Wprowadzenie

Ochrona Anty-DDoS VAC domyślnie chroni każdą usługę OVHcloud, bez konfiguracji i bez dodatkowych kosztów. VAC jest kluczowym elementem infrastruktury Anty-DDoS OVHcloud: zestawu technologii stale rozwijanych przez OVHcloud, który filtruje ruch przychodzący tak, aby do Twojego serwera docierały wyłącznie prawidłowe pakiety. Wykrywanie opiera się na charakterystyce Twojego ruchu — liczbie pakietów na sekundę, rotacji połączeń, nagłych zmianach wolumenu lub znanych sygnaturach ruchu.

Ogólne mechanizmy wykrywania sprawdzają się w przypadku większości chronionych aplikacji, ale nadal mogą błędnie interpretować niektóre bardziej specyficzne, choć prawidłowe, obciążenia robocze: intensywnie używany tunel WireGuard wygląda jak atak typu UDP flood, a nagłe skoki liczby odbiorców podczas wydarzeń na żywo wyglądają jak atak wolumetryczny.

Funkcja profilowania pozwala precyzyjniej opisać takie usługi, zamiast obchodzić ochronę. Wybierz profil z katalogu, ustaw poziom czułości i przypisz swoje usługi. Jedna zmiana w polityce ponownie dostraja wszystkie przypisane do niej adresy. Jeśli Twoje obciążenie robocze się zmieni, zmień profil lub dostosuj czułość.

Z tego przewodnika dowiesz się, jak:

• rozpoznać, kiedy Twoje obciążenie robocze wymaga profilu.
• aktywować profilowanie na swoim koncie i utworzyć politykę.
• przypisać politykę do swoich adresów IP i zrozumieć jej status.
• dostosować, wyłączyć lub usunąć politykę oraz ocenić jej efekt.

Wymagania początkowe

• Co najmniej jedna usługa OVHcloud z publicznym adresem IPv4.
• Dostęp do konsoli OVHcloud.

W praktyce

Spis treści:

• Dlaczego ochrona może wymagać dostrojenia
• Jak działa profilowanie
• Krok 1 — Aktywacja profilowania
• Krok 2 — Tworzenie polityki
• Krok 3 — Dodawanie adresów IP
• Odczytywanie statusów
• Zarządzanie politykami
• Monitorowanie efektu polityki
• Ograniczenia
• Rozwiązywanie problemów

Dlaczego ochrona może wymagać dostrojenia

Istnieją dwie główne sytuacje, w których warto dostroić ustawienia domyślne:

Wyniki fałszywie dodatnie występują częściej, a większość z nich dotyczy kilku typów obciążeń roboczych: tuneli VPN, w których liczba pakietów UDP na sekundę jest wysoka; węzłów Blockchain/Solana, które korzystają z szerokich zakresów portów przy ciągłej rotacji peerów; transmisji strumieniowych na żywo i usług głosowych, narażonych na nagłe, choć prawidłowe, skoki liczby odbiorców; a także usług internetowych podczas premiery lub wyprzedaży.

Utwórz politykę, jeśli występuje którakolwiek z poniższych sytuacji:

• Prawidłowy ruch jest poddawany mitygacji, a Ty obchodzisz ten problem — wymuszając tryb TCP w VPN, obniżając MTU lub otwierając zgłoszenie serwisowe po każdym incydencie.
• Przygotowujesz się na przewidywany skok ruchu, taki jak wydarzenie na żywo lub premiera produktu.
• Uruchamiasz aplikację, której ruch jest z natury nietypowy, i wolisz zadeklarować to z wyprzedzeniem, zamiast czekać na pierwszy wynik fałszywie dodatni.
• Atak został poddany mitygacji, ale niewystarczająco skutecznie, i chcesz, aby wykrywanie reagowało wcześniej.

Jeśli żadna z tych sytuacji Cię nie dotyczy, nie musisz niczego zmieniać: Twoje usługi pozostają domyślnie chronione.

Jak działa profilowanie

Tworzysz polityki. Polityka łączy profil ruchu sieciowego z poziomem czułości i ma zastosowanie do publicznych adresów IPv4 lub bloków, które do niej dodasz.

