华为云 Anti-DDoS 防护策略：抵御大流量攻击

前言

分布式拒绝服务攻击（DDoS）是常见的网络攻击方式，通过大流量压垮目标服务。华为云提供多层 DDoS 防护能力。本文介绍防护策略和配置方法。

DDoS 攻击类型

网络层攻击

SYN Flood：发送大量 SYN 包耗尽连接队列。
UDP Flood：发送大量 UDP 包占用带宽。
ICMP Flood：发送大量 ICMP 包占用带宽。
反射放大：利用开放服务放大攻击流量。

应用层攻击

HTTP Flood：发送大量 HTTP 请求耗尽服务器资源。
慢速攻击：建立连接后缓慢发送数据占用连接。
CC 攻击：模拟正常用户高频访问。

华为云防护体系

Anti-DDoS 基础防护

所有华为云公网 IP 默认提供基础 Anti-DDoS 防护，免费。当检测到攻击流量时自动清洗，无需配置。

DDoS 高防

对于大流量攻击，基础防护可能不够。DDoS 高防提供更大的防护带宽和专业清洗能力：

独享高防：独享防护带宽，支持 T 级防护。
共享高防：共享防护带宽，成本更低。

WAF 应用层防护

WAF 专注应用层攻击防护，与 Anti-DDoS 配合形成完整防护体系。Anti-DDoS 防网络层，WAF 防应用层。

Anti-DDoS 配置

防护阈值

配置流量阈值触发清洗：

流量阈值：入方向流量超过阈值触发清洗。
包速率阈值：入方向包速率超过阈值触发清洗。
设置合理的阈值，太低会误触发清洗影响正常流量，太高会延迟清洗。

清洗策略

清洗策略定义检测和过滤规则：

源 IP 限速：限制单 IP 的请求速率。
连接数限制：限制单 IP 的并发连接数。
异常包过滤：过滤畸形和异常协议包。
源统计过滤：统计源 IP 行为模式，异常的加入黑名单。

防护模式

默认防护：自动检测自动清洗，适合大多数场景。
手动防护：手动触发清洗，适合已知攻击场景。
永久防护：持续清洗所有流量，适合高安全要求场景。

DDoS 高防配置

添加防护域名

在高防控制台添加防护域名，配置源站地址。高防 IP 替换原公网 IP，流量先到高防清洗再回源。

DNS 切换

修改 DNS 解析将域名指向高防 IP。非攻击时流量直接到高防转发，攻击时高防清洗后转发。

回源配置

配置回源方式：直连回源或通过 ELB 回源。配置回源端口和协议，确保高防到源站连通。

非网站防护

除了域名防护，高防还支持端口防护。配置 TCP 或 UDP 端口转发规则，保护非 HTTP 服务如游戏服务器和数据库。

监控告警

流量监控

实时监控入方向流量、清洗流量和回源流量。攻击发生时流量突增，清洗流量相应增加。

攻击事件

记录每次攻击的详细信息：攻击类型、攻击流量峰值、攻击持续时间、清洗结果。

告警通知

配置告警规则，攻击发生时通过邮件、短信通知。设置告警阈值避免频繁告警。

应急响应

攻击发生时

确认攻击：查看流量监控确认是否遭受攻击。
检查防护状态：确认 Anti-DDoS 是否已自动清洗。
升级防护：如果基础防护不够，紧急购买高防。
切换 DNS：将 DNS 指向高防 IP 引流到清洗节点。

攻击后分析

分析攻击日志：了解攻击类型、来源和规模。
评估防护效果：检查是否有流量穿透到源站。
优化防护策略：根据攻击特征调整清洗规则和阈值。

常见问题

问：基础防护能防多大流量？
答：基础防护默认提供一定量的免费清洗带宽，具体取决于区域和实例类型。大流量攻击需要购买高防。

问：高防会影响正常用户访问吗？
答：高防清洗会略微增加时延，通常在 10 毫秒以内。正常流量不受影响，只有攻击流量被过滤。

总结

华为云提供从基础 Anti-DDoS 到高防的多层防护。合理配置清洗阈值和策略，配合 WAF 防护应用层攻击。建立监控告警和应急响应流程，攻击发生时快速反应保障业务可用。