網站類業務購買DDoS高防（邊緣云版）產品后需要通過CNAME解析方式接入，將攻擊流量引流到DDoS高防（邊緣云版），可以達到隱藏源站目的，在遭受大流量DDoS攻擊時保障源站服務器的穩定可靠。您可以參考本文中的接入配置和防護策略最佳實踐，使用DDoS高防（邊緣云版）更好地保護您的業務。
接入配置流程概述
正常情況下業務接入需要參照以下三個步驟進行配置。若業務遭受攻擊時緊急接入，在接入配置前建議聯系天翼云安全專家進行評估后協助接入，聯系方式詳見服務保障。
步驟1：自身業務梳理
首先，建議您在接入DDoS高防（邊緣云版）前對待接入的業務進行全面梳理，在了解當前業務狀況和具體數據的基礎上，能更好地使用DDoS高防（邊緣云版）提供的各類防護策略進行業務防護。
| 梳理項 | 說明 | 操作建議 |
|---|---|---|
| 網站和業務信息 | ||
| 網站或應用業務每天的流量帶寬峰值情況，包括Mbps | 根據日常業務高峰判定風險時間段 | 若有接入CDN可從CDN流量分析統計獲取相應業務數據，作為DDoS高防（邊緣云版）的業務帶寬評估和購買套餐的選擇依據。 |
| 業務的主要受眾群體（如訪問用戶的主要地理區域信息） | 判斷非法攻擊來源。 | 方便根據地理區域信息配置防護策略。 |
| 源站是否部署在非中國內地地域 | 判斷業務實例是否符合最佳網絡架構。 | 可在后續選擇資源池防護時提供指導依據。 |
| 請求協議（如HTTPS） | 無 | 若業務使用HTTPS協議需要上傳證書。 |
| 業務端口 | 判斷源站使用的端口是否在DDoS支持的范圍內 | 無。 |
| 業務是否需要支持IPv6協議 | 根據源站服務器網絡架構及業務開通情況判斷是否需要支持IPv6 | 如果您的業務需要支持IPv6協議，可在域名接入配置中選擇開啟IPv6支持。 |
| 源站服務器的操作系統及所使用的Web服務中間件（Nginx、IIS等） | 判斷源站服務器是否存在防火墻ACL訪問控制策略，避免源站誤攔截DDoS高防（邊緣云版）回源IP轉發的流量。 | 如果有，需要在源站上設置放行DDoS高防（邊緣云版）的回源IP。 |
| 業務是否存在空連接 | 例如，服務器主動發送數據包防止會話中斷這類情況接入DDoS高防（邊緣云版）后可能影響正常業務。 | 無。 |
| 業務交互過程 | 了解業務交互過程及其處理邏輯，以便后續配置針對性防護策略。 | 無。 |
| 業務及攻擊情況 | ||
| 業務類型及業務特征（例如，游戲、棋牌、網站、App等業務） | 便于在后續攻防過程中分析攻擊特征。 | 無。 |
| 業務流量（入方向） | 幫助后續判斷是否包含惡意流量。 | 無。 |
| 業務流量（出方向） | 幫助后續判斷是否遭受攻擊，并且作為是否需要額外業務帶寬擴展的參考依據。 | 無。 |
| 單IP的入方向流量范圍和連接情況 | 幫助后續判斷是否可針對單個IP制定限速策略。 | |
| 業務是否遭受過大流量攻擊及攻擊類型 | 根據歷史遭受的攻擊類型，設置針對性的DDoS防護策略。 | 無。 |
| 業務遭受過最大的攻擊流量峰值 | 根據攻擊流量峰值判斷DDoS高防（邊緣云版）功能規格的選擇。 | 無。 |
| 業務是否遭受過CC攻擊及最大攻擊峰值 | 通過分析歷史攻擊特征，配置CC防御策略。 | 更多信息可參見CC防護最佳實踐。 |
| 業務是否提供API接口服務 | 無。 | 提供信息為配置訪問策略作為指導依據。 |
| 業務是否已完成壓力測試 | 評估源站服務器的請求處理性能，作為后續業務異常判斷條件之一。 | 無。 |
步驟2：準備工作
注意在將業務接入DDoS高防（邊緣云版）時，強烈建議您先使用測試業務環境進行測試，測試通過后再正式接入生產業務環境。
接入DDoS高防（邊緣云版）前，您需要完成以下準備工作。
