防火墙¶
服务概述¶
新浪云当前提供两种类型的防火墙服务:
- DDoS 防火墙
- 应用防火墙
两者的区别如下表所示:
DDoS 防火墙 | 应用防火墙 | |
---|---|---|
工作原理 | DDoS 防火墙工作在机房入口,根据来源 IP 范围、行为特征和频率来判断是否是 DDoS 攻击,阈值较为苛刻,目前攻击识别准确率 100%,一旦确定为攻击,对于攻击源 IP 采取丢包 Drop 动作。 | 应用防火墙工作在负载均衡层,用户可以针对自己的业务自定义规则,请求一旦匹配规则,就不会再向后转发。 |
使用场景 | 系统级别的防护,拦截掉恶意攻击,保证正常业务请求的访问。 | 应用级别的防护,可用在防抓站、防刷单等场景。 |
默认状态 | 开启 | 关闭 |
建议 | 强烈建议开启,我们会动态根据全平台访问自动学习规则进行识别和拦截。绝大部分应用不会遇到恶意攻击,也就不会产生费用。受到攻击时,DDoS 防火墙按照拦截次数计费且有封顶。 | 建议开启,并且根据自身的业务特点设定规则。 |
关闭后可能出现的问题 | 遇到 DDoS 攻击,我们会将您的应用解析到黑洞,在 24 小时后或许更长时间(根据攻击情况)后恢复 。 | 不会影响到您的业务运行,但可能会导致您的云豆消耗增加。 |
我们为您提供 DDoS 防火墙以保护您的业务安全稳定,DDos 防火墙默认开启,并且强烈建议您开启,如果您不想开启,可以在新浪云控制台『防火墙 /DDoS 防火墙』面板显式关闭。
应用防火墙¶
应用防火墙可以让您自定义规则拦截来保护您的应用和 Storage 存储的访问。
针对应用和针对 Storage 存储的防火墙使用的策略及配置方法一致,但需要在不同的面板开启。
应用防火墙的实用意义:
- 对恶意抓取的行为有效拦截
- 保护云豆不被恶意的消耗
应用防火墙针对访问行为提供如下控制策略:
策略名 | 说明 |
---|---|
requests/5minutes | 5 分钟内访问请求数限制 |
bandwidth/5minutes | 5 分钟访问流量限制 |
requests/day | 24 小时访问请求数限制 |
bandwidth/day | 24 小时访问流量限制 |
requests/5minutes_delay | 5 分钟内访问请求数限制,超过后限制请求访问速度而不是禁止访问 |
allow | 白名单,列入其中的 IP 或者网段不受上面请求数和流量的限制,最多可以设置 100 个 |
deny | 黑名单,列入其中的 IP 或者网段不受上面请求数和流量的限制,最多可以设置 100 个 |
rules | 特征过滤,通过设置特征 key-values 达到阻断或放行访问。特征 key 对应 http 请求的 uri 或 header,特征 key 的长度限制在 3~25,不区分大小写。特征 value 限制在 5~256,多个 value 用英文逗号 (,) 隔开。value 支持前置或后置通配符 (*) 和取反 (~),取反可以理解为白名单,是放行访问。例如:~*.sinaapp.com,test.appchizi.*是合理的 values,绝不允许出现前后通配符 (*.app.*) 的规则。规则校验时顺序检测多个 key 和多个 value 进行阻断或放行,因此设置的规则是有顺序的。 |
防火墙生效时返回 HTTP 609 错误
小技巧
用户可以通过 CIDR 来设置一个网段的黑白名单。比如 108.192.8.*网段写做:108.192.8.0/24