Перейти к содержанию

Как настроить защиту от DDoS-атак?

Необходимые условия для выполнения процедуры

Сервисы в составе Аккаунта:

Тип архитектуры Сервисной конфигурации:

Права доступа вашей учетной записи пользователя:

Если вы находитесь под DDoS-атакой и не настроили защиту от DDoS-атак сообщите об этом в Службу сопровождения клиентских сервисов и/или вашему Аккаунт-менеджеру NGENIX для ускорения процедуры настройки.

Система защиты от DDoS-атак уровня сети передачи данных защищает инфраструктуру Платформы в целом, а значит все ее пользователи (заказчики) получают защиту от DDoS-атак уровня сети передачи данных по умолчанию при пользовании сервисами Edge Content Delivery и Secure DNS.

1. Создайте и наполните белый список IP-адресов

Перед тем, как настроить защиту от DDoS-атак уровня приложений, определите список IP-адресов, запросы от которых не будут заблокированы Платформой при митигации DDoS-атак.

  1. Перейдите в NGENIX Multidesk на страницу Списки (боковое меню настроек Аккаунта).
  2. Нажмите + Добавить список. В всплывающем окне:
    1. Введите Название списка.
    2. В выпадающем списке Контент списка укажите значение IPv4-адреса.
    3. Нажмите на кнопку Сохранить.
  3. Вы будете переведены на страницу Управление списком вновь созданного списка.
  4. Нажмите + Добавить префиксы. В всплывающем окне:
    1. Введите списки IP-адресов.
    2. При необходимости укажите время жизни значений в списке с помощью опции Укажите TTL в секундах.
    3. Нажмите Добавить префиксы.

IP-адреса из выбранного белого списка исключаются из автоматической блокировки и JS-валидации для списка валидации. Однако белый список не применяется, если включена настройка JS-валидация всех входящих запросов: в этом случае на JS-валидацию направляются все запросы, включая запросы с IP-адресов из белого списка и обращения к API.

2. Инициируйте настройку защиты от DDoS-атак уровня приложений

Создайте обращение в Службу сопровождения клиентских сервисов с просьбой включить защиту от DDoS-атак уровня приложений, указав:

  1. Идентификатор Сервисной конфигурации (ConfID) для которой вы хотите включить защиту от DDoS-атак.
  2. Название белого списка IP-адресов, запросы от которых не должны быть заблокированы Платформой при митигации DDoS-атак.

3. Разрешите доступ к серверу оригинации только с IP-адресов NGENIX

Для того, чтобы у злоумышленников не было возможности атаковать ваш веб-ресурс в обход систем защиты от DDoS-атак NGENIX:

  1. Разрешите на сетевом оборудовании доступ к серверу оригинации с IP-адресов Платформы и других сетей, которые вы считаете доверенными.
  2. Ограничьте для всех остальных доступ к серверу оригинации из сети Интернет (если трафик веб-ресурса обслуживается Платформой).

Список сетевых префиксов NGENIX

4. Получите уведомление о завершении настройки сервиса

  1. Получите уведомление о завершении первичной настройки системы защиты от DDoS-атак уровня приложений и начале периода ее обучения.

  2. Уведомите инженера о переводе трафика на сервисную конфигурацию. После подачи трафика начинается обучения системы защиты от DDoS-атак уровня приложений. Для выявления и блокировки нежелательного трафика система защиты от DDoS-атак уровня приложений должна находиться в режиме обучения в течение 7 дней. За этот период система изучит профиль и характер вашего легитимного трафика. В этот период весь трафик конечных пользователей должен обслуживаться Платформой.

    В режиме обучения система не будет блокировать DDoS-атаки.

    Если вы подверглись DDoS-атаке в период обучения сообщите об этом в Службу сопровождения клиентских сервисов. Инженеры NGENIX завершат обучение системы на основе эвристических предположений о характере легитимного трафика и она будет переведена в режим блокировки для отражения DDoS-атаки.

  3. Получите уведомление о завершении периода обучения и переводе системы защиты от DDoS-атак уровня приложений в режим мониторинга и завершении настройки сервиса защиты от DDoS-атак.

По завершении обучения сервиса DDoS Protection вы можете переключаться между режимами Мониторинг и Блокировка на свое усмотрение. Мы рекомендуем всегда оставлять активным режим Блокировка, и использовать режим Мониторинг при сбоях или для проведения плановых работ на защищаемом веб-ресурсе.

5. Управляйте настройками защиты

  1. Режимы работы - управление доступно в разделе Защита на странице Защита от DDoS-атак уровня приложения (L7) (блок настроек выбранной Сервисной конфигурации) NGENIX Multidesk.
  2. JS-валидация для списка валидации - управление доступно в разделе Защита на странице Защита от DDoS-атак уровня приложения (L7) (блок настроек выбранной Сервисной конфигурации) NGENIX Multidesk.
  3. JS-валидация для всех входящих запросов - управление доступно в разделе Защита на странице Защита от DDoS-атак уровня приложения (L7) (блок настроек выбранной Сервисной конфигурации) NGENIX Multidesk.

Перед включением JS-валидации убедитесь, что пользователи веб-ресурса могут выполнять JavaScript. Проверку могут не пройти запросы мобильных приложений.

6. Кастомизируйте страницу-заглушку

При блокировке запросов системой защиты от DDoS-атак уровня приложений пользователю отображается страница-заглушка с информацией об ограничении доступа к веб-ресурсу.

Отображаемую пользователю страницу-заглушку вы можете кастомизировать:

  • Добавить свой логотип.
  • Изменить цвета текста и фона на странице.
  • Указать текст сообщения, которое необходимо отобразить пользователю и контакты вашей технической поддержки для связи.

Как настроить страницу-заглушку при блокировке DDoS-атаки?

Если вы переключали трафик с сервисной конфигурации, а затем вернули его обратно, сообщите об этом инженерам NGENIX через Службу сопровождения клиентских сервисов. Инженеры NGENIX внесут необходимые изменения в настройки защиты от DDoS-атак на уровне приложений.