什么是DDoS原生高级防护

什么是DDoS原生高级防护？

DDoS原生高级防护（Cloud Native Anti-DDoS，CNAD）是华为云推出的针对华为云ECS、ELB、WAF、EIP等云服务直接提升其DDoS防御能力的安全服务。DDoS原生高级防护对华为云弹性公网IP生效，通过简单的配置，DDoS原生高级防护提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力，确保云服务上的业务安全、可靠。

DDoS原生防护-全力防高级版只能防护专属EIP。

您可以提交工单联系DDoS防护团队开通专属EIP购买权限。

工作原理

图1 架构图

DDoS原生高级防护通过实时检测、自动牵引、多层清洗、流量回流四个步骤保障用户业务稳定运行：

• 实时检测：对EIP入方向流量进行实时检测，基于流量基线自动识别攻击。
• 自动牵引：攻击流量超过清洗阈值时，BGP自动将流量牵引至清洗中心。
• 多层清洗：清洗中心执行L3-L7多层过滤，过滤恶意流量。
• 流量回流：清洗后的正常流量回流至业务服务器，业务无感知。

功能特性

DDoS原生高级防护支持以下防护功能：

• 透明接入

  无需修改域名解析、设置源站保护，可以直接对华为云上公网IP资源进行防护。

• 全力防护

  华为云根据当前区域下DDoS本地清洗中心的网络和资源能力，尽可能帮助您防御DDoS攻击。全力防护的防护能力随着华为云网络能力的不断提升而相应提升。

• 联动防护

  开启联动防护后，可自动联动调度DDoS高防对DDoS原生高级防护对象中的云资源进行防护。

• IPv4/IPv6双协议防护

  支持同时为IPv6和IPv4两种类型的IP提供防护，满足您对IPv6类型业务防护需求。

• 流量清洗

  DDoS原生高级防护检测到IP的入流量超过设置的阈值时，触发流量清洗。

• IP黑白名单

  通过配置IP黑名单或IP白名单来封禁或者放行访问DDoS原生高级防护的源IP，从而限制访问您业务资源的用户。

• 协议封禁

  根据协议类型一键封禁访问DDoS原生高级防护的源流量。例如，访问DDoS原生高级防护的源流量如果没有UDP（User Datagram Protocol，用户数据报协议）业务，建议封禁UDP协议。

实例规格差异

快速使用DDoS原生高级防护

1. 购买DDoS原生防护实例。如果首次购买请给账号授权。

   通过IAM授权，详细请参考通过IAM角色或策略授予使用AAD的权限。

   在指定区域购买DDoS原生防护实例，详细请参考购买实例。

2. 根据业务需求配置防护策略。详细请参考添加防护策略。
3. 将公网IP资源添加为防护对象。详细请参考添加防护对象。
4. 开启防护日志，通过LTS记录的CNAD日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。详细请参考开启日志记录。
5. 设置监控规则，可查看业务流量数据。详细请参考使用CES服务监控实例和防护IP。
6. 公网IP遭受攻击后，详情可通过查看数据报表。

常见问题

• 什么是全力防护？
• DDoS原生高级防护能够防护几层攻击？
• 什么是DDoS攻击