Objetivo

La DDoS Protection VAC cubre por defecto todos los servicios de OVHcloud, sin configuración ni coste adicional. El VAC es uno de los principales componentes de la infraestructura anti-DDoS de OVHcloud: una combinación de tecnologías, desarrolladas de forma continua por OVHcloud, que filtra el tráfico entrante para que solo los paquetes legítimos lleguen a su servidor. La detección se basa en la forma del tráfico: tasa de paquetes, renovación de las conexiones, aumentos repentinos de volumen o firmas de tráfico conocidas.

Esta detección genérica es adecuada para la mayoría de las aplicaciones protegidas, pero aún puede interpretar erróneamente algunas cargas de trabajo más específicas, aunque legítimas: un túnel WireGuard con mucha carga se parece a un UDP flood, y la afluencia de espectadores durante un evento en directo se parece a un ataque volumétrico.

La función de perfilado le permite describir con precisión este tipo de servicio, en lugar de sortear la protección. Elija un perfil del catálogo, seleccione un nivel de sensibilidad y asocie sus servicios. Una sola modificación de una política reajusta todas las direcciones asociadas a ella. Si su carga de trabajo cambia, cambie de perfil o ajuste la sensibilidad.

Esta guía le explica cómo:

• reconocer los casos en los que su aplicación necesita un perfil.
• activar el perfilado en su cuenta y crear una política.
• aplicar una política a sus direcciones IP y entender su estado.
• ajustar, desactivar o eliminar una política, y medir su efecto.

Requisitos

• Disponer de al menos un servicio de OVHcloud con una dirección IPv4 pública.
• Estar conectado a la consola de OVHcloud.

Procedimiento

Índice:

• Por qué puede ser necesario afinar la protección
• Funcionamiento del perfilado
• Paso 1 — Activar el perfilado
• Paso 2 — Crear una política
• Paso 3 — Añadir sus direcciones IP
• Interpretar los estados
• Gestionar sus políticas
• Medir el efecto de una política
• Límites
• Diagnóstico

Por qué puede ser necesario afinar la protección

Hay dos situaciones principales que pueden llevarle a ajustar la configuración por defecto:

Los falsos positivos son los más frecuentes, y unos pocos usos concentran la mayoría de ellos: los túneles VPN, cuya tasa de paquetes UDP es elevada; los nodos Blockchain/Solana, que utilizan amplios rangos de puertos con una renovación constante de los pares; la difusión de vídeo y la voz, expuestas a aumentos de audiencia bruscos pero legítimos; y los servicios web durante un lanzamiento o una operación comercial.

Cree una política si se encuentra en alguna de estas situaciones:

• El tráfico legítimo se mitiga y ya lo está sorteando, cambiando la VPN al modo TCP, reduciendo la MTU o abriendo un tíquet después de cada incidente.
• Está preparando un pico de tráfico conocido, por ejemplo, un evento en directo o el lanzamiento de un producto.
• Utiliza una aplicación con un tráfico estructuralmente atípico y prefiere declararlo de antemano en lugar de esperar al primer falso positivo.
• Un ataque se ha mitigado, pero de forma incompleta, y desea que la detección reaccione antes.

Si ninguna de estas situaciones se corresponde con la suya, no es necesario realizar ningún cambio: sus servicios siguen protegidos por defecto.

Funcionamiento del perfilado

Usted crea políticas. Una política asocia un perfil de tráfico de red a un nivel de sensibilidad y se aplica a las direcciones IPv4 públicas o a los bloques que añada a ella.

Los perfiles de tráfico de red

OVHcloud diseña y mantiene los perfiles de tráfico de red: al crear una política, elija el que mejor se corresponda con su carga de trabajo.

Sacar el máximo partido a un perfil

Para obtener los mejores resultados con algunos perfiles:

• VPN - WireGuard: utilice el puerto por defecto de WireGuard, UDP 51820. Así evitará perder tráfico legítimo durante un ataque.
• VPN - OpenVPN: utilice los puertos por defecto de OpenVPN, UDP 1194 y TCP 443. Si no necesita la solución de respaldo en TCP, bloquee ese tráfico con el Edge Network Firewall.
• WebServer - Generic: no lo utilice si el servidor también recibe tráfico UDP. QUIC (HTTP/3) todavía no es compatible: el tráfico QUIC se descarta durante un ataque.
• Generic - Proxied TCP: elija este perfil en lugar de WebServer - Generic cuando un CDN externo o un proxy inverso alojado fuera de OVHcloud se sitúe delante de un servidor web alojado en OVHcloud. En ese caso, el servidor de origen recibe numerosas conexiones desde un pequeño número de direcciones de borde del CDN: este perfil espera este patrón y no identifica esas direcciones como atacantes.
• Blockchain - Solana: durante un ataque, la mitigación evita afectar al tráfico Solana legítimo. Como contrapartida, los ataques muy dirigidos pueden dejar pasar más tráfico malicioso hacia el servidor.

La sensibilidad

La sensibilidad sitúa la política entre dos riesgos: mitigar demasiado o no lo suficiente. Los niveles disponibles dependen del perfil.

