通过CC攻击防护规则拦截大流量高频攻击
CC（Challenge Collapsar，以下简称CC）防护对单Web应用访问者IP或者Cookie键值进行访问频率限制，超过限制时通过人机识别或阻断访问，阻断页面可自定义内容和类型，满足业务多样化需要。
在大规模CC攻击中，单台傀儡机发包的速率往往远超过正常用户的请求频率。针对这种场景，直接对请求源IP设置限速规则是最有效的办法。
本场景以WAF云模式-CNAME接入方式为例，介绍如何通过CC攻击防护规则基于IP限速拦截大流量高频攻击。
操作流程
操作步骤 |
说明 |
|---|---|
注册华为账号、开通华为云，并为账户充值、赋予WAF权限。 |
|
购买WAF，选择业务防护区域、WAF模式等信息。 |
|
将防护网站添加到WAF防护，实现WAF流量检测并转发。 |
|
配置并开启CC攻击防护规则，助力网站有效缓解CC攻击。 |
准备工作
- 在购买Web应用防火墙之前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。
如果您已开通华为云并进行实名认证，请忽略此步骤。
- 请保证账户有足够的资金，以免购买Web应用防火墙失败。具体操作请参见账户充值。
- 请确保已为账号赋予相关WAF权限。具体操作请参见创建用户组并授权使用WAF。
表1 WAF系统角色 系统角色/策略名称
描述
类别
依赖关系
WAF Administrator
Web应用防火墙服务的管理员权限。
系统角色
依赖Tenant Guest和Server Administrator角色。
- Tenant Guest：全局级角色，在全局项目中勾选。
- Server Administrator：项目级角色，在同项目中勾选。
WAF FullAccess
Web应用防火墙服务的所有权限。
系统策略
无。
WAF ReadOnlyAccess
Web应用防火墙的只读访问权限。
系统策略
步骤一：购买WAF云模式标准版
本节以购买WAF云模式标准版，通过云模式-CNAME接入方式实现CC防护为例进行介绍。
- 登录华为云管理控制台。
- 在控制台页面中选择，进入Web应用防火墙控制台。
- 在页面右上角，单击“购买WAF实例”，进入购买页面，选择“WAF模式”，完成WAF实例的购买。
- “区域”：根据防护业务的所在区域就近选择购买的WAF区域。
- “版本规格”：选择“标准版”。
- “扩展包”及“购买时长”：默认值。
- 确认参数配置无误后，在页面右下角单击“立即购买”。
- 确认订单详情无误后，阅读并勾选《Web应用防火墙免责声明》，单击“去支付”，完成购买操作。
- 进入“付款”页面，选择付款方式进行付款。
步骤二：将防护网站添加到WAF
- 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。
- 在网站列表左上角，单击“添加防护网站”。
- 选择“云模式-CNAME接入”，并单击“开始配置”。
- 在“添加域名”页面，配置信息如图1所示。
表2 重点参数说明 参数名称
说明
样例
防护域名
需要添加到WAF进行防护的域名。
www.example.com
防护端口
需要防护的域名对应的业务端口。
配置80/443端口，在下拉框中选择“标准端口”。
标准端口
服务器配置
服务器地址的配置。包括对外协议、源站协议、源站地址、源站端口和权重。
- 对外协议：客户端请求访问服务器的协议类型。包括“HTTP”、“HTTPS”两种协议类型。
- 源站协议：Web应用防火墙转发客户端请求的协议类型。包括“HTTP”、“HTTPS”两种协议类型。
- 源站地址：客户端访问的网站服务器的公网IP地址（一般对应该域名在DNS服务商处配置的A记录）或者域名（一般对应该域名在DNS服务商处配置的CNAME）。支持以下两种IP格式：
- IPv4，例如：XXX.XXX.1.1
- IPv6，例如：fe80:0000:0000:0000:0000:0000:0000:0000
- 源站端口：WAF转发客户端请求到服务器的业务端口。
- 权重：负载均衡算法将按权重将请求分配给源站。
对外协议：HTTP
源站协议：HTTP
源站地址：IPv4 XXX .XXX.1.1
源站端口：80
代理情况
- 七层代理：使用了DDoS高防（七层代理）、CDN、云加速等Web代理产品。
- 四层代理：使用了DDoS高防（四层转发）等Web代理产品。
- 无代理：未使用任何代理产品。
此处以“无代理”为例。
无代理
- 单击“下一步”，域名的基础信息配置完成。
- 根据界面提示，完成“放行回源IP”和“本地验证”。
- 完成“DNS解析”。
到该域名的DNS服务商处，配置防护域名的别名解析，具体操作请咨询您的域名服务提供商。
以下为华为云DNS的CNAME绑定方法，仅供参考。如与实际配置不符，请以各自域名服务商的信息为准。
- 在图2中复制WAF提供的CNAME值。
- 单击页面左上方的
，选择。 - 在左侧导航栏中，选择“公网域名”，进入“公网域名”页面。
- 在目标域名所在行的“操作”列，单击“管理解析”，进入“解析记录”页面。
- 在目标记录集的所在行“操作”列，单击“修改”。
- 在弹出的“修改记录集”对话框中修改记录值。
- “主机记录”：在WAF中配置的域名。
- “类型”：选择“CNAME-将域名指向另外一个域名”。
- “线路类型”：全网默认。
- “TTL(秒)”：一般建议设置为5分钟，TTL值越大，则DNS记录的同步和更新越慢。
- “值”：修改为7.a中已复制的WAF CNAME地址。
- 其他的设置保持不变。
- 单击“确定”，完成DNS配置，等待DNS解析记录生效。
步骤三：配置CC攻击防护拦截大流量高频攻击
配置示例：您可以配置以下CC规则，当一个IP在30秒内访问当前域名下任意路径的次数超过1000次，则封禁该IP的请求10个小时。该规则可以作为一般中小型站点的预防性配置。
- 在左侧导航树中，选择“防护策略”，进入“防护策略”页面。
- 单击目标策略名称，进入目标策略的防护配置页面。
- 选择“CC攻击防护”配置框，开启CC攻击防护策略。
：开启状态。
：关闭状态。 - 在“CC攻击防护”规则配置列表左上方，单击“添加规则”，在弹出的对话框中，参考如图3所示进行配置。
- “限速模式”：选择，根据IP区分单个Web访问者。
- 配置“限速条件”：至少配置一项条件，多个条件同时满足时，本条规则才生效。
- 其他参数根据具体情况选择配置。
- 确认参数配置无误后，单击“确认”。
相关信息
关于CC攻击防护更多详细的操作，请参见配置CC攻击防护规则防御CC攻击。
