Obiettivo

La protezione anti-DDoS VAC copre per impostazione predefinita tutti i servizi OVHcloud, senza configurazione né costi aggiuntivi. Il VAC è uno degli elementi principali dell'infrastruttura anti-DDoS di OVHcloud: una combinazione di tecnologie, sviluppate costantemente da OVHcloud, che filtra il traffico in entrata affinché solo i pacchetti legittimi raggiungano il vostro server. Il rilevamento si basa sulla forma del traffico: frequenza dei pacchetti, ricambio delle connessioni, aumenti improvvisi di volume o firme di traffico note.

Questo rilevamento generico è adatto alla maggior parte delle applicazioni protette, ma può ancora interpretare male alcuni carichi di lavoro più specifici, seppur legittimi: un tunnel WireGuard molto sollecitato somiglia a un flood UDP, e l'afflusso di spettatori durante un evento in diretta somiglia a un attacco volumetrico.

La funzionalità di profilazione vi permette di descrivere con precisione questo tipo di servizio, invece di aggirare la protezione. Scegliete un profilo dal catalogo, selezionate un livello di sensibilità e associate i vostri servizi. Una sola modifica a una policy regola di nuovo tutti gli indirizzi che vi sono associati. Se il vostro carico di lavoro cambia, cambiate profilo o regolate la sensibilità.

Questa guida vi spiega come:

• riconoscere i casi in cui la vostra applicazione ha bisogno di un profilo.
• attivare la profilazione sul vostro account e creare una policy.
• applicare una policy ai vostri indirizzi IP e comprenderne lo stato.
• regolare, disattivare o eliminare una policy, e misurarne l'effetto.

Prerequisiti

• Disporre di almeno un servizio OVHcloud dotato di un indirizzo IPv4 pubblico.
• Essere connessi alla console OVHcloud.

Procedura

Sommario:

• Perché potrebbe essere necessario perfezionare la protezione
• Funzionamento della profilazione
• Step 1 — Attivare la profilazione
• Step 2 — Creare una policy
• Step 3 — Aggiungere i vostri indirizzi IP
• Leggere gli stati
• Gestire le vostre policy
• Misurare l'effetto di una policy
• Limiti
• Diagnostica

Perché potrebbe essere necessario perfezionare la protezione

Due situazioni principali possono portarvi a regolare le impostazioni predefinite:

I falsi positivi sono i più frequenti, e pochi casi d'uso ne concentrano la maggior parte: i tunnel VPN, la cui frequenza di pacchetti UDP è elevata; i nodi Blockchain/Solana, che utilizzano ampi intervalli di porte con un ricambio costante dei peer; lo streaming video e la voce, esposti a picchi di pubblico improvvisi ma legittimi; i servizi web durante un lancio o un'operazione commerciale.

Create una policy se vi trovate in una di queste situazioni:

• Il traffico legittimo viene mitigato e lo state già aggirando, passando la VPN in modalità TCP, riducendo la MTU o aprendo un ticket dopo ogni incidente.
• State preparando un picco di traffico noto, ad esempio un evento in diretta o il lancio di un prodotto.
• Gestite un'applicazione con un traffico strutturalmente atipico e preferite dichiararlo in anticipo piuttosto che attendere il primo falso positivo.
• Un attacco è stato mitigato, ma in modo incompleto, e desiderate che il rilevamento reagisca prima.

Se nessuna di queste situazioni corrisponde alla vostra, non è necessaria alcuna modifica: i vostri servizi restano protetti per impostazione predefinita.

Funzionamento della profilazione

La profilazione si basa sulle policy che create. Una policy associa un profilo di traffico di rete a un livello di sensibilità e si applica agli indirizzi IPv4 pubblici o ai blocchi che vi aggiungete.

I profili di traffico di rete

OVHcloud progetta e mantiene i profili di traffico di rete: al momento della creazione di una policy, scegliete quello che corrisponde meglio al vostro carico di lavoro.

Ottenere il massimo da un profilo

Per ottenere i migliori risultati con alcuni profili:

• VPN - WireGuard: utilizzate la porta predefinita di WireGuard, UDP 51820. In questo modo evitate di perdere traffico legittimo durante un attacco.
• VPN - OpenVPN: utilizzate le porte predefinite di OpenVPN, UDP 1194 e TCP 443. Se non avete bisogno del fallback in TCP, bloccate questo traffico con l'Edge Network Firewall.
• WebServer - Generic: non utilizzatelo se il server riceve anche traffico UDP. QUIC (HTTP/3) non è ancora supportato: il traffico QUIC viene scartato durante un attacco.
• Generic - Proxied TCP: scegliete questo profilo invece di WebServer - Generic quando una CDN esterna o un reverse proxy ospitato al di fuori di OVHcloud si trova davanti a un server web ospitato presso OVHcloud. Il server di origine riceve allora numerose connessioni da un piccolo numero di indirizzi edge della CDN: questo profilo si aspetta questo schema e non identifica tali indirizzi come attaccanti.
• Blockchain - Solana: durante un attacco, la mitigazione evita di compromettere il traffico Solana legittimo. Per contro, attacchi molto mirati possono lasciar passare più traffico malevolo verso il server.

La sensibilità

La sensibilità colloca la policy tra due rischi: mitigare troppo o non abbastanza. I livelli disponibili dipendono dal profilo.