Profile ruchu sieciowego

OVHcloud opracowuje i utrzymuje poszczególne profile ruchu sieciowego: podczas tworzenia polityki wybierz ten, który najlepiej odpowiada Twojemu obciążeniu roboczemu.

Jak uzyskać najlepsze wyniki z profilu

Aby uzyskać najlepsze wyniki w przypadku niektórych profili:

• VPN - WireGuard: uruchom WireGuard na jego domyślnym porcie, UDP 51820. Pozwala to uniknąć utraty prawidłowego ruchu podczas ataku.
• VPN - OpenVPN: uruchom OpenVPN na jego domyślnych portach, UDP 1194 i TCP 443. Jeśli nie potrzebujesz zapasowego połączenia przez TCP, zablokuj ten ruch za pomocą Edge Network Firewall.
• WebServer - Generic: nie używaj tego profilu, jeśli serwer odbiera również ruch UDP. Protokół QUIC (HTTP/3) nie jest jeszcze obsługiwany: ruch QUIC jest odrzucany podczas ataku.
• Generic - Proxied TCP: wybierz ten profil zamiast WebServer - Generic, gdy przed serwerem WWW działającym w OVHcloud znajduje się zewnętrzny CDN lub reverse proxy hostowany poza OVHcloud. Serwer źródłowy otrzymuje wtedy wiele połączeń z niewielkiej puli adresów brzegowych CDN, a ten profil uwzględnia ten wzorzec, zamiast oznaczać te adresy jako atakujące.
• Blockchain - Solana: podczas ataku mitygacja jest prowadzona tak, aby nie zakłócać prawidłowego ruchu Solana. Ceną za to jest możliwość przedostania się do serwera większej ilości złośliwego ruchu w przypadku silnie ukierunkowanych ataków.

Czułość

Czułość określa, w którym miejscu polityka znajduje się między nadmierną a niewystarczającą mitygacją. Dostępne poziomy zależą od profilu.

Jedna polityka na adres IP

Adres IP może być objęty tylko jedną polityką. Jeśli blok jest przypisany do jednej polityki, a adres z tego bloku do innej, pierwszeństwo ma najbardziej szczegółowy wpis. Na przykład jeśli blok 203.0.113.0/24 jest przypisany do polityki WebServer - Generic, a adres 203.0.113.10 do polityki VPN - WireGuard, to 203.0.113.10 korzysta z polityki VPN - WireGuard, a pozostała część bloku z polityki WebServer - Generic.

Ustawienia polityki są zachowywane dla adresu Additional IP, gdy przenosisz go między swoimi usługami. Są one resetowane tylko wtedy, gdy adres zmienia właściciela lub gdy jego usługa zostaje zakończona.

Krok 1 — Aktywacja profilowania

Aktywacja jest wymagana tylko raz dla każdego konta.

1. Zaloguj się do konsoli OVHcloud.

2. W fazie beta kliknij Odkryj konsolę >BETA_ w prawym górnym rogu.

3. W menu bocznym przejdź do sekcji Bezpieczeństwo > Anti-DDoS, a następnie otwórz kartę Profiling.

4. Kliknij Activate profiling.

   Postępuj zgodnie z wyświetlonymi instrukcjami, jeśli się pojawią, aby dokończyć aktywację. Nie jest pobierana żadna opłata.

Po zakończeniu aktywacji karta Profiling wyświetla listę zdefiniowanych przez Ciebie polityk. Aktywacja profilowania nie zmienia ustawień ochrony żadnego adresu IP, dopóki nie dodasz go do polityki.

Krok 2 — Tworzenie polityki

1. Na karcie Profiling kliknij Create a policy.
2. W polu Name wpisz nazwę identyfikującą obciążenie robocze, na przykład vpn-concentrators.
3. Na liście Network traffic profile wybierz profil odpowiadający Twojemu obciążeniu roboczemu. Jego opis wyświetla się pod listą.
4. Ustaw wartość w polu Sensitivity. Zacznij od Medium, chyba że już wiesz, w którą stronę należy dostosować ochronę.
5. Kliknij Create policy.

Adresy IP dodajesz po utworzeniu polityki. Do tego czasu polityka ma status Not configured: nie ma jeszcze zastosowania do żadnego adresu.

Krok 3 — Dodawanie adresów IP

1. Na liście polityk kliknij nazwę polityki lub kliknij przycisk ... na końcu jej wiersza, a następnie Edit.
2. W sekcji Targets panelu Edit policy kliknij pole Add an IP…. Lista zawiera bloki IP i pojedyncze adresy IP dostępne na Twoim koncie. Wpisz początek adresu, aby przefiltrować listę.
3. Wybierz adres lub cały blok. Jeśli Twoje serwery znajdują się w ciągłym bloku, dodaj blok zamiast poszczególnych adresów.
4. Po wybraniu bloku IP możesz zmodyfikować wybór w polu wprowadzania: zamiast całego bloku wpisz jedną z jego podsieci lub pojedynczy adres IP z tego bloku.
5. Powtórz te czynności dla każdego adresu lub bloku, a następnie kliknij Save changes. Wyświetli się komunikat potwierdzający.

Od tej chwili ochrona Anty-DDoS VAC tego adresu jest zgodna z profilem i czułością polityki, a nie z ustawieniami ogólnymi. Zmiana odbywa się w tle: do momentu jej zastosowania adres jest oznaczony jako Pending, a następnie oznaczenie znika.

Jeśli dodawany adres ma już starsze ustawienia Anty-DDoS, które nie zostały skonfigurowane przez politykę, na przykład niestandardowe ustawienia zastosowane przez zespoły pomocy technicznej OVHcloud, podczas zapisywania otworzy się okno Legacy Anti-DDoS settings detected. Aby mimo to zastosować politykę, zaznacz pole I understand, a następnie kliknij Overwrite and save. W ten sposób przejmujesz kontrolę nad ustawieniami ochrony adresu IP i możesz je zmieniać, korzystając z najnowszych opcji profilowania.

Odczytywanie statusów

Lista polityk pokazuje dla każdej polityki jej profil ruchu sieciowego, czułość, liczbę adresów IP, ostatni wykryty atak i status. Możesz ją filtrować według profilu, czułości i statusu.

Zarządzanie politykami

Każda polityka ma przycisk akcji (...) na końcu swojego wiersza na liście polityk, z następującymi opcjami:

Monitorowanie efektu polityki

Polityka zmienia to, który ruch jest poddawany mitygacji, dlatego oceniaj ją, porównując aktywność mitygacji przed jej zastosowaniem i po nim.

W konsoli OVHcloud (w fazie beta otwórz ją za pomocą przycisku Odkryj konsolę >BETA_ w prawym górnym rogu) przejdź do sekcji Bezpieczeństwo > Anti-DDoS. Karta Dashboard zawiera listę ataków wykrytych na Twoich adresach, a w trakcie zdarzeń wykrywania karta Ruch pokazuje prawidłowy ruch wybranego adresu oraz ruch przefiltrowany podczas ataków poddanych mitygacji. Skuteczna polityka filtruje mniej ruchu podczas szczytów prawidłowego ruchu i nie mniej podczas rzeczywistych ataków. Więcej informacji na temat ataków wykrytych na Twoich usługach znajdziesz w przewodniku Monitorowanie ataków DDoS za pomocą panelu Anti-DDoS.

Jeśli profil nie działa zgodnie z oczekiwaniami, poinformuj nas o tym za pomocą linku Do you like it? u góry strony Profiling. W fazie beta to właśnie dzięki tym opiniom katalog jest ulepszany.

Ograniczenia

Rozwiązywanie problemów

Jeśli profil jest zastosowany, a problem nie ustępuje, przechwycenie ruchu (pcap) z przepływów, których dotyczy problem, pomoże zespołowi pomocy technicznej go przeanalizować.

Sprawdź również

Monitorowanie ataków DDoS za pomocą panelu Anti-DDoS

Aktywacja i konfiguracja Edge Network Firewall

Dołącz do grona naszych użytkowników.