Una sola política por dirección IP

Una dirección IP pertenece a una sola política. Si un bloque está asociado a una política y una dirección de ese bloque a otra, prevalece la entrada más específica. Por ejemplo, si 203.0.113.0/24 está asociado a una política WebServer - Generic y 203.0.113.10 a una política VPN - WireGuard, 203.0.113.10 utiliza la política VPN - WireGuard y el resto del bloque, la política WebServer - Generic.

La configuración de una política se conserva para una Additional IP cuando esta pasa de uno de sus servicios a otro. Solo se restablece si la dirección cambia de propietario o si su servicio se da de baja.

Paso 1 — Activar el perfilado

La activación solo es necesaria una vez por cuenta.

1. Inicie sesión en la consola de OVHcloud.

2. Durante la beta, haga clic en Descubrir la consola >BETA_ en la parte superior derecha.

3. En el menú lateral, acceda a Seguridad > Anti-DDoS y abra la pestaña Profiling.

4. Haga clic en Activate profiling.

   Siga las instrucciones que se muestren, en su caso, para completar la activación. No se factura ningún importe.

Una vez completada la activación, la pestaña Profiling muestra las políticas que haya definido. La activación no modifica la configuración de protección de ninguna dirección IP hasta que la añada a una política.

Paso 2 — Crear una política

1. En la pestaña Profiling, haga clic en Create a policy.
2. En el campo Name, introduzca un nombre que identifique la carga de trabajo, por ejemplo, vpn-concentrators.
3. En la lista Network traffic profile, seleccione el perfil que corresponda a su carga de trabajo. Su descripción se muestra debajo de la lista.
4. Defina la Sensitivity. Empiece por Medium, salvo que ya sepa en qué sentido debe evolucionar la protección.
5. Haga clic en Create policy.

Las direcciones IP se añaden una vez creada la política. Hasta entonces, su estado es Not configured: todavía no se aplica a ninguna dirección.

Paso 3 — Añadir sus direcciones IP

1. En la lista de políticas, haga clic en el nombre de la política, o en el botón ... al final de la fila y, a continuación, en Edit.
2. En la sección Targets del panel Edit policy, haga clic en el campo Add an IP…. La lista muestra los bloques IP y las direcciones IP individuales disponibles en su cuenta. Introduzca el principio de una dirección para filtrar la lista.
3. Seleccione una dirección o un bloque completo. Si sus servidores ocupan un bloque contiguo, añada el bloque en lugar de cada dirección.
4. Tras seleccionar un bloque IP, puede modificar la selección en el campo de entrada. Así, en lugar del bloque completo, puede introducir una de sus subredes o una sola dirección de ese bloque.
5. Repita la operación para cada dirección o bloque y haga clic en Save changes. Se mostrará un mensaje de confirmación.

A partir de ese momento, la DDoS Protection VAC de esa dirección sigue el perfil y la sensibilidad de la política, y ya no la configuración genérica. El cambio se aplica en segundo plano: la dirección se marca como Pending hasta que se aplique el cambio y, después, esa etiqueta desaparece.

Si una dirección que añade ya tiene una configuración Anti-DDoS antigua que no procede de una política, como una configuración personalizada aplicada por los equipos de soporte de OVHcloud, al guardar se abre una ventana Legacy Anti-DDoS settings detected. Para aplicar la política de todos modos, marque la casilla I understand y haga clic en Overwrite and save. De este modo, recupera el control de la configuración de protección de la dirección y puede modificarla con las últimas opciones de perfilado.

Interpretar los estados

La lista de políticas indica, para cada una, su perfil de tráfico de red, su sensibilidad, su número de direcciones IP, la fecha del último ataque detectado y su estado. Puede filtrarla por perfil, por sensibilidad y por estado.

Gestionar sus políticas

Cada política dispone de un botón de acciones (...) al final de su fila en la lista de políticas, con las siguientes opciones:

Medir el efecto de una política

Una política modifica el tráfico que se mitiga: para evaluarla, compare la actividad de mitigación antes y después de aplicarla.

En la consola de OVHcloud (durante la beta, ábrala con el botón Descubrir la consola >BETA_ situado en la parte superior derecha), acceda a Seguridad > Anti-DDoS. La pestaña Dashboard muestra los ataques detectados en sus direcciones y, durante los eventos de detección, la pestaña Tráfico muestra el tráfico legítimo de la dirección que seleccione, así como el tráfico filtrado durante los ataques mitigados. Una política eficaz filtra menos tráfico durante los picos legítimos, y no menos durante los ataques reales. Para más información sobre los ataques detectados en sus servicios, consulte la guía "Supervisar los ataques DDoS con el panel Anti-DDoS".

Si un perfil no se comporta como se esperaba, notifíquelo a través del enlace Do you like it? situado en la parte superior de la página Profiling. Durante la beta, estos comentarios permiten mejorar el catálogo.

Límites

Diagnóstico

Si se aplica un perfil y el problema persiste, una captura de tráfico (pcap) de los flujos afectados ayudará al soporte a analizarlo.

Más información

Supervisar los ataques DDoS con el panel Anti-DDoS

Activar y configurar el Edge Network Firewall

Interactúe con nuestra comunidad de usuarios.