# 如何选择DDoS防护产品 针对DDoS攻击，华为云提供多种安全防护方案，您可以根据您的实际业务选择合适的防护方案。华为云DDoS防护服务（Anti-DDoS Service，简称AAD）提供了DDoS原生基础防护（Anti-DDoS流量清洗）、DDoS原生高级防护和DDoS高防三个子服务。 其中，Anti-DDoS流量清洗为免费服务，DDoS原生高级防护和DDoS高防为收费服务。 图1DDoS防护分支介绍 ![](https://support.huaweicloud.com/productdesc-aad/zh-cn_image_0000002603202487.png) #### 各服务防护方案说明 各子服务详细介绍如[表1]所示。 表1DDoS防护方案说明 | 子服务 | 简介 | 应用场景 | DDoS攻击防御能力 | |:---|:---|:---|:---| | DDoS原生基础防护（Anti-DDoS流量清洗） | 通过对互联网访问公网IP的业务流量进行实时监测，及时发现异常DDoS攻击流量。在不影响正常业务的前提下，根据用户配置的防护策略，清洗掉攻击流量。同时，Anti-DDoS为用户生成监控报表，清晰展示网络流量的安全状况。 | 使用华为云即可使用Anti-DDoS流量清洗服务，可以满足华为云内弹性公网IP（IPv4和IPv6）较低安全防护需求。 | 为普通用户免费提供2Gbps（瞬时峰值）的DDoS攻击防护，最高可达5Gbps（瞬时峰值）（具体视华为云可用带宽情况）。 说明： 华为云各区域的防护阈值保持一致。 | | DDoS原生高级防护 | 为提升华为云ECS、ELB、WAF、EIP等云服务的DDoS防御能力，华为云推出DDoS原生高级防护。 DDoS原生高级防护对华为云上的IP生效，无需更换IP地址，通过简单的配置，提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力。 | DDoS原生高级防护适用于部署在华为云服务上，且华为云服务有公网IP资源的业务，能够满足业务规模大、对网络质量要求高的用户。 DDoS原生高级防护适用于具有以下特征的业务： - 偶尔遭受DDoS攻击 说明： 如果您需要Tbps级别的云原生防护能力，建议您选择：DDoS原生高级防护-全力防高级版。 - 业务部署在华为云服务上，且云服务能提供公网IP资源 须知： DDoS原生防护-全力防高级版的EIP必须为全力防护专属资源池中的EIP。 - 业务带宽或QPS较大 例如，在线视频、直播等对业务带宽要求比较高的领域。 - IPv6类型业务防护需求 - 华为云上公网IP资源较多 业务中大量端口、域名、IP需要DDoS攻击防护 须知： DDoS原生高级防护和WAF联动防护时，只能和云模式WAF配合使用，详细操作请参见[华为云"DDoS原生高级防护+云模式WAF（ELB接入）"联动防护](https://support.huaweicloud.com/bestpractice-aad/aad_06_0011.html)。 | - DDoS原生标准版：20G - DDoS原生防护-全力防基础版 共享全力防护，防护能力不低于20G。 - DDoS原生防护-全力防高级版 共享全力防护，防护能力最高可达1T。 除了支付防护费用，同时需要支付专属资源EIP和业务带宽费用。 | | DDoS高防 | DDoS高防通过高防IP代理源站IP对外提供服务，将所有的公网流量都引流至高防IP，进而隐藏源站，避免源站（用户业务）遭受大流量DDoS攻击。 | 支持华为云、非华为云及IDC的互联网主机。 DDoS高防服务适用于如下场景： 业务频繁遭受DDoS攻击，需要持续性的防护，保障业务的连续性。 须知： - DDoS高防不支持接入未经ICP备案的域名。如果您需要使用DDoS高防防护网站业务，请确认网站域名已经完成ICP备案。 - 中国内地用户访问内地以外地区的网络访问质量无法保证。 | 15T以上DDoS高防总体防御能力，单IP最高1T防御能力，抵御各类网络层、应用层的DDoS攻击。 - 15T是指DDoS高防机房的整体防御能力 - 1T是指单个高防IP的最大防护能力 | #### 服务版本差异 表2服务版本差异 | 产品 | DDoS原生基础防护 | DDoS原生高级防护 | DDoS高防 | |:---|:---|:---|:---| | 计费类型 | 免费 | 包年包月，支持干净流量按需计费。 | 包年包月，支持"保底+弹性"防护带宽。 | | 防护对象 | 华为云内EIP | - 华为云内EIP - [DDoS防护专属EIP](https://support.huaweicloud.com/aad_faq/aad_01_0372.html) | 中国大陆：互联网可访问域名或IP端口 中国大陆外：互联网可访问域名或IP端口 | | 接入模式 | 透明接入，华为云原生网络防护，时延低。 | 透明接入，华为云原生网络防护，时延低。 | DNS牵引接入或IP接入，多线BGP，防护能力强。 | | 防护能力 | - 中国大陆：不高于5Gbps - 中国大陆外：不高于500Mbps | 20Gbps到1Tbps，不同实例规格防护能力不同。 具体防护能力请参见[表2](https://support.huaweicloud.com/productdesc-aad/aad_01_0421.html#aad_01_0421__table10497181314510)。 | 最高可达1Tbps。 不同接入类型实例不可混用，具体请参见[表3](https://support.huaweicloud.com/productdesc-aad/aad_01_0421.html#aad_01_0421__table898444511583)。 | | 防护攻击类型 | - 畸形报文 - SYN Flood攻击等传输层DDoS攻击 | - 畸形报文 - SYN Flood攻击等传输层DDoS攻击 - 连接型DDoS攻击 - DNS DDoS攻击 - Web应用层DDoS攻击 | - 畸形报文 - SYN Flood攻击等传输层DDoS攻击 - 连接型DDoS攻击 - DNS DDoS攻击 - Web应用层DDoS攻击 | 表3DDoS原生高级防护实例规格 | 类别 | DDoS原生防护1.0 ||| **DDoS原生防护2.0** || | 版本 | **标准版** | **全力防基础版** | **全力防高级版** | 企业版 | 中小企业版 | |:---|:---|:---|:---|:---|:---| | 计费类型 | 包年包月 | 包年包月 | 包年包月 | - 实例为包年包月计费。 - 公网线路计费模式支持包年包月和按需计费。 | - 实例为包年包月计费。 - 公网线路计费模式只支持包年包月。 | | 防护对象 | 华为云全动态BGP EIP | 华为云全动态BGP EIP | DDoS防护专属EIP | - 中国大陆：全动态BGP EIP、DDoS防护专属EIP - 中国大陆外：DDoS防护专属EIP | 中国大陆：全动态BGP EIP、DDoS防护专属EIP | | 防护区域 | 单区域防护 | 单区域防护 | 单区域防护 | - 中国大陆：多区域防护。 - 中国大陆外：当前仅支持香港、新加坡。 | 中国大陆：国内任选1个区域的资源进行防护。 | | 支持协议 | 单实例同时支持IPv4和IPv6 | 单实例同时支持IPv4和IPv6 | 单实例仅支持IPv4 | 单实例同时支持IPv4和IPv6 | 单实例仅支持IPv4或IPv6其中一种，不支持同时选择 | | 对象数量（每个实例） | 1个 | 50-500个 | 50-500个 | 50-1000个 | 1-1000个 | | 业务带宽 | 100Mbps | 100Mbps-20Gbps | 100Mbps-10Gbps | 100Mbps-20Gbps | 50Mbps-20Gbps | | 防护次数 | 10次 | 无限制 | 无限制 | 无限制 | 2次 | | 防护能力 | 20Gbps | - 共享全力防护，不低于20Gbps，最高可达数百Gbps。 - 业务带宽超限后，防护能力降到10Gbps到20Gbps。 | - 共享全力防护，最高可达1Tbps。 - 业务带宽超限后，防护能力降到10Gbps到20Gbps。 | **中国大陆** - 全动态BGP EIP：共享全力防护，不低于20Gbps，最高可达数百Gbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。 - DDoS防护专属EIP：共享全力防护，不低于20Gbps，最高可达1Tbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。 **中国大陆外** - DDoS防护专属EIP：共享全力防护，最高可达1Tbps。业务带宽超限后，防护能力降到最大5Gbps。 | **中国大陆** - 全动态BGP EIP：共享全力防护，不低于20Gbps，最高可达数百Gbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。防护次数超限后，防护能力降到10Gbps到20Gbps。 - DDoS防护专属EIP：共享全力防护，不低于20Gbps，最高可达1Tbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。防护次数超限后，防护能力降到10Gbps到20Gbps。 | 表4DDoS高防实例规格 | 项目 | DDoS高防-网站类 | DDoS高防-IP接入 | |:---|:---|:---| | 计费类型 | 包年包月 | 包年包月 | | 防护对象 | 互联网可访问的域名 | 互联网可访问的IP端口 | | 防护区域 | 中国大陆、中国大陆外 | 中国大陆、中国大陆外 | | 支持协议 | - 中国大陆： 单实例仅支持IPv4或IPv6其中一种，不支持同时选择 - 中国大陆外： 单实例仅支持IPv4 | - 中国大陆：单实例仅支持IPv4或IPv6其中一种，不支持同时选择 - 中国大陆外：单实例仅支持IPv4 | | 对象数量（每个实例） | - 中国大陆：最大500个 - 中国大陆外：最大200个 | - 中国大陆：最大500个 - 中国大陆外：最大200个 | | 业务带宽 | 最大2000Mbps | 最大2000Mbps | | 弹性业务带宽 | 支持 | 支持 | | 防护能力 | 最大1Tbps | 最大1Tbps | | QPS | 最大100000QPS | - | #### 各服务支持的DDoS攻击类型 表5DDoS防护支持的业务类型 | DDoS攻击类型 | 攻击类型说明 | DDoS原生基础防护（Anti-DDoS流量清洗） | DDoS原生高级防护 | DDoS高防 | |:---|:---|:---|:---|:---| | 畸形报文 | 畸形报文攻击指通过发送不正确格式或异常的网络数据包，利用目标系统的漏洞，导致系统崩溃、服务中断或安全漏洞。常见的畸形报文攻击类型包括Ping of Death、Teardrop攻击、SYN Flood攻击、UDP Flood攻击、TCP Fragment Overlap攻击和IP Spoofing攻击。 | √ | √ | √ | | 传输层DDoS攻击 | 传输层DDoS攻击指通过大量恶意流量淹没目标系统的网络带宽和资源，导致服务中断或响应延迟。常见的传输层DDoS攻击类型包括SYN Flood攻击、ACK Flood攻击、RST Flood攻击、UDP Flood攻击、TCP连接耗尽攻击和TCP SYN-ACK Flood攻击。 | √ SYN Flood攻击（小包攻击）防御效果一般，推荐使用DDoS原生高级防护或DDoS高防。 | √ | √ | | DNS DDoS攻击 | DNS DDoS攻击指通过大量恶意流量淹没DNS服务器，导致域名解析失败，影响网站和应用的可用性。常见的DNS DDoS攻击类型包括DNS Flood攻击、DNS放大攻击、DNS缓存中毒攻击、DNS反射攻击、DNS水坑攻击和DNS隧道攻击。 | × | × | √ | | 连接型DDoS攻击 | 连接型DDoS攻击指通过大量建立和维持连接，消耗目标系统的连接资源，使其无法处理新的合法连接请求，导致服务中断或响应延迟。常见的连接型DDoS攻击类型包括SYN Flood攻击、Slowloris攻击、RUDY攻击、HTTP GET Flood攻击、TCP连接耗尽攻击和HTTP慢速攻击。 | × | 仅全力防高级版支持 | √ | | Web应用层DDoS攻击 | Web应用层DDoS攻击指通过大量恶意请求消耗目标系统的应用资源，导致服务中断或响应延迟。常见的Web应用层DDoS攻击类型包括HTTP Flood攻击、慢速攻击（Slowloris攻击）、RUDY攻击、HTTP慢速攻击、API滥用攻击和CC攻击（Challenge Collapsar攻击）。 | × | × 推荐使用[华为云"DDoS原生高级防护+云模式WAF（ELB接入）"联动防护](https://support.huaweicloud.com/bestpractice-aad/aad_06_0011.html)。 | √ | ![](https://support.huaweicloud.com/productdesc-aad/public_sys-resources/note_3.0-zh-cn.png) - √：表示支持。 - ×：表示不支持。 #### DDoS攻击防护效果建议 随着DDoS攻击形态持续演变，华为云DDoS防护服务针对DDoS攻击提供了安全防护方案，产品包含DDoS原生基础防护、DDoS原生防护和DDoS高防三个版本，您可以根据实际业务选择合适的防护方案。 - DDoS原生基础防护：根据业务流量调整合适的清洗阈值。具体操作请参见[设置流量清洗阈值拦截攻击流量](https://support.huaweicloud.com/usermanual-aad/aad_01_0020.html)。 - DDoS原生防护：您可以根据业务提前设置基础防护、IP黑白名单、指纹过滤、端口封禁、协议封禁、水印防护、高级防护、区域封禁、攻击过滤等防护策略。具体操作请参考[防护策略概述](https://support.huaweicloud.com/usermanual-aad/aad_01_0035.html)。 - DDoS高防：DDoS高防提供了丰富的防护策略，您可以根据业务场景选择适合的防护策略。具体操作请参考[防护策略概述](https://support.huaweicloud.com/usermanual-aad/aad_01_0083.html)。