本文介绍Web应用防火墙（Web Application Firewall，简称WAF）遭受大流量DDoS攻击后进入黑洞的影响及解决方法。

黑洞的影响

当WAF遭受到大流量DDoS攻击时，如果攻击流量超过了阿里云免费提供的DDoS防护能力，WAF实例对应的独享IP（简称WAF IP）就会进入黑洞。此时，您会在WAF控制台的总览页面，收到相关提示信息。

当WAF IP被黑洞后，所有转发到WAF实例的流量（包括正常请求和攻击流量）都会被丢弃。这意味着所有接入当前WAF实例防护的域名，在黑洞期间都无法访问。

如何解除黑洞和防御DDoS攻击

出现黑洞事件后，您只需等待黑洞时间结束，黑洞状态将会自动解除。默认的黑洞时间为150分钟。WAF的黑洞阈值与您的ECS所在地域的默认阈值相同。关于黑洞和阿里云黑洞策略的更多介绍，请参见阿里云黑洞策略。
说明 默认情况下，每个WAF实例分配给您一个独享的IP，一旦这个WAF IP被黑洞，WAF实例上配置的所有域名都无法访问。为了避免这种情况发生，您可以为重要的域名单独购买额外的独享IP，以防重要域名受其他被DDoS攻击的域名牵连。关于独享IP的更多介绍，请参见域名独享资源包。

解决大流量DDoS攻击的根本办法是使用DDoS高防服务对您的域名进行防护。

WAF黑洞常见问题

  • WAF被黑洞了，是否能马上为我解除？
    不能。由于黑洞是阿里云向运营商购买的服务，而运营商对黑洞解除时间和频率都有严格的限制，所以黑洞状态无法人工解除，需要您耐心等待系统自动解封。
    说明 即使能够立刻解除黑洞，如果WAF仍在遭受大流量DDoS攻击，还是会再次触发黑洞。
  • WAF配置了多个域名，如何查看是哪个域名被攻击？

    一般情况下，黑客会解析某个已接入WAF防护的域名，在获取WAF实例的IP后，对其发起DDoS攻击。大流量的DDoS攻击都是针对WAF IP，从攻击流量中无法得知具体哪个域名被攻击。

    您可以使用域名拆分来获知哪个域名被攻击。例如，您可以将部分域名解析到WAF，部分域名解析到其他地址（ECS源站、CDN或SLB 等），如果拆分之后WAF不再被黑洞，说明黑客的攻击目标在拆分出去的部分域名。但是，这种方式操作比较复杂，且可能导致源站等其他资产的暴露，从而引发更大的安全问题。因此，除非在必要情况下，不建议您通过这种方式来判断哪个域名被攻击。

  • 通过更换WAF的IP，是否就能不会被黑洞了？

    更换WAF IP无法解决实际问题。如果黑客针对您的域名进行攻击，即使您更换了WAF IP，黑客只需要ping您的域名就能获取到更换后的IP，并且继续发起DDoS攻击。

  • DDoS攻击和CC攻击有什么区别？WAF为什么不能防御DDoS攻击？

    大流量的DDoS攻击主要是针对IP的四层攻击，而CC攻击是针对七层应用的攻击（例如HTTP GET/POST Flood）。WAF可以防御CC攻击，但对于大流量的DDoS攻击，由于需要通过足够大的带宽资源把所有流量都硬抗下来再进行清洗，只能通过DDoS高防服务来防护。