黑洞指当公网IP资产遭受的DDoS攻击超过其DDoS防御能力时，为避免更大损害，而对流量进行屏蔽的策略。本文介绍了阿里云黑洞策略的相关背景，以及如何处理和预防黑洞。
什么是黑洞？
当阿里云公网IP资产遭受大流量DDoS攻击，且攻击流量的峰值带宽（bps）超过了资产的DDoS防御能力时，资产IP会进入黑洞状态。
黑洞会暂时屏蔽资产IP的所有入方向互联网流量（使该IP从互联网离线），避免DDoS攻击对资产产生更大损害，同时也避免单个IP被DDoS攻击而对整体网络上其他资产产生影响。黑洞期间，阿里云会持续监测DDoS攻击的状态，并在攻击结束后的一段时间，自动为资产解除黑洞，恢复资产的互联网访问。黑洞也支持提前手动解除。
为什么需要黑洞？
黑洞策略是网络资产遭遇DDoS攻击时的一项保护措施。由于DDoS攻击不仅会导致被攻击的资产过载，还会对网络中的其他资产产生影响，因此需要通过黑洞避免更大的损害。
发生黑洞时怎么办？
如果您的资产发生黑洞，说明当前资产的DDoS防御能力无法抵抗遇到的DDoS攻击规模。建议您采取以下措施：
提升资产的DDoS防御能力（最佳方案）
等待黑洞自动解除
如果阿里云监测到该针对资产的攻击已经停止，将会在攻击停止后的一段时间（即黑洞自动解除时间），自动为资产解除黑洞，恢复资产的互联网访问。默认黑洞自动解除时间是2.5小时。实际黑洞自动解除时间根据资产被攻击频率有差异，从30分钟到24小时不等。
您可以在流量安全产品控制台的资产中心页面，查看当前资产（ECS、SLB、EIP）的黑洞自动解除时间。更多信息，请参见查看黑洞时长。
手动解除黑洞
如果您在资产黑洞期间急需恢复业务，可以通过阿里云DDoS防护服务提供的黑洞解除功能手动解除黑洞。解除黑洞不代表可以防御DDoS攻击，只能换取时间来部署防御方案。手动解除黑洞后，如果DDoS攻击没有结束，资产仍可能再次被攻击进入黑洞。
下表描述了不同DDoS防护服务支持的手动解除黑洞的方法。
DDoS防护服务 手动解除黑洞的方法 使用限制 未购买任何DDoS防护服务（默认为DDoS原生防护基础版） 在流量安全产品控制台的总览页面，单击实时攻击态势区域的立即处理，为黑洞中IP解除黑洞。 说明 如果您的ECS资产发生了黑洞，您也可以更换资产的公网IP地址或将域名解析到SLB实例。更多信息，请参见更换公网IP地址。
每月有可用次数限制，具体以立即处理面板中的提示为准。 DDoS原生防护企业版 每月有可用次数限制，一般不少于防护IP数规格。 DDoS高防（新BGP） DDoS高防（国际） 暂不支持手动解除黑洞。 无。 进入黑洞状态2分钟后才能进行解除黑洞操作。
每天最多可解除黑洞5次。
在DDoS高防控制台的防护设置>通用防护策略页面，使用基础设施DDoS防护下的黑洞解封功能，手动解除黑洞。
具体操作，请参见黑洞解封。
调用DDoS高防API中的ModifyBlackholeStatus接口解除黑洞。
关于API的调用方法，请参见调用方式。
在流量安全产品控制台的网络安全>DDoS原生防护>实例管理列表中，为异常IP（已添加为实例的防护对象）执行解除黑洞操作。
具体操作，请参见解除黑洞。
调用DDoS原生防护API中的DeleteBlackhole接口解除黑洞。
关于API的调用方法，请参见调用方式。
如何预防黑洞？
只有当DDoS攻击的峰值带宽超过了资产的DDoS的防御能力时，才会导致资产发生黑洞。资产的DDoS防御能力越大，则其被DDoS攻击导致触发黑洞的可能就越低。因此，只有提升资产的DDoS防御能力（即黑洞阈值），才可以从根本上预防黑洞。
您可以通过以下方式提升资产的DDoS防御能力：
使用免费的DDoS防护服务：
阿里云公网IP资产默认具有不超过5 Gbps的免费DDoS防御能力（DDoS基础防护能力）。公网IP资产的DDoS基础防护能力与资产所在地域及规格有关，具体信息，请参见DDoS基础防护黑洞阈值。
在上述DDoS基础防护能力以外，阿里云支持基于安全信誉的动态黑洞阈值加成。您可以通过维护您的安全信誉（例如，减少资产暴露面等），获取更多免费加成的DDoS防御能力。
安全信誉联盟综合多方面因素考量来计算动态黑洞阈值，帮助信誉好的用户提升首次被DDoS攻击的防护量。动态黑洞阈值会随着信誉分变化而调整，不承诺固定的防护量。更多信息，请参见安全信誉防护联盟。
部署商用版DDoS防御方案：
关于DDoS防御方案选型的更多信息，请参见选型参考。
是否可以通过访问控制策略（ACL）屏蔽DDoS攻击及预防黑洞？
不可以。ACL只能在服务器边缘生效，无法阻挡从大量“僵尸”网络汇集的DDoS攻击流量，通过互联网一级级传递到云网络，并抵达服务器边缘。DDoS攻击流量抵达服务器边缘时，其规模已远超服务器ACL的处置能力。因此，要防御DDoS攻击，需要尽可能在上层网络边界部署防护策略。
对抗DDoS攻击的关键是通过足够大的网络带宽，并结合流量分析和过滤手段，将其中的攻击流量清洗掉。如果依赖将服务器带宽扩容到与攻击等规模的带宽，并部署清洗集群进行流量清洗，将会产生单一客户无法承担的带宽和服务器成本。如果不同客户分别在目的端建设DDoS清洗设施，则进一步加剧了攻防成本的不对等。
因此，经济有效的DDoS防御方式是由云服务供应商集中建设大容量的网络带宽并在上层网络部署清洗设施，以近源方式清洗DDoS攻击流量，同时通过SaaS服务的形式将DDoS防御服务提供给有需求的客户采购，使清洗资源可以复用，从而降低单客户防御DDoS的成本。
