【最佳实践】用户Bucket如何防御DDOS攻击？

简介： 第一章：OSS沙箱说明阿里云OSS不承担网络攻击的防护义务。如果用户的Bucket正在遭受攻击或者有受攻击的风险，OSS会自动将被攻击的Bucket切入到沙箱。沙箱中的Bucket仍然可以正常响应请求，但是用户有可能明显感受到该Bucket服务质量的下降。

+关注继续查看

第一章：OSS沙箱说明

阿里云OSS不承担网络攻击的防护义务。用户账号下的Bucket遭受攻击后，OSS会自动将用户的Bucket切入到沙箱。沙箱中的Bucket仍然可以正常响应请求，但是用户有可能明显感受到该Bucket服务质量的下降。

注：沙箱介绍：沙箱介绍

第二章：借助于高防IP，OSS抵御DDOS攻击

如果您的业务有可能遭受DDOS攻击，可以按照如下方式进行配置。

   - “防护网站”：填写用户自定义的域名；
   - “协议类型”：根据实际访问请求方式，合理配置；
   - “源站IP/域名”：此处填写OSS的默认域名；

因安全因素，Bucket默认域名解析的IP是会发生随机变化。对于期望使用固定IP方式访问的客户来说。推荐使用通过ECS搭建反向代理方式进行访问。因此，ECS上的EIP可以绑定高防IP以抵御DDOS攻击和CC攻击。具体可以按照如下方式进行配置：

1.“防护域名”：此处填写用户自定义的域名；
2.“协议类型”：此处根据实际需求，选择对应的访问方式。OSS默认提供的是Restful API访问方式；
3.“源站IP/域名”：此处填写ECS上的公网IP；

方案名称	方案1：绑定域名+高防IP方式	方案2：ECS反向代理+高防IP方式
优势	配置简单--支持控制台图形化设置	1.解决方案具有通用性--能够为已进入沙箱和未进入沙箱的Bucket提供防护能力； 2.适合于通过固定IP访问OSS的场景；
劣势	应用场景有局限性--只能针对未进入沙箱的Bucket提供防护	1.配置复杂。需要用户自定搭建nginx反向代理； 2.方案成本高--需要额外购买ECS搭建反向代理；

场景1. 若用户账号下的Bucket曾多次遭受攻击。那么，该用户后续新建的Bucket默认也会进入沙箱。此时，针对新建Bucket的安全访问措施如下：

 1.购买DDOS防护产品；
 2.通过工单系统提交“新建Bucket默认不进入沙箱申请”；
 3.申请通过后，按照“2.1章节 绑定域名+高防IP方式防御DDOS攻击”；

场景2. 针对已经进入沙箱的Bucket。阿里云不提供迁出服务。因此，针对已经进入沙箱的Bucket，建议按照方式2配置安全防护措施；

【注意】:建议在Bucket所在的Region搭建ECS，并且proxy_pass 填写bucket内网域名地址；