DDoS基础防护(1)
DDoS基础防护服务可以有效防止云服务器ECS实例受到恶意攻击，从而保证ECS系统的稳定，即当流入ECS实例的流量超出实例规格对应的限制时，云盾就会帮助ECS实例限流，避免ECS系统出现问题。
阿里云云盾默认为ECS实例免费提供最大5 Gbit/s恶意流量攻击，不同实例规格的免费防护流量不同，您可以登录云盾DDoS防护管理控制台查看实际防护阈值，详情请参见 云盾DDoS基础防护黑洞阈值。
DDoS基础防护工作原理
启用DDoS基础防护后，云盾会实时监控进入ECS实例的流量。当监测到超大流量或者包括DDoS攻击在内的异常流量时，在不影响正常业务的前提下，云盾会将可疑流量从原始网络路径中重定向到净化产品上，识别并剥离恶意流量，并将还原的合法流量回注到原始网络中转发给目标ECS实例。这一过程，就是 流量清洗。更详细的信息，请参见 DDoS防护-产品架构。
 | 说明 |
| 启用了DDoS基础防护的ECS实例，当来自互联网的流量大于5 Gbit/s时，为保护整个集群的安全，阿里云会让相应ECS实例进入黑洞，丢弃进入该实例的所有流量，屏蔽公网对它的所有访问。详细信息，请参见 DDoS防护指南 -阿里云黑洞策略。 |
流量清洗的触发条件包括：
- 流量模型的特征。当流量符合攻击流量特征时，就会触发清洗。
- 流量大小。DDoS攻击一般流量都非常大，通常都以Gbit/s为单位，因此，当进入ECS实例的流量达到设置的阈值时，无论是否为正常业务流量，云盾都会启动流量清洗。
流量清洗的方法包括：过滤攻击报文、限制流量速度、限制数据包速度等。
所以，在使用DDoS基础防护时，您需要设置以下阈值：
- BPS清洗阈值：当入方向流量超过BPS清洗阈值时，会触发流量清洗。
- PPS清洗阈值：当入方向数据包数超过PPS清洗阈值时，会触发流量清洗。
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
阿里云的DDoS基础防护服务是为云服务器ECS实例设计的安全保障措施，旨在有效抵御恶意流量攻击，确保ECS系统的稳定运行。以下是关于DDoS基础防护的关键信息和操作指导：
DDoS基础防护概述
- 功能：自动限流保护ECS实例免受DDoS攻击影响，当检测到流入ECS实例的流量超出规格限制时，将实施限流，防止系统过载或服务中断。
- 免费提供：默认为所有ECS实例免费提供最大5 Gbit/s的DDoS防护能力，不同实例规格享有不同的免费防护流量额度。实际防护阈值可登录云盾DDoS防护管理控制台查看。
工作原理
- 实时监控：云盾持续监测ECS实例的入站流量，对异常大流量或疑似DDoS攻击行为保持警惕。
- 流量清洗：一旦发现攻击流量，系统会智能地将可疑流量从主路径重定向至净化设备，通过高级算法识别并过滤掉恶意数据包，仅将合法流量回注至目标ECS实例，保证业务连续性。
- 黑洞策略：若ECS实例遭遇的互联网流量超过5 Gbit/s，为维护集群安全，该实例会被暂时置于“黑洞”状态，拒绝所有公网访问，直至攻击缓解。
配置与管理
- 设置清洗阈值：
- BPS清洗阈值：定义入向流量触发清洗的上限（比特每秒）。
- PPS清洗阈值：设定入向数据包数触发清洗的界限（包每秒）。
- 操作步骤：登录云盾控制台，选择相应ECS实例，根据实例规格和业务需求配置上述阈值，以优化防护效果。
注意事项
- 黑洞机制：了解并准备应对进入黑洞状态的可能性，适时调整防护策略或升级防护等级以应对大规模攻击。
- 费用意识：虽然基础防护免费，但超出免费额度或需更高级别防护时，可能涉及额外费用。
综上所述，阿里云的DDoS基础防护服务通过智能化监控、精准流量清洗及黑洞策略等手段，为ECS实例提供了坚实的安全防线。用户应充分利用控制台工具，合理配置防护阈值，确保在遭受攻击时能迅速响应，维持业务稳定运行。
