For AI agents: the complete documentation index is available at https://docs.ovhcloud.com/fr/llms.txt, the full documentation bundle is available at https://docs.ovhcloud.com/fr/llms-full.txt, and this page is available as Markdown at https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/anti-ddos-vac-profiling.md.

Affiner la protection Anti-DDoS avec le profilage

Voir en Markdown

Appliquez un profil de trafic réseau et un niveau de sensibilité à vos adresses IP pour affiner la protection Anti-DDoS VAC de vos services

Warning

La fonctionnalité de profilage est en phase bêta. Les fonctionnalités, les noms de profils et les limites peuvent encore légèrement évoluer d'ici la disponibilité générale.

Objectif

La protection Anti-DDoS VAC couvre par défaut tous les services OVHcloud, sans configuration ni surcoût. Le VAC fait partie des principaux éléments de l'infrastructure Anti-DDoS d'OVHcloud : une combinaison de technologies, développées en continu par OVHcloud, qui filtre le trafic entrant pour que seuls les paquets légitimes atteignent votre serveur. La détection s'appuie sur la forme du trafic : débit de paquets, renouvellement des connexions, hausses soudaines de volume ou signatures de trafic connues.

Cette détection générique convient à la plupart des applications protégées, mais elle peut encore mal interpréter certaines charges de travail plus spécifiques, pourtant légitimes : un tunnel WireGuard très sollicité ressemble à un flood UDP, et l'afflux de spectateurs lors d'un événement en direct ressemble à une attaque volumétrique.

La fonctionnalité de profilage vous permet de décrire précisément ce type de service, plutôt que de contourner la protection. Choisissez un profil dans le catalogue, sélectionnez un niveau de sensibilité et rattachez vos services. Une seule modification d'une politique réajuste toutes les adresses qui y sont associées. Si votre charge de travail évolue, changez de profil ou ajustez la sensibilité.

Ce guide vous explique comment :

  • reconnaître les cas où votre application a besoin d'un profil.
  • activer le profilage sur votre compte et créer une politique.
  • appliquer une politique à vos adresses IP et comprendre son statut.
  • ajuster, désactiver ou supprimer une politique, et en mesurer l'effet.

Prérequis

  • Disposer d'au moins un service OVHcloud doté d'une adresse IPv4 publique.
  • Être connecté à la .

En pratique

Sommaire :

Pourquoi la protection peut avoir besoin d'être affinée

Deux situations principales peuvent vous amener à ajuster les réglages par défaut :

Ce qui se produitCe que vous constatez
Faux positifDu trafic légitime est pris pour une attaque et se retrouve mitigé.Sessions interrompues, tunnels coupés, utilisateurs déconnectés pendant un pic de trafic, alors qu'aucune attaque n'a lieu.
Faux négatifLe trafic d'attaque reste sous les seuils génériques de détection.Service dégradé pendant une attaque qui n'a jamais été complètement mitigée.

Les faux positifs sont les plus fréquents, et quelques usages en concentrent l'essentiel : les tunnels VPN, dont le débit de paquets UDP est élevé ; les nœuds Blockchain/Solana, qui utilisent de larges plages de ports avec un renouvellement constant des pairs ; la diffusion vidéo et la voix, exposées à des montées d'audience brutales mais légitimes ; les services web lors d'un lancement ou d'une opération commerciale.

Créez une politique si vous vous trouvez dans l'une de ces situations :

  • Du trafic légitime est mitigé et vous le contournez déjà, en basculant le VPN en mode TCP, en réduisant la MTU ou en ouvrant un ticket après chaque incident.
  • Vous préparez un pic de trafic connu, par exemple un événement en direct ou le lancement d'un produit.
  • Vous exploitez une application au trafic structurellement atypique et préférez le déclarer en amont plutôt que d'attendre le premier faux positif.
  • Une attaque a bien été mitigée, mais de façon incomplète, et vous souhaitez que la détection réagisse plus tôt.

Si aucune de ces situations ne correspond à la vôtre, aucune modification n'est nécessaire : vos services restent protégés par défaut.

Fonctionnement du profilage

Vous créez des politiques. Une politique associe un profil de trafic réseau à un niveau de sensibilité, et s'applique aux adresses IPv4 publiques ou aux blocs que vous y ajoutez.

Les profils de trafic réseau

OVHcloud conçoit et maintient les profils de trafic réseau : lors de la création d'une politique, choisissez celui qui correspond le mieux à votre charge de travail.

