Anti-DDoS:DDoS軽減ポリシーの設定

Anti-DDoS Proxyコンソールにログインします。

上部のナビゲーションバーで、インスタンスのリージョンを選択します。

• Anti-DDoS Proxy (中国本土): インスタンスがAnti-DDoS Proxy (中国本土) インスタンスの場合、[中国本土] を選択します。

• Anti-DDoS Proxy (Outside Chinese Mainland): インスタンスがAnti-DDoS Proxy (Outside Chinese Mainland) インスタンスの場合、[Outside Chinese Mainland] を選択します。

左側のナビゲーションウィンドウで、軽減設定 > 一般的なポリシー を選択します。

一般的なポリシー ページで、非ウェブサイトサービスの保護 タブをクリックし、ページ上部で管理するAnti-DDoS Proxyインスタンスを選択します。

左側のリストから設定する転送ルールをクリックして、保護ポリシーを設定します。

• 偽ソース: この機能は、TCPポート転送ルールにのみ適用されます。

  パラメーター	説明
  偽ソース	このオプションを有効にして、偽造IPアドレスからのリクエストをブロックします。 偽ソースを無効にすると、空接続と高度な攻撃保護も無効になります。
  空接続	このオプションを有効にして、nullセッションを確立しようとするリクエストをブロックします。 空接続 をオンにするには、偽ソース を有効にする必要があります。

• 高度な攻撃保護: この機能は、TCPポート転送ルールにのみ適用されます。 デフォルトの保護モードは [通常] です。 高度な攻撃保護を有効にするには、偽ソースを有効にする必要があります。

  保護モード	効果	シナリオ
  ルーズ	このモードは、明らかな攻撃特性を持つ要求をブロックします。 少数の攻撃が許容され得るが、偽陽性率は低い。	このモードは、ライブストリーミング、ストリーミングメディア、データダウンロードなどの大規模な一方向データ伝送を伴うサービス、またはオリジンサーバーで高帯域幅を必要とするサービスに適しています。
  ノーマル (推奨)	ほとんどの場合、このモードはワークロードには影響せず、保護効果と低い誤検出率のバランスを取ります。 このモードを使用することを推奨します。	このモードは、ほとんどのシナリオに適しています。
  ストリクト	このモードは、厳格な攻撃検証の実施に役立ちます。 場合によっては、このモードは偽陽性を引き起こす。	このモードは、オリジンサーバーの帯域幅が制限されている、または保護効果が弱いシナリオに適しています。

• パケットフィルタリング: パケットペイロードに基づいて正確なアクセス制御ルールを設定します。 1つのルールに複数の一致する条件が含まれている場合、対応するアクションをトリガーするにはすべての条件を満たす必要があります。

  パラメーター	説明
  優先度	1〜100の値を割り当てます。値が低いほど優先度が高いことを示します。
  名前	簡単に識別できるように、モニタリングルールに名前を付けます。
  一致条件	一致条件: パケットペイロードの形式を定義します。 文字列 または 16 進数 を選択します。 区間マッキング: ペイロードマッチングの開始位置と終了位置を指定します。 両方の位置の有効範囲は0から1499バイトです。 開始位置は終了位置を超えてはなりません。 論理関係: 含む または 次を含まない： を選択します。 フィールド値: 一致条件が文字列に設定されている場合、一致するコンテンツの長さは1500バイトを超えてはならず、開始位置と終了位置で指定された範囲内にある必要があります。 一致条件が16 進数に設定されている場合、内容は16進文字で構成され、3000文字を超えず、偶数で、指定された範囲内に収まる必要があります。
  操作	観察: モニタールールと一致する場合、リクエストを許可します。 ブロック: ブロックルールに一致する場合、リクエストを拒否します。

