DDoS 防护概述

防护策略配置是指为防护实例配置 DDoS 防护规则，用于匹配经过高防的流量并执行对应的防护动作。防护策略在防护实例详情页的 L3/4 DDoS 防护策略配置区域集中管理，各子策略以卡片形式展示，可单独开启与配置。
注意：
各子策略规则仅在防护资源处于被攻击状态时生效。
策略配置不当可能导致正常流量被误拦截，建议结合 攻击分析 确认流量特征后再调整，并优先使用影响范围较小的策略。
配置入口
1. 登录 DDoS 防护控制台，在左侧导航栏中选择防护实例，进入防护实例页面；单击目标实例的查看详情，进入实例详情页。
2. 在 L3/4 DDoS 防护策略配置区域，找到需要配置的子策略卡片，单击卡片右侧的设置，进入该子策略的配置页面。
策略类型
防护策略对经过高防的流量生效，命中规则立即执行防护动作。各策略类型的生效优先级为：DDoS 防护等级 → IP 黑白名单 → 端口过滤 → 协议封禁 → 流量签名 → 连接类攻击防护 → 区域封禁 → IP 端口限速 → 特征过滤。
子策略
说明
﻿DDoS 防护等级﻿
调整清洗算法对疑似攻击流量的处理方式，支持宽松、适中、严格三档，等级越严格拦截越激进。
﻿IP 黑白名单﻿
对来源 IP 设置黑名单直接拦截，或设置白名单不经检测直接放行。
﻿端口过滤﻿
按协议类型、源端口范围与目的端口范围匹配流量，执行丢弃、放行或继续防护动作。
﻿协议封禁﻿
按协议类型一键封禁，支持 ICMP、TCP、UDP 与其他协议。
﻿流量签名（原水印防护）﻿
对 TCP 与 UDP 数据包进行签名校验，校验不通过的报文将被丢弃，用于过滤伪造流量。
﻿连接类攻击防护﻿
针对连接耗尽与异常连接设置阈值，触发阈值的源 IP 将被封禁 15 分钟。
﻿区域封禁﻿
按源 IP 的地理区域（大洲或国家/地区）在清洗节点一键封禁。
﻿IP 端口限速﻿
针对业务 IP 基于 IP 与端口维度限制访问速率，支持按单个源 IP 或按端口统计。
﻿特征过滤﻿
针对 IP、TCP、UDP 报文头或载荷中的特征自定义匹配条件与防护动作。

子策略	说明
DDoS 防护等级	调整清洗算法对疑似攻击流量的处理方式，支持宽松、适中、严格三档，等级越严格拦截越激进。
IP 黑白名单	对来源 IP 设置黑名单直接拦截，或设置白名单不经检测直接放行。
端口过滤	按协议类型、源端口范围与目的端口范围匹配流量，执行丢弃、放行或继续防护动作。
协议封禁	按协议类型一键封禁，支持 ICMP、TCP、UDP 与其他协议。
流量签名（原水印防护）	对 TCP 与 UDP 数据包进行签名校验，校验不通过的报文将被丢弃，用于过滤伪造流量。
连接类攻击防护	针对连接耗尽与异常连接设置阈值，触发阈值的源 IP 将被封禁 15 分钟。
区域封禁	按源 IP 的地理区域（大洲或国家/地区）在清洗节点一键封禁。
IP 端口限速	针对业务 IP 基于 IP 与端口维度限制访问速率，支持按单个源 IP 或按端口统计。
特征过滤	针对 IP、TCP、UDP 报文头或载荷中的特征自定义匹配条件与防护动作。

概述

本页目录：

配置入口

策略类型