Profil de trafic réseauÀ utiliser pour
VPN - WireGuardLes serveurs VPN WireGuard.
VPN - OpenVPNLes serveurs OpenVPN fonctionnant en UDP, avec TCP en solution de repli.
Game Server - GenericLes serveurs de jeu utilisant à la fois TCP et UDP. Plus permissif que les profils de jeu UDP seul et TCP seul, il préserve toutes les fonctionnalités du jeu pendant une attaque, comme les téléchargements en TCP depuis un serveur dont le trafic de jeu passe par ailleurs en UDP.
Game Server - Generic UDPLes services de jeu reposant sur UDP. Il convient aussi au trafic TeamSpeak.
Game Server - Generic TCPLes protocoles de jeu reposant sur TCP.
VoIP - TeamSpeakLes serveurs TeamSpeak. Il protège aussi la plupart des services de jeu reposant sur UDP.
WebServer - GenericLes serveurs web recevant uniquement du trafic HTTP et HTTPS sur les ports TCP 80 et 443.
Generic - Proxied TCPLes serveurs back-end dont le front-end est hébergé hors d'OVHcloud, par exemple chez un fournisseur de CDN externe. Les hôtes qui ouvrent légitimement de nombreuses connexions vers le back-end risquent beaucoup moins d'être identifiés comme attaquants.
Blockchain - SolanaLes nœuds Solana, dont le trafic légitime peut être très volumineux.
DNS - ServerLes serveurs DNS. Ce profil s'appuie sur les schémas de trafic propres au DNS pour bloquer un maximum de trafic d'attaque, avec un impact minimal sur les requêtes légitimes.
DefaultUn profil générique proposant plusieurs niveaux de sensibilité. Utilisez-le lorsqu'aucun autre profil ne correspond à votre charge de travail.
Warning

Sur les serveurs Bare Metal Game, nous vous recommandons de ne pas utiliser le profilage, en particulier les profils Game Server (Generic, Generic UDP et Generic TCP), sur les adresses IP protégées par une règle Minecraft Java de la protection Anti-DDoS Game. Cela pourrait affecter la qualité de la protection globale.

Tirer le meilleur parti d'un profil

Pour obtenir les meilleurs résultats avec certains profils :

  • VPN - WireGuard : utilisez le port par défaut de WireGuard, UDP 51820. Vous évitez ainsi de perdre du trafic légitime pendant une attaque.
  • VPN - OpenVPN : utilisez les ports par défaut d'OpenVPN, UDP 1194 et TCP 443. Si vous n'avez pas besoin du repli en TCP, bloquez ce trafic avec l'Edge Network Firewall.
  • WebServer - Generic : ne l'utilisez pas si le serveur reçoit aussi du trafic UDP. QUIC (HTTP/3) n'est pas encore pris en charge : le trafic QUIC est rejeté pendant une attaque.
  • Generic - Proxied TCP : choisissez ce profil plutôt que WebServer - Generic lorsqu'un CDN externe ou un reverse proxy hébergé hors d'OVHcloud se trouve devant un serveur web hébergé chez OVHcloud. Le serveur d'origine reçoit alors de nombreuses connexions depuis un petit nombre d'adresses de périphérie du CDN : ce profil s'attend à ce schéma et n'identifie pas ces adresses comme attaquantes.
  • Blockchain - Solana : pendant une attaque, la mitigation évite d'affecter le trafic Solana légitime. En contrepartie, des attaques très ciblées peuvent laisser passer davantage de trafic malveillant vers le serveur.

La sensibilité

La sensibilité place la politique entre deux risques : mitiger trop, ou pas assez. Les niveaux disponibles dépendent du profil.

SensibilitéEffetÀ choisir lorsque
LowMoins de faux positifs : la plus tolérante aux pics légitimes.La disponibilité pendant les pics compte davantage que la profondeur du filtrage.
MediumDétection équilibrée. Le point de départ recommandé.Vous appliquez un profil pour la première fois.
HighMoins de faux négatifs : le filtrage le plus agressif.Des attaques passent au travers.

Une seule politique par adresse IP

Une adresse IP relève d'une seule politique. Si un bloc est associé à une politique et une adresse de ce bloc à une autre, c'est l'entrée la plus spécifique qui l'emporte. Par exemple, si 203.0.113.0/24 est associé à une politique WebServer - Generic et 203.0.113.10 à une politique VPN - WireGuard, alors 203.0.113.10 utilise la politique VPN - WireGuard et le reste du bloc la politique WebServer - Generic.

Les réglages d'une politique sont conservés pour une Additional IP lorsqu'elle passe d'un de vos services à un autre. Ils ne sont réinitialisés que si l'adresse change de propriétaire ou si son service est résilié.

Étape 1 — Activer le profilage

L'activation n'est nécessaire qu'une fois par compte.

  1. Connectez-vous à la .

  2. Pendant la bêta, cliquez sur Découvrir la console >BETA_ en haut à droite.

  3. Dans le menu latéral, rendez-vous dans Sécurité > Anti-DDoS, puis ouvrez l'onglet Profiling.

  4. Cliquez sur Activate profiling.

    Suivez les instructions qui s'affichent, le cas échéant, pour finaliser l'activation. Aucun montant n'est facturé.

Une fois l'activation terminée, l'onglet Profiling affiche les politiques que vous avez définies. L'activation ne modifie les réglages de protection d'aucune adresse IP tant que vous ne l'ajoutez pas à une politique.

Étape 2 — Créer une politique

  1. Dans l'onglet Profiling, cliquez sur Create a policy.
  2. Dans le champ Name, saisissez un nom qui identifie la charge de travail, par exemple vpn-concentrators.
  3. Dans la liste Network traffic profile, sélectionnez le profil correspondant à votre charge de travail. Sa description s'affiche sous la liste.
  4. Réglez la Sensitivity. Commencez par Medium, sauf si vous savez déjà dans quel sens la protection doit évoluer.
  5. Cliquez sur Create policy.

Vous ajoutez les adresses IP une fois la politique créée. D'ici là, son statut est Not configured : elle ne s'applique encore à aucune adresse.

Étape 3 — Ajouter vos adresses IP

  1. Dans la liste des politiques, cliquez sur le nom de la politique, ou sur le bouton ... en fin de ligne, puis sur Edit.
  2. Dans la section Targets du panneau Edit policy, cliquez sur le champ Add an IP…. La liste affiche les blocs IP et les adresses IP individuelles disponibles sur votre compte. Saisissez le début d'une adresse pour filtrer la liste.
  3. Sélectionnez une adresse, ou un bloc entier. Si vos serveurs occupent un bloc contigu, ajoutez le bloc plutôt que chaque adresse.
  4. Après avoir sélectionné un bloc IP, vous pouvez modifier la sélection dans le champ de saisie. Au lieu du bloc entier, vous pouvez ainsi saisir l'un de ses sous-réseaux ou une seule adresse de ce bloc.
  5. Répétez l'opération pour chaque adresse ou bloc, puis cliquez sur Save changes. Un message de confirmation s'affiche.

La protection Anti-DDoS VAC de cette adresse suit alors le profil et la sensibilité de la politique, et non plus les réglages génériques. La modification s'applique en arrière-plan : l'adresse est marquée Pending jusqu'à ce que la modification soit appliquée, puis ce badge disparaît.

Si une adresse que vous ajoutez porte déjà d'anciens réglages Anti-DDoS qui ne proviennent pas d'une politique, comme des réglages personnalisés appliqués par les équipes du support OVHcloud, une fenêtre Legacy Anti-DDoS settings detected s'affiche à l'enregistrement. Pour appliquer tout de même la politique, cochez la case I understand, puis cliquez sur Overwrite and save. Vous reprenez ainsi la main sur les réglages de protection de l'adresse et pouvez les modifier avec les dernières options de profilage.

Warning

Le remplacement des anciens réglages est irréversible : ils ne pourront pas être restaurés. Si vous désactivez ensuite la politique, l'adresse revient à la protection Anti-DDoS VAC par défaut, et non à ses réglages précédents.

Lire les statuts

La liste des politiques indique, pour chacune, son profil de trafic réseau, sa sensibilité, son nombre d'adresses IP, la date de la dernière attaque détectée et son statut. Vous pouvez la filtrer par profil, par sensibilité et par statut.

EmplacementStatutSignification
Liste des politiquesActiveActivée, avec au moins une adresse IP. La protection est ajustée.
Liste des politiquesNot configuredActivée, mais sans adresse IP. Ajoutez une cible.
Liste des politiquesDisabledDésactivée. La protection Anti-DDoS VAC par défaut s'applique à ses adresses, qui restent associées.
Liste des politiquesIcône d'avertissement à côté de Number of IPsCertaines adresses de la politique sont encore en cours d'application ou de retrait (Pending ou Deleting).
Section TargetsAucun badgeL'adresse est protégée par la politique.
Section TargetsPendingL'adresse est en cours de synchronisation avec le système de profilage. Cela peut prendre quelques minutes.
Section TargetsDeletingL'adresse est en cours de retrait de la politique.

