Wie konfiguriert man Cloudflare zum DDoS-Schutz einer Website?

Question

IT Interview Practice · Accepted Answer

**Cloudflare schützt eine Website am besten, wenn Anfragen darüber laufen und die Anwendung den verbleibenden Verkehr bewältigt.** Eine aktivierte Einstellung schützt nicht jeden Serverzugang.

Denken Sie an einen Shop: Angreifer überfluten Produktbilder, rufen eine teure Suche wiederholt auf oder kontaktieren den Server direkt. Das belastet unterschiedliche Ressourcen und verlangt mehrere Schutzschichten.

## 1. Setzen Sie Cloudflare in den Anfragepfad

Aktivieren Sie proxied für unterstützte DNS-Einträge. Besucher erreichen dann Cloudflare vor dem Origin, dem eigentlichen Webserver. DNS-only löst nur Namen auf und führt HTTP-Verkehr nicht durch diesen Schutzpfad.

```text
Browser -> Cloudflare -> Origin -> Database
```

Das ist die Grundlage: Cloudflare kann nur eintreffenden Verkehr filtern. Prüfen Sie alle öffentlichen Hostnamen einschließlich API, nicht nur die Hauptdomain.

## 2. Schließen Sie den direkten Originzugang

Ist der Origin direkt erreichbar, lässt sich die Filterung umgehen. Beschränken Sie eingehenden öffentlichen Webverkehr auf passende Cloudflare-IP-Bereiche und aktualisieren Sie diese. Alternativ kann Cloudflare Tunnel mit ausgehender Verbindung öffentliche eingehende Webports überflüssig machen.

Nutzen Sie einen separat geschützten Verwaltungszugang und halten Sie Datenbanken vom öffentlichen Internet fern. Testen Sie regulären Cloudflare-Zugriff und abgewiesenen Direktzugriff. Bloßes Verbergen einer IP genügt nicht. Siehe [Originschutz](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtern Sie Angriffe und erhalten Sie echten Kundenzugang

Prüfen Sie verwalteten DDoS-Schutz und Tarifoptionen. Ergänzen Sie geeignete WAF-Regeln: Eine WAF untersucht HTTP-Anfragen vor Weitergabe auf verdächtige Muster. DDoS-Schutz und WAF bearbeiten überlappende, aber unterschiedliche Probleme; keiner beweist, dass jede akzeptierte Anfrage billig ist.

Beginnen Sie mit erklärbaren Regeln, untersuchen Sie betroffenen Verkehr und korrigieren Sie Fehlblockaden gezielt. Viele blockierte Anfragen sind allein kein Erfolgskriterium. Cloudflare beschreibt [DDoS-Einrichtung und Anpassung](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Schützen Sie teure Operationen separat

Ein gecachtes Bild kostet den Origin meist weniger als eine Suche über viele Datensätze. Begrenzen Sie teure Endpunkte nach Normalnutzung und Kapazität des nachgelagerten Dienstes.

- Kombinieren Sie bei Login und OTP Randlimits mit Anwendungsgrenzen pro Konto oder Ziel. Eine IP kann viele echte Nutzer vertreten.
- Begrenzen Sie bei Suche und Berichten die Arbeit pro Anfrage; reine Mengenlimits lassen möglicherweise einzelne teure Anfragen gefährlich bleiben.
- Berücksichtigen Sie bei authentifizierten APIs Kunden oder API-Schlüssel neben Netzwerksignalen. Verteilte Angreifer können viele IPs verwenden.

Es gibt keinen allgemein sicheren Grenzwert. Beobachten Sie legitime Spitzen, führen Sie Limits vorsichtig ein und messen Sie Entlastung sowie abgewiesene gