Ziel

Der VAC DDoS-Schutz schützt standardmäßig jeden OVHcloud Dienst, ohne Konfiguration und ohne Zusatzkosten. VAC ist ein zentraler Bestandteil der DDoS-Schutz-Infrastruktur von OVHcloud: eine von OVHcloud kontinuierlich weiterentwickelte Kombination von Technologien, die den eingehenden Traffic so filtert, dass nur legitime Pakete Ihren Server erreichen. Die Erkennung basiert auf den Mustern Ihres Traffics: Paketraten, Fluktuation der Verbindungen, plötzliche Volumenänderungen oder bekannte Traffic-Signaturen.

Die generische Erkennung funktioniert für die meisten geschützten Anwendungen gut, kann aber einige spezifischere, dennoch legitime Workloads falsch einschätzen: Ein stark ausgelasteter WireGuard-Tunnel sieht aus wie ein UDP-Flood, und Zuschauerspitzen bei Live-Events sehen aus wie ein volumetrischer Angriff.

Mit der Profiling-Funktion können Sie solche Dienste genauer beschreiben, anstatt den Schutz zu umgehen. Wählen Sie ein Profil aus dem Katalog, legen Sie eine Empfindlichkeitsstufe fest und verknüpfen Sie Ihre Dienste. Eine einzige Änderung an einer Policy passt alle damit verknüpften Adressen neu an. Wenn sich Ihr Workload ändert, wechseln Sie das Profil oder passen Sie die Empfindlichkeit an.

In dieser Anleitung erfahren Sie:

• wie Sie erkennen, wann Ihr Workload ein Profil benötigt.
• wie Sie das Profiling für Ihren Account aktivieren und eine Policy erstellen.
• wie Sie eine Policy auf Ihre IP-Adressen anwenden und ihren Status verstehen.
• wie Sie eine Policy anpassen, deaktivieren oder löschen und ihre Wirkung beurteilen.

Voraussetzungen

• Sie verfügen über mindestens einen OVHcloud Dienst mit einer öffentlichen IPv4-Adresse.
• Sie haben Zugriff auf die OVHcloud Konsole.

In der praktischen Anwendung

Inhalt:

• Warum der Schutz eine Feinabstimmung benötigen kann
• So funktioniert das Profiling
• Schritt 1 — Profiling aktivieren
• Schritt 2 — Eine Policy erstellen
• Schritt 3 — Ihre IP-Adressen hinzufügen
• Statusanzeigen verstehen
• Ihre Policies verwalten
• Die Wirkung einer Policy überwachen
• Einschränkungen
• Fehlerbehebung

Warum der Schutz eine Feinabstimmung benötigen kann

In zwei Hauptsituationen kann es sinnvoll sein, die Standardeinstellungen anzupassen:

Falsch positive Erkennungen sind der häufigere Fall, und einige wenige Workloads sind für die meisten davon verantwortlich: VPN-Tunnel, deren UDP-Paketraten hoch sind; Blockchain-/Solana-Knoten, die große Portbereiche bei ständig wechselnden Peers nutzen; Livestreaming- und Sprachdienste, die plötzlichen, aber legitimen Zuschaueranstiegen ausgesetzt sind; sowie Webdienste während eines Produktstarts oder einer Verkaufsaktion.

Erstellen Sie eine Policy, wenn eine der folgenden Situationen zutrifft:

• Legitimer Traffic wird gefiltert und Sie umgehen dies bisher, indem Sie bei einem VPN den TCP-Modus erzwingen, die MTU senken oder nach jedem Vorfall ein Support-Ticket eröffnen.
• Sie bereiten sich auf eine absehbare Traffic-Spitze vor, etwa ein Live-Event oder einen Produktstart.
• Sie betreiben eine Anwendung mit strukturell ungewöhnlichem Traffic und möchten diese lieber im Voraus deklarieren, anstatt auf die erste falsch positive Erkennung zu warten.
• Ein Angriff wurde abgewehrt, aber nicht gründlich genug, und Sie möchten, dass die Erkennung früher reagiert.

Wenn keine dieser Situationen zutrifft, ist keine Änderung erforderlich: Ihre Dienste bleiben standardmäßig geschützt.

So funktioniert das Profiling

Sie erstellen Policies. Eine Policy kombiniert ein Netzwerk-Traffic-Profil mit einer Empfindlichkeitsstufe und gilt für die öffentlichen IPv4-Adressen oder -Blöcke, die Sie ihr hinzufügen.

Netzwerk-Traffic-Profile

OVHcloud entwickelt und pflegt die spezifischen Netzwerk-Traffic-Profile: Wählen Sie beim Erstellen einer Policy dasjenige aus, das am besten zu Ihrem Workload passt.

Optimale Ergebnisse mit einem Profil erzielen

So erzielen Sie mit einigen Profilen die besten Ergebnisse:

• VPN - WireGuard: Betreiben Sie WireGuard auf seinem Standardport UDP 51820. So vermeiden Sie den Verlust von legitimem Traffic während eines Angriffs.
• VPN - OpenVPN: Betreiben Sie OpenVPN auf seinen Standardports UDP 1194 und TCP 443. Wenn Sie den TCP-Fallback nicht benötigen, blockieren Sie diesen Traffic mit der Edge Network Firewall.
• WebServer - Generic: Verwenden Sie dieses Profil nicht, wenn der Server auch UDP-Traffic empfängt. QUIC (HTTP/3) wird noch nicht unterstützt: QUIC-Traffic wird während eines Angriffs verworfen.
• Generic - Proxied TCP: Wählen Sie dieses Profil anstelle von WebServer - Generic, wenn einem bei OVHcloud betriebenen Webserver ein externes CDN oder ein außerhalb von OVHcloud gehosteter Reverse Proxy vorgeschaltet ist. Der Ursprungsserver empfängt dann viele Verbindungen von einer kleinen Anzahl von CDN-Edge-Adressen, und dieses Profil erwartet dieses Muster, anstatt diese Adressen als Angreifer einzustufen.
• Blockchain - Solana: Während eines Angriffs vermeidet die Mitigation, legitimen Solana-Traffic zu beeinträchtigen. Der Nachteil ist, dass bei sehr gezielten Angriffen mehr schädlicher Traffic bis zum Server gelangen kann.

Empfindlichkeit

Die Empfindlichkeit bestimmt, wo die Policy im Spannungsfeld zwischen zu viel und zu wenig Mitigation angesiedelt ist. Die verfügbaren Stufen hängen vom Profil ab.

Eine Policy pro IP-Adresse

Eine IP-Adresse wird nur von einer einzigen Policy abgedeckt. Wenn ein Block mit einer Policy und eine Adresse innerhalb dieses Blocks mit einer anderen verknüpft ist, hat der spezifischste Eintrag Vorrang. Wenn zum Beispiel 203.0.113.0/24 mit einer Policy WebServer - Generic und 203.0.113.10 mit einer Policy VPN - WireGuard verknüpft ist, verwendet 203.0.113.10 die Policy VPN - WireGuard und der Rest des Blocks die Policy WebServer - Generic.

Die Einstellungen einer Policy bleiben für eine Additional IP erhalten, wenn diese zwischen Ihren Diensten verschoben wird. Sie werden nur zurückgesetzt, wenn die Adresse den Inhaber wechselt oder ihr Dienst gekündigt wird.

Schritt 1 — Profiling aktivieren

Die Aktivierung ist nur einmal pro Account erforderlich.

1. Loggen Sie sich in die OVHcloud Konsole ein.

2. Klicken Sie während der Beta-Phase oben rechts auf Die Konsole entdecken >BETA_.

3. Gehen Sie im Seitenmenü zu Sicherheit > Anti-DDoS und öffnen Sie dann den Tab Profiling.

4. Klicken Sie auf Activate profiling.

   Folgen Sie gegebenenfalls den angezeigten Anweisungen, um die Aktivierung abzuschließen. Es wird kein Betrag berechnet.

Nach Abschluss der Aktivierung listet der Tab Profiling Ihre definierten Policies auf. Die Aktivierung des Profilings ändert die Schutzeinstellungen einer IP-Adresse erst, wenn Sie diese einer Policy hinzufügen.

Schritt 2 — Eine Policy erstellen

1. Klicken Sie im Tab Profiling auf Create a policy.
2. Geben Sie im Feld Name einen Namen ein, der den Workload identifiziert, zum Beispiel vpn-concentrators.
3. Wählen Sie in der Liste Network traffic profile das Profil aus, das zu Ihrem Workload passt. Seine Beschreibung wird unterhalb der Liste angezeigt.
4. Legen Sie die Sensitivity fest. Beginnen Sie mit Medium, es sei denn, Sie wissen bereits, in welche Richtung der Schutz angepasst werden muss.
5. Klicken Sie auf Create policy.

Sie fügen IP-Adressen hinzu, sobald die Policy existiert. Bis dahin hat die Policy den Status Not configured und gilt noch für keine Adresse.

Schritt 3 — Ihre IP-Adressen hinzufügen

1. Klicken Sie in der Liste der Policies auf den Namen der Policy oder auf den Button ... am Ende ihrer Zeile und dann auf Edit.
2. Klicken Sie im Abschnitt Targets des Panels Edit policy auf das Feld Add an IP…. Die Liste zeigt die IP-Blöcke und einzelnen IP-Adressen an, die in Ihrem Account verfügbar sind. Geben Sie den Anfang einer Adresse ein, um die Liste zu filtern.
3. Wählen Sie eine Adresse oder einen ganzen Block aus. Wenn sich Ihre Server in einem zusammenhängenden Block befinden, fügen Sie statt jeder einzelnen Adresse den Block hinzu.
4. Nachdem Sie einen IP-Block ausgewählt haben, können Sie die Auswahl im Eingabefeld ändern: Geben Sie statt des ganzen Blocks eines seiner Subnetze oder eine einzelne IP-Adresse aus diesem Block ein.
5. Wiederholen Sie diesen Vorgang für jede Adresse oder jeden Block und klicken Sie dann auf Save changes. Eine Bestätigungsmeldung wird angezeigt.

Ab diesem Zeitpunkt folgt der VAC DDoS-Schutz für diese Adresse dem Profil und der Empfindlichkeit der Policy statt der generischen Einstellungen. Die Änderung erfolgt im Hintergrund: Die Adresse ist mit Pending markiert, bis die Änderung angewendet ist, danach verschwindet das Badge.

Wenn eine von Ihnen hinzugefügte Adresse bereits ältere Anti-DDoS-Einstellungen aufweist, die nicht durch eine Policy festgelegt wurden, etwa benutzerdefinierte Einstellungen der OVHcloud Support-Teams, öffnet sich beim Speichern das Fenster Legacy Anti-DDoS settings detected. Um die Policy trotzdem anzuwenden, aktivieren Sie das Kontrollkästchen I understand und klicken Sie dann auf Overwrite and save. Auf diese Weise erhalten Sie die Kontrolle über die Schutzeinstellungen der IP-Adresse und können diese mit den neuesten Profiling-Optionen ändern.

Statusanzeigen verstehen

Die Liste der Policies zeigt für jede Policy ihr Netzwerk-Traffic-Profil, ihre Empfindlichkeit, die Anzahl ihrer IP-Adressen, den zuletzt erkannten Angriff und ihren Status an. Sie können die Liste nach Profil, Empfindlichkeit und Status filtern.

Ihre Policies verwalten

Jede Policy verfügt in der Liste der Policies am Ende ihrer Zeile über einen Aktionsbutton (...) mit den folgenden Optionen:

Die Wirkung einer Policy überwachen

Eine Policy verändert, welcher Traffic der Mitigation unterliegt. Beurteilen Sie sie daher, indem Sie die Mitigationsaktivität vor und nach ihrer Anwendung vergleichen.

Gehen Sie in der OVHcloud Konsole (öffnen Sie diese während der Beta-Phase über den Button Die Konsole entdecken >BETA_ oben rechts) zu Sicherheit > Anti-DDoS. Der Tab Dashboard listet die auf Ihren Adressen erkannten Angriffe auf, und während Erkennungsereignissen zeigt der Tab Traffic den legitimen Traffic der ausgewählten Adresse sowie den Traffic an, der während abgewehrter Angriffe gefiltert wurde. Eine wirksame Policy filtert während legitimer Spitzen weniger Traffic und während echter Angriffe nicht weniger. Weitere Informationen zu den auf Ihren Diensten erkannten Angriffen finden Sie in unserer Anleitung DDoS-Angriffe mit dem Anti-DDoS-Dashboard überwachen.

Wenn sich ein Profil nicht wie erwartet verhält, teilen Sie uns dies über den Link Do you like it? oben auf der Seite Profiling mit. Während der Beta-Phase hilft uns dieses Feedback, den Katalog zu verbessern.

Einschränkungen

Fehlerbehebung

Wenn ein Profil angewendet ist und das Problem weiterhin besteht, hilft ein Traffic-Mitschnitt (pcap) der betroffenen Datenflüsse dem Support bei der Analyse.

Weiterführende Informationen

DDoS-Angriffe mit dem Anti-DDoS-Dashboard überwachen

Aktivieren und Konfigurieren der Edge Network Firewall

Treten Sie unserer User Community bei.