# 什么是DDoS原生高级防护 #### 什么是DDoS原生高级防护？ DDoS原生高级防护（Cloud Native Anti-DDoS，CNAD）是华为云推出的针对华为云ECS、ELB、WAF、EIP等云服务直接提升其DDoS防御能力的安全服务。DDoS原生高级防护对华为云弹性公网IP生效，通过简单的配置，DDoS原生高级防护提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力，确保云服务上的业务安全、可靠。 ![](https://support.huaweicloud.com/productdesc-aad/public_sys-resources/notice_3.0-zh-cn.png) DDoS原生防护-全力防高级版只能防护专属EIP。 您可以[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)联系DDoS防护团队开通专属EIP购买权限。 #### 工作原理 图1架构图 ![](https://support.huaweicloud.com/productdesc-aad/zh-cn_image_0000002625164680.png) DDoS原生高级防护通过实时检测、自动牵引、多层清洗、流量回流四个步骤保障用户业务稳定运行： - 实时检测：对EIP入方向流量进行实时检测，基于流量基线自动识别攻击。 - 自动牵引：攻击流量超过清洗阈值时，BGP自动将流量牵引至清洗中心。 - 多层清洗：清洗中心执行L3-L7多层过滤，过滤恶意流量。 - 流量回流：清洗后的正常流量回流至业务服务器，业务无感知。 #### 功能特性 DDoS原生高级防护支持以下防护功能： - 透明接入 无需修改域名解析、设置源站保护，可以直接对华为云上公网IP资源进行防护。 - 全力防护 华为云根据当前区域下DDoS本地清洗中心的网络和资源能力，尽可能帮助您防御DDoS攻击。全力防护的防护能力随着华为云网络能力的不断提升而相应提升。 - 联动防护 开启联动防护后，可自动联动调度DDoS高防对DDoS原生高级防护对象中的云资源进行防护。 - IPv4/IPv6双协议防护 支持同时为IPv6和IPv4两种类型的IP提供防护，满足您对IPv6类型业务防护需求。 - 流量清洗 DDoS原生高级防护检测到IP的入流量超过设置的阈值时，触发流量清洗。 - IP黑白名单 通过配置IP黑名单或IP白名单来封禁或者放行访问DDoS原生高级防护的源IP，从而限制访问您业务资源的用户。 - 协议封禁 根据协议类型一键封禁访问DDoS原生高级防护的源流量。例如，访问DDoS原生高级防护的源流量如果没有UDP（User Datagram Protocol，用户数据报协议）业务，建议封禁UDP协议。 #### 实例规格差异 表1DDoS原生高级防护实例规格 | 类别 | DDoS原生防护1.0 ||| **DDoS原生防护2.0** || | 版本 | **标准版** | **全力防基础版** | **全力防高级版** | 企业版 | 中小企业版 | |:---|:---|:---|:---|:---|:---| | 计费类型 | 包年包月 | 包年包月 | 包年包月 | - 实例为包年包月计费。 - 公网线路计费模式支持包年包月和按需计费。 | - 实例为包年包月计费。 - 公网线路计费模式只支持包年包月。 | | 防护对象 | 华为云全动态BGP EIP | 华为云全动态BGP EIP | DDoS防护专属EIP | - 中国大陆：全动态BGP EIP、DDoS防护专属EIP - 中国大陆外：DDoS防护专属EIP | 中国大陆：全动态BGP EIP、DDoS防护专属EIP | | 防护区域 | 单区域防护 | 单区域防护 | 单区域防护 | - 中国大陆：多区域防护。 - 中国大陆外：当前仅支持香港、新加坡。 | 中国大陆：国内任选1个区域的资源进行防护。 | | 支持协议 | 单实例同时支持IPv4和IPv6 | 单实例同时支持IPv4和IPv6 | 单实例仅支持IPv4 | 单实例同时支持IPv4和IPv6 | 单实例仅支持IPv4或IPv6其中一种，不支持同时选择 | | 对象数量（每个实例） | 1个 | 50-500个 | 50-500个 | 50-1000个 | 1-1000个 | | 业务带宽 | 100Mbps | 100Mbps-20Gbps | 100Mbps-10Gbps | 100Mbps-20Gbps | 50Mbps-20Gbps | | 防护次数 | 10次 | 无限制 | 无限制 | 无限制 | 2次 | | 防护能力 | 20Gbps | - 共享全力防护，不低于20Gbps，最高可达数百Gbps。 - 业务带宽超限后，防护能力降到10Gbps到20Gbps。 | - 共享全力防护，最高可达1Tbps。 - 业务带宽超限后，防护能力降到10Gbps到20Gbps。 | **中国大陆** - 全动态BGP EIP：共享全力防护，不低于20Gbps，最高可达数百Gbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。 - DDoS防护专属EIP：共享全力防护，不低于20Gbps，最高可达1Tbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。 **中国大陆外** - DDoS防护专属EIP：共享全力防护，最高可达1Tbps。业务带宽超限后，防护能力降到最大5Gbps。 | **中国大陆** - 全动态BGP EIP：共享全力防护，不低于20Gbps，最高可达数百Gbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。防护次数超限后，防护能力降到10Gbps到20Gbps。 - DDoS防护专属EIP：共享全力防护，不低于20Gbps，最高可达1Tbps。业务带宽超限后，防护能力降到10Gbps到20Gbps。防护次数超限后，防护能力降到10Gbps到20Gbps。 | #### 快速使用DDoS原生高级防护 1. 购买DDoS原生防护实例。如果首次购买请给账号授权。 通过IAM授权，详细请参考[通过IAM角色或策略授予使用AAD的权限](https://support.huaweicloud.com/usermanual-aad/aad_01_0086.html)。 在指定区域购买DDoS原生防护实例，详细请参考[购买实例](https://support.huaweicloud.com/usermanual-aad/aad_01_0033.html)。 2. 根据业务需求配置防护策略。详细请参考[添加防护策略](https://support.huaweicloud.com/usermanual-aad/aad_01_0036.html)。 3. 将公网IP资源添加为防护对象。详细请参考[添加防护对象](https://support.huaweicloud.com/usermanual-aad/aad_01_0034.html)。 4. 开启防护日志，通过LTS记录的CNAD日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。详细请参考[开启日志记录](https://support.huaweicloud.com/usermanual-aad/aad_01_0501.html)。 5. 设置监控规则，可查看业务流量数据。详细请参考[使用CES服务监控实例和防护IP](https://support.huaweicloud.com/usermanual-aad/aad_01_0490.html)。 6. 公网IP遭受攻击后，详情可通过[查看数据报表](https://support.huaweicloud.com/usermanual-aad/aad_01_0043.html)。 #### 常见问题 - [什么是全力防护？](https://support.huaweicloud.com/aad_faq/aad_01_0146.html) - [DDoS原生高级防护能够防护几层攻击？](https://support.huaweicloud.com/aad_faq/aad_01_0306.html) - [什么是DDoS攻击](https://support.huaweicloud.com/productdesc-aad/aad_01_0006.html)