高防域名解析服务, 它的核心作用是什么? 它是将域名的流量, 引导到高防清洗的IP上面去。然后呢, 让那个DDoS攻击事件, 在清洗节点那里就被拦下来了, 而不是直接冲向源站的服务器。配置它的关键在哪儿?
关键就在于, 你要把域名的A记录或者CNAME记录,指向高防IP大城群众说事, 而不是指向源站那个真实的IP。这一整套过程, 它涉及好多个环节, 比如说DNS修改、全球生效, 还有回源验证等等。只要操作步骤正确的话, 那就可以在几分钟之内完成一个切换的动作。而且在这个切换的过程当中, 业务是不会中断的。
一、配置接入步骤
1. 用户需要获取高防IP, 所以用户登录到由提供高防服务的公司运营的后台管理网站里。等用户把网站服务器原来的IP地址绑上去, 并且也把流量清洗的相关策略设置好以后, 系统就会给用户分配一个专门的高防IP地址。
在这个时候, 用户必须在源站的那个防火墙上面操作, 或者在安全组那边也进行处理, 然后要把针对所有来自于外部互联网的IP地址的直接访问权限都关掉, 除此之外, 只有一个情况是允许的, 那就是放行来自高防IP地址的回到源站的端口数据。
2. 你要先去修改那个DNS解析记录, 具体的做法是进入域名所在的DNS管理面板, 这个面板可以是你的域名注册商那里提供的, 也可以是第三方的DNS服务商那里提供的, 然后你需要把目标域名的A记录值进行替换, 原来的值也就是源站真实IP要换成新的高防IP, 如果你采用的接入方式不是那样而是采用CNAME接入的方式的话, 那么你就应该将CNAME记录去指向由高防服务商所提供的CNAME地址, 在你进行修改操作之前,你务必要注意一件事情高防域名解析服务, 那就是你要将该记录的TTL值降下来, 把它降至60秒, 这样做的目的是为了为了确保在切换完成之后, 能够迅速地实现全局生效。
3. 保存DNS修改后, 需要把修改提交并且等待它生效, 全球范围内的生效时间要看修改前的TTL设定是多大的值, 当TTL为60秒的时候, 通常1到2分钟内全球的解析切换就能完成, 要是原来的TTL是3600秒的话, 那就最长要等1小时, 在可以多次修改的情况下, 可以逐步地把TTL给缩短, 以此来避免出现等待周期过长的情况。
4. 切换到高防完成之后, 需要从外部网络去访问该域名, 以此来确认系统返回的解析IP地址是那个高防IP, 而绝对不是源站的IP, 与此同时, 还应该登录到源站的那套防火墙日志系统里面去进行验证, 目的是要检查所有最终到达源站的流量来源是否全部都是来自于高防IP, 并且还要保证一点就是没有发现任何来自外部网络的直接连接情况。
二、需要大家特别留意的关键注意事项。
在切换之前, 一定要确认源站那边的防火墙已经严格限制为只允许高防IP能够回源到服务器, 要不然攻击者很有可能绕过高防节点, 直接去连接源站网站, 这样的话, 高防产品就形同虚设了。
同一个域名的那一个A记录, 它是只能去指向那一个具体的高防IP地址的, 要是你想去实现多节点或者跨越不同地区的高防负载均衡的话, 那是得通过那种CNAME这个方式去做到的。
这个变化的发生, 不会去干扰那些已经建立起来的TCP长连接里面的会话情况, 但是对于接下来新建立的连接, 它们的DNS解析过程, 会在TTL这个时间到期之后, 指向到一个新的IP地址上去。
建议把原来源站IP的解析记录给备份下来妥善放着, 那样一旦遇到了高防节点出现故障的情况, 就能够立刻快速地来回切到源站IP那一边去。
三、高频疑难解答
请问, 在对DNS记录进行修改操作之后, 全球范围内的数据完全生效大约需要多长时间呢?
答: 这要取决于修改之前的那个TTL值。如果你在修改之前先把TTL的值降低到了60秒, 那么在全球范围内生效只需要一到两分钟。但是, 如果你在修改之前没有提前把TTL降低下来, 就必须等待着原来的TTL周期彻底结束。
你可以问问自己, 这流量是不是真的是已经走到了高防那边去的位置上去的。
答案是你要在高防的控制台去看着那个实时的流量监控图表,只要里面出现了入方向流量的具体数据高防域名解析服务, 那么就能说明解析切换已经成功完成了, 与此同时在源站这侧这边应该就不再能够收到来自外部的那些独立IP地址发过来的直接访问请求了, 这个情况需要你去仔细核对确认一下才可以。
关于HTTPS业务证书这一类事项, 具体的处理办法是什么呢。
答案是说, 高防清洗节点这个地方是需要去配置和源站一模一样的SSL证书的。要是证书到期了的或者进行了更新的这个操作的话, 就必须把这些新的内容同步着上传到高防控制台里面去。这样做的一个目的就是为了要确保HTTPS握手的过程能够非常正常地运行下去。
如果你现在想要去查询一下那个域名的当前的解析状态是怎么样的, 或者是需要获得那个高防接入的指导指引的话, 以及要提交那个DNS变更的工单的话, 都是可以访问 gname.xin 这个域名服务平台来完成相关的在线操作的。
在完成具体的配置工作之后, 我们建议你是最好每周都要去核查一次这个DNS记录与高防回源的状态是怎样的, 以此来防止那种误操作导致了解析出现异常, 或者是安全策略失去有效的情况的发生。