- 準備需要接入的網站域名信息，包括源站服務器公網IP、端口、請求協議等信息。
- 網站域名必須已完成ICP備案。
- 需要具備域名解析服務商添加TXT記錄值權限或源站管理權限，以便完成域名歸屬校驗。更多信息，請參見域名歸屬權校驗指南。
- 需要具備DNS域名解析管理權限，用于切換DNS解析記錄，以便接入后將網站流量引流到DDoS高防（邊緣云版）。
- 若網站支持HTTPS協議訪問，需要準備相應的證書和私鑰信息，用于證書上傳。更多信息,請參見證書管理。
- 檢查網站業務是否有客戶端黑白名單限制。業務接入后需要配置防護策略放行或拉黑相應的客戶端IP。
- 推薦網站業務接入前，完成壓力測試。
步驟3：接入DDoS高防（邊緣云版）
- 業務接入配置。
說明如果在接入DDoS高防（邊緣云版）前業務已遭受攻擊，建議您更換源站服務器IP。更換IP前，請務必確認業務端是否存在直接指向源站IP的相關代碼，若存在需要調整代碼或配置，避免影響業務正常訪問。
根據您的業務信息及流量請求購買相應的DDoS高防（邊緣云版）套餐，并根據以上準備信息配合以下接入配置指導，將您的網站域名業務接入DDoS高防（邊緣云版）： 添加域名。或參見視頻接入指導： 視頻專區。
- 配置源站保護。
為避免惡意攻擊者繞過DDoS高防（邊緣云版）直接攻擊源站服務器，建議您針對源站服務器采取相應安全配置。
- 配置防護策略。
根據您的業務特征及攻擊情況配置對應的防護策略。
CC攻擊防護：若您的業務有遭受CC攻擊的情況，可配置CC攻擊防護策略。更多信息，請參見CC防護最佳實踐。
訪問配置-訪問限制：若您的業務受眾群體物理位置區域相對集中或僅面向中國區域，可在訪問控制防護模塊配置相應的防護規則進行限制。更多信息，請參見訪問控制。
訪問配置-頻率控制：若您的業務存在單url請求或單ip等需要限制訪問頻率，可在頻率控制模塊配置相應的防護規則進行限制。更多信息，請參見訪問控制。
- 本地測試。
完成上述DDoS高防（邊緣云版）配置后，建議您進行配置準確性檢查和驗證測試。
說明您可以通過修改本地系統hosts文件的方式進行本地測試。
| 編號 | 檢查項 |
|---|---|
| 網站域名配置準確性檢查項 | |
| 1 | 接入配置域名是否填寫正確。 |
| 2 | 接入配置協議及服務端口是否與實際一致。 |
| 3 | 源站填寫的IP是否是真實服務器IP。 |
| 4 | 若使用HTTPS檢查證書是否上傳成功。 |
| 5 | 是否開啟頻率控制、訪問控制的防護規則嚴格模式。 |
| 6 | 查看計費詳情，檢查是否了解DDoS高防（邊緣云版）的計費方式。 |
| 業務可用性驗證項 | |
| 1 | 測試業務是否能夠正常訪問。 |
| 2 | 觀察業務返回4XX和5XX響應碼的次數，確保回源IP未被攔截。 |
| 3 | 測試HTTPS鏈路訪問是否正常。 |
| 4 | （建議項）是否配置源站保護，防止攻擊者繞過DDoS高防（邊緣云版）直接攻擊源站。 |
| 5 | 測試TCP業務的端口是否可以正常訪問。 |
- 切換DNS解析，引流業務流量。
說明調整DNS解析記錄需要幾分鐘后生效，可使用dig命令等確認是否已生效。
以上檢查均測試通過后，可開始按域名逐個切換調整DNS解析記錄，將網站流量引流到DDoS高防（邊緣云版），并實時觀察監測。若切換流量后出現異常，請快速恢復DNS解析記錄。
- 告警監控。
建議您根據業務情況在告警模塊配置相應的告警策略，以便及時了解業務運行情況和發現異常現象。
服務保障
您在業務接入DDoS高防（邊緣云版）過程中遇到任何問題，可通過工單或服務熱線方式聯系天翼云安全專家。
安全專家將針對您的業務特征，結合業務攻擊情況進行相應評估，基于業務實際情況指導您進行防護策略配置，更好幫助您使用DDoS高防（邊緣云版）保護您的網站安全。