• ソースの速度制限

  パラメーター	説明
  発信元の新規接続率制限	このパラメーターには、単一のIPアドレスから開始できる1秒あたりの新規接続の最大数を指定します。 有効な値: 1 ~ 50000 上限に達した後にIPアドレスから開始された新しい接続はドロップされます。 自動: Anti-DDoS Proxyは、単一の送信元IPアドレスから開始できる1秒あたりの新規接続の最大数を動的に計算します。 手動: 単一の送信元IPアドレスから開始できる1秒あたりの新規接続の最大数を手動で指定する必要があります。 説明 スクラビングノードはクラスターにデプロイされるため、新しい接続の制限は実際のシナリオとは若干異なる場合があります。 ブラックリスト設定: を選択した場合、ソースクライアントからの新規接続数が 1 分以内に 5 回しきい値を超えると、ソースクライアントの IP アドレスはブラックリストに追加されます。 チェックボックスをオンにすると、ブラックリストのIPアドレスからのすべてのリクエストが削除されます。 ブラックリスト設定を有効にするには、ブラックリストの有効期間を設定します。 有効な値: 1 ~ 10080 単位：分 デフォルト値：30。 ブラックリストに追加されたIPアドレスは、有効期間が終了するとブラックリストから削除されます。
  ソースの同時接続制限	このパラメーターには、単一のIPアドレスから開始できる同時接続の最大数を指定します。 有効な値: 1 ~ 50000 上限に達した後のポートへの同時接続はドロップされます。 ブラックリスト設定: を選択した場合、ソースクライアントからの同時接続数が 1 分以内に 5 回しきい値を超えると、ソースクライアントの IP アドレスはブラックリストに追加されます。 チェックボックスをオンにすると、ブラックリストのIPアドレスからのすべてのリクエストが削除されます。 ブラックリスト設定を有効にするには、ブラックリストの有効期間を設定します。 有効な値: 1 ~ 10080 単位：分 デフォルト値：30。 ブラックリストに追加されたIPアドレスは、有効期間が終了するとブラックリストから削除されます。
  ソースの PPS 制限	このパラメーターには、単一のIPアドレスから許可できる1秒あたりの最大パケット数を指定します。 設定可能な値は1 から 100です。 上限に達した後にIPアドレスから開始されたパケットはドロップされます。 ブラックリスト設定: を選択した場合、ソースクライアントのソースパケット/秒 (PPS) が 1 分以内に 5 回しきい値を超えると、ソースクライアントの IP アドレスがブラックリストに追加されます。 チェックボックスをオンにすると、ブラックリストのIPアドレスからのすべてのリクエストが削除されます。 ブラックリスト設定を有効にするには、ブラックリストの有効期間を設定します。 有効な値: 1 ~ 10080 単位：分 デフォルト値：30。 ブラックリストに追加されたIPアドレスは、有効期間が終了するとブラックリストから削除されます。
  配信元の帯域幅制限	このパラメータは、単一のIPアドレスの最大帯域幅を指定します。 有効な値: 1024〜268435456。 単位: バイト /秒。 ブラックリスト設定: を選択した場合、ソースクライアントのソース帯域幅が 1 分以内に 5 回しきい値を超えると、ソースクライアントの IP アドレスがブラックリストに追加されます。 チェックボックスをオンにすると、ブラックリストのIPアドレスからのすべてのリクエストが削除されます。 ブラックリスト設定を有効にするには、ブラックリストの有効期間を設定します。 有効な値: 1 ~ 10080 単位：分 デフォルト値：30。 ブラックリストに追加されたIPアドレスは、有効期間が終了するとブラックリストから削除されます。

• 宛先の速度制限: デフォルト設定は、TCPとUDPのポート転送ルールによって異なります。

  • TCPポート転送ルール:

    パラメーター	説明
    宛先の新規接続率制限	このパラメーターには、Anti-DDoS Proxyポートを介して確立できる1秒あたりの新規接続の最大数を指定します。有効な値は100〜100,000です。 余分な接続はドロップされます。 デフォルトでは、この機能は有効になっており、制限は100,000に設定されています。 この機能は無効にできません。 無効にしようとすると、値はデフォルトの100,000にリセットされます。 説明 スクラビングノードはクラスターにデプロイされているため、新しい接続の実際の制限はわずかに異なる場合があります。
    宛先の同時接続制限	このパラメーターは、Anti-DDoS Proxyポートで確立できる同時接続の最大数を定義します。有効な値は1,000〜2,000,000です。 余分な接続はドロップされます。 デフォルトでは、この機能は有効になっており、制限は2,000,000に設定されています。 この機能は無効にできません。 無効にしようとすると、値はデフォルトの2,000,000にリセットされます。

  • UDPポート転送ルール:

    パラメーター	説明
    宛先の新規接続率制限	このパラメータには、Anti-DDoS Proxyポートを介して確立できる1秒あたりの新規接続の最大数を指定します。 デフォルトでは、この機能は無効になっており、有効な値は100から50,000です。 説明 新しい接続の実際の制限は、スクラビングノードのクラスター化された展開によってわずかに異なる場合があります。
    宛先の同時接続制限	このパラメーターには、Anti-DDoS Proxyポートを介して確立できる同時接続の最大数を指定します。有効な値は1,000〜200,000です。 デフォルトでは、この機能は有効になっており、200,000に設定されています。 この機能は無効にできません。 無効にしようとすると、値はデフォルトの200,000にリセットされます。

• パケット長の制限: パケット長の制限 セクションで、設定の変更 をクリックします。 パケットに含まれるペイロードの最小長と最大長を指定し、[OK] をクリックします。 有効値: 0 ~ 1,500バイト。

Anti-DDoS Proxyコンソールにログインします。

上部のナビゲーションバーで、インスタンスのリージョンを選択します。

• Anti-DDoS Proxy (中国本土): インスタンスがAnti-DDoS Proxy (中国本土) インスタンスの場合、[中国本土] を選択します。

• Anti-DDoS Proxy (Outside Chinese Mainland): インスタンスがAnti-DDoS Proxy (Outside Chinese Mainland) インスタンスの場合、[Outside Chinese Mainland] を選択します。

左側のナビゲーションウィンドウで、接続管理 > ポート接続 を選択します。

ポート接続 ページで、管理するインスタンスを選択し、ルールリストの下にある 一括操作 > Anti-DDoS 保護ポリシーの作成 を選択します。

Anti-DDoS 保護ポリシーの作成 ダイアログボックスで、必要な形式に従ってDDoS軽減ポリシーの内容を入力し、[OK] をクリックします。