Una sola policy per indirizzo IP

Un indirizzo IP è associato a una sola policy. Se un blocco è associato a una policy e un indirizzo di questo blocco a un'altra, prevale la voce più specifica. Ad esempio, se 203.0.113.0/24 è associato a una policy WebServer - Generic e 203.0.113.10 a una policy VPN - WireGuard, 203.0.113.10 utilizza la policy VPN - WireGuard e il resto del blocco la policy WebServer - Generic.

Le impostazioni di una policy vengono conservate per un Additional IP quando passa da uno dei vostri servizi a un altro. Vengono reimpostate solo se l'indirizzo cambia proprietario o se il relativo servizio viene disdetto.

Step 1 — Attivare la profilazione

L'attivazione è necessaria una sola volta per account.

1. Accedete alla console OVHcloud.

2. Durante la beta, cliccate su Scoprire la console >BETA_ in alto a destra.

3. Nel menu laterale, accedete a Sicurezza > Anti-DDoS, quindi aprite la scheda Profiling.

4. Cliccate su Activate profiling.

   Seguite le istruzioni visualizzate, se presenti, per completare l'attivazione. Non viene addebitato alcun importo.

Una volta completata l'attivazione, la scheda Profiling mostra le policy che avete definito. L'attivazione non modifica le impostazioni di protezione di nessun indirizzo IP finché non lo aggiungete a una policy.

Step 2 — Creare una policy

1. Nella scheda Profiling, cliccate su Create a policy.
2. Nel campo Name, inserite un nome che identifichi il carico di lavoro, ad esempio vpn-concentrators.
3. Nell'elenco Network traffic profile, selezionate il profilo corrispondente al vostro carico di lavoro. La sua descrizione viene visualizzata sotto l'elenco.
4. Impostate la Sensitivity. Iniziate con Medium, a meno che non sappiate già in quale direzione deve evolvere la protezione.
5. Cliccate su Create policy.

Aggiungerete gli indirizzi IP una volta creata la policy. Fino ad allora, il suo stato è Not configured: non si applica ancora a nessun indirizzo.

Step 3 — Aggiungere i vostri indirizzi IP

1. Nell'elenco delle policy, cliccate sul nome della policy, oppure sul pulsante ... a fine riga, quindi su Edit.
2. Nella sezione Targets del pannello Edit policy, cliccate sul campo Add an IP…. L'elenco mostra i blocchi IP e gli indirizzi IP singoli disponibili sul vostro account. Digitate l'inizio di un indirizzo per filtrare l'elenco.
3. Selezionate un indirizzo o un blocco intero. Se i vostri server occupano un blocco contiguo, aggiungete il blocco invece di ogni singolo indirizzo.
4. Dopo aver selezionato un blocco IP, potete modificare la selezione nel campo di inserimento. Invece del blocco intero, potete così inserire una delle sue sottoreti o un singolo indirizzo di questo blocco.
5. Ripetete l'operazione per ogni indirizzo o blocco, quindi cliccate su Save changes. Viene visualizzato un messaggio di conferma.

La protezione anti-DDoS VAC di questo indirizzo segue allora il profilo e la sensibilità della policy, e non più le impostazioni generiche. La modifica viene applicata in background: l'indirizzo è contrassegnato come Pending finché la modifica non viene applicata, poi questo badge scompare.

Se un indirizzo che aggiungete presenta già vecchie impostazioni anti-DDoS che non provengono da una policy, come impostazioni personalizzate applicate dai team del supporto OVHcloud, al momento del salvataggio si apre una finestra Legacy Anti-DDoS settings detected. Per applicare comunque la policy, spuntate la casella I understand, quindi cliccate su Overwrite and save. In questo modo riprendete il controllo delle impostazioni di protezione dell'indirizzo e potete modificarle con le ultime opzioni di profilazione.

Leggere gli stati

L'elenco delle policy indica, per ciascuna, il profilo di traffico di rete, la sensibilità, il numero di indirizzi IP, la data dell'ultimo attacco rilevato e lo stato. Potete filtrarlo per profilo, per sensibilità e per stato.

Gestire le vostre policy

Ogni policy dispone di un pulsante di azioni (...) a fine riga nell'elenco delle policy, con le opzioni seguenti:

Misurare l'effetto di una policy

Una policy modifica il traffico che viene mitigato: per valutarla, confrontate l'attività di mitigazione prima e dopo la sua applicazione.

Nella console OVHcloud (durante la beta, apritela tramite il pulsante Scoprire la console >BETA_ in alto a destra), accedete a Sicurezza > Anti-DDoS. La scheda Dashboard elenca gli attacchi rilevati sui vostri indirizzi e, durante gli eventi di rilevamento, la scheda Traffico mostra il traffico legittimo dell'indirizzo selezionato, oltre al traffico filtrato durante gli attacchi mitigati. Una policy efficace filtra meno traffico durante i picchi legittimi, e non meno durante i veri attacchi. Per maggiori informazioni sugli attacchi rilevati sui vostri servizi, consultate la guida "Monitorare gli attacchi DDoS con la dashboard Anti-DDoS".

Se un profilo non si comporta come previsto, segnalatecelo tramite il link Do you like it? in alto nella pagina Profiling. Durante la beta, questi feedback permettono di migliorare il catalogo.

Limiti

Diagnostica

Se un profilo è applicato e il problema persiste, un'acquisizione del traffico (pcap) dei flussi interessati aiuterà il supporto ad analizzarlo.

Per saperne di più

Monitorare gli attacchi DDoS con la dashboard Anti-DDoS

Attivare e configurare Edge Network Firewall

Contatta la nostra Community di utenti.