Gérer vos politiques

Chaque politique dispose d'un bouton d'actions (...) en fin de ligne dans la liste des politiques, avec les options suivantes :

ActionProcédureEffet
Modifier le profil ou la sensibilitéEdit, puis modifiez Network traffic profile ou Sensitivity et cliquez sur Save changes.S'applique d'un coup à toutes les adresses de la politique. Changez la sensibilité d'un niveau à la fois et observez le résultat avant d'aller plus loin.
Désactiver la politiqueDisable, puis confirmez.Les adresses reviennent à la protection Anti-DDoS VAC par défaut. Elles restent associées, et la politique peut être réactivée à tout moment. Utile pour confirmer ou écarter le rôle du profil lors d'un diagnostic, plutôt que de supprimer la politique.
Réactiver la politiqueEnable sur une politique désactivée.Le profil s'applique de nouveau aux adresses associées.
Déplacer une adresseEdit, retirez l'adresse de la section Targets d'une politique et enregistrez, puis ajoutez-la à une autre.Une adresse ne relève que d'une seule politique.
Supprimer la politiqueDelete, puis confirmez.Supprime la politique et toutes ses cibles. Ses adresses reviennent à la protection par défaut. Cette action est irréversible.

Mesurer l'effet d'une politique

Une politique modifie le trafic qui est mitigé : pour la juger, comparez l'activité de mitigation avant et après son application.

Dans la console OVHcloud (pendant la bêta, ouvrez-la à l'aide du bouton Découvrir la console >BETA_ en haut à droite), rendez-vous dans Sécurité > Anti-DDoS. L'onglet Dashboard liste les attaques détectées sur vos adresses, et, lors des événements de détection, l'onglet Trafic affiche le trafic légitime de l'adresse que vous sélectionnez, ainsi que le trafic filtré lors des attaques mitigées. Une politique efficace filtre moins de trafic pendant les pics légitimes, et pas moins pendant les véritables attaques. Pour en savoir plus sur les attaques détectées sur vos services, consultez le guide « Suivre les attaques DDoS avec le tableau de bord Anti-DDoS ».

Si un profil ne se comporte pas comme prévu, signalez-le via le lien Do you like it? en haut de la page Profiling. Pendant la bêta, ces retours permettent d'améliorer le catalogue.

Limites

LimiteDétails
Politiques20 par compte.
Région administrative (début de la bêta)Une politique ne peut protéger que des adresses IP situées dans la même région administrative que votre service de protection Anti-DDoS VAC : Europe ou Canada & APAC. L'ajout d'un préfixe appartenant à l'autre région n'est pas encore pris en charge.
Types de ciblesAdresses IPv4 et blocs IPv4 uniquement. La prise en charge de l'IPv6 sera ajoutée ultérieurement.
Public CloudLes Floating IP, y compris celles utilisées par Managed Kubernetes Service, peuvent être ajoutées une par une. Une politique ne peut pas encore cibler une ressource de projet Public Cloud entière.

Diagnostic

ProblèmeCause possibleSolution
Du trafic légitime est toujours rejetéLa sensibilité est trop élevée, ou le profil ne correspond pas à la charge de travail.Abaissez la sensibilité d'un niveau et observez le résultat. Si le problème persiste en Low, le profil n'est probablement pas le bon : essayez-en un autre et signalez-le via le lien de retour.
Une attaque n'a pas été complètement mitigéeLa sensibilité est trop basse.Augmentez la sensibilité d'un niveau, et comparez le trafic filtré avant et après.
Une adresse reste en Pending ou DeletingLa modification n'est pas encore appliquée.Patientez quelques minutes, puis actualisez la page. Si le statut ne change pas, contactez le support en indiquant le nom de la politique et l'adresse.
L'ajout d'une IP renvoie une erreur telle que Prefix 192.0.2.0/24 is in region EU. Your VAC service is in region CA and can only protect CA prefixes for now.Au début de la bêta, votre service ne peut protéger que des préfixes de sa propre région administrative (Europe ou Canada & APAC).Ajoutez une adresse IP appartenant à la même région que votre service. Cette limite sera levée au cours de la bêta.
Du trafic est rejeté alors que l'adresse relève d'une politique adaptéeUne autre couche de protection, comme l'Edge Network Firewall ou un pare-feu applicatif, le filtre peut-être. Une politique ne prévaut sur aucune d'elles.Vérifiez vos règles Edge Network Firewall ou le filtrage applicatif propre à votre service.

Si un profil est appliqué et que le problème persiste, une capture de trafic (pcap) des flux concernés aidera le support à l'analyser.

Aller plus loin

Suivre les attaques DDoS avec le tableau de bord Anti-DDoS

Activer et configurer le Edge Network Firewall

Échangez avec notre communauté d'utilisateurs.

Cette page vous a-t-elle aidé ?