策略（具體操作，請參見設置端口DDoS防護策略），避免正常業務受到影響。

4. 本地測試。

   完成上述DDoS高防配置后，建議您進行配置準確性檢查和驗證測試。

   說明

   您可以通過修改本地系統hosts文件的方式進行本地測試。

   表 1. 配置準確性檢查項

   編號	檢查項
   網站域名類業務接入檢查項（必檢）
   1	接入配置域名是否填寫正確。
   2	域名是否備案。
   3	接入配置協議是否與實際協議一致。
   4	接入配置端口是否與實際提供的服務端口一致。
   5	源站填寫的IP是否是真實服務器IP，而不是錯誤地填寫了DDoS高防實例的IP或其他服務的IP。
   6	證書信息是否正確上傳。
   7	證書是否合法（例如，加密算法不合規、錯誤上傳其他域名的證書等）。
   8	證書鏈是否完整。
   9	是否已了解DDoS高防（中國內地）實例的彈性防護計費方式。
   10	協議類型是否啟用Websocket、Websockets協議。
   11	是否開啟頻率控制的攻擊緊急和嚴格模式。
   非網站端口類業務檢查項（必檢）
   1	業務端口是否可以正常訪問。
   2	接入配置協議是否與實際協議一致；確認未錯誤地為TCP協議業務配置UDP協議規則等。
   3	源站填寫的IP是否是真實服務器IP，而不是錯誤地填寫了DDoS高防實例的IP或其他服務的IP。
   4	是否已了解DDoS高防實例（中國內地）實例的彈性防護計費方式。
   5	是否開啟四層AI智能防護的嚴格模式。

   表 2. 業務可用性驗證項

   編號	檢查項
   1（必檢項）	測試業務是否能夠正常訪問。
   2（必檢項）	測試業務登錄會話保持功能是否正常。
   3（必檢項）	（網站域名類業務）觀察業務返回4XX和5XX響應碼的次數，確保回源IP未被攔截。
   4（必檢項）	（網站域名類業務）對于App業務，測試HTTPS鏈路訪問是否正常。檢查是否存在SNI問題。
   5（建議項）	是否配置后端服務器獲取真實訪問源IP。
   6（建議項）	（網站域名類業務）是否配置源站保護，防止攻擊者繞過DDoS高防直接攻擊源站。
   7（必檢項）	測試TCP業務的端口是否可以正常訪問。

5. 正式切換業務流量。

   必要檢查項均檢測通過后，建議采用灰度的方式逐個修改DNS解析記錄，將網站業務流量切換至DDoS高防，避免批量操作導致業務異常。如果切換流量過程中出現異常，請快速恢復DNS解析記錄。

   說明

   修改DNS解析記錄后，需要10分鐘左右生效。

   真實業務流量切換后，您需要再次根據上述業務可用性驗證項進行測試，確保業務正常運行。

6. 配置監控告警。

   建議您使用云監控對已接入DDoS高防進行防護的域名、端口和業務源站端口進行監控（具體操作，請參見設置DDoS高防報警規則），實時監控其可用性、HTTP返回狀態碼（5XX、4XX類狀態碼）等，及時發現業務異?，F象。

7. 日常運維。

   • 彈性后付費和保險版高級防護次數：

     • 首次購買DDoS高防（中國內地）的用戶可以免費獲得三個300 Gbps規格的抗D包（更多信息，請參見抗D包），建議您盡快將其綁定至DDoS高防實例并將彈性防護閾值設置為300 Gbps。綁定成功后，當日內（自然日）所遭受的抗D包防護規格內（300 Gbps以內）的攻擊防護流量將不會產生彈性防護費用。

       說明

       如果您在抗D包耗盡后或到期后不想啟用DDoS高防的彈性防護能力，應及時將彈性防護閾值調整為實例的保底防護帶寬。

     • 如果需要啟用DDoS高防（中國內地）的彈性防護能力，請務必先查看DDoS高防（中國內地）的計費方式（更多信息，請參見DDoS高防（中國內地）計費說明），避免出現實際產生的彈性防護費用超出預算的情況。

     • DDoS高防（非中國內地）的保險版實例，每月免費贈送兩次高級防護。建議您根據業務需求情況選擇對應的套餐版本。

   • 判斷攻擊類型：

     當DDoS高防同時遭受CC攻擊和DDoS攻擊時，您可以查看DDoS高防管理控制臺的安全總覽報表（具體操作，請參見安全總覽），根據攻擊流量信息判斷遭受的攻擊類型：

     • DDoS攻擊類型：在實例防護報表中有攻擊流量的波動，且已觸發流量清洗，但在域名防護報表中不存在相關聯的波動。

     • CC攻擊類型： 在實例防護報表中有攻擊流量的波動，已觸發流量清洗，且在域名防護報表中有相關聯的波動。

     更多信息，請參見如何判斷DDoS高防實例受到的攻擊類型。

   • 業務訪問延時或丟包：

     針對源站服務器在中國內地以外地域、主要訪問用戶來自中國內地地域的情況，如果用戶訪問網站時存在延時高、丟包等現象，可能存在跨網絡運營商導致的訪問鏈路不穩定，推薦您使用DDoS高防（非中國內地）實例并搭配加速線路。

   • 刪除域名或端口轉發配置：

     如果需要刪除已防護的域名端口轉發配置記錄，確認業務是否已正式接入DDoS高防。

     • 如果尚未正式切換業務流量，直接在DDoS高防管理控制臺刪除域名或端口轉發配置記錄即可。

     • 如果已完成業務流量切換，刪除域名或端口轉發配置前務必前往域名DNS解析服務控制臺，修改域名解析記錄將業務流量切換回源站服務器。

     說明

     • 刪除轉發配置前，請務必確認域名的DNS解析或業務訪問已經切換至源站服務器。

     • 刪除域名配置后，DDoS高防將無法再為您的業務提供專業級安全防護。

緊急接入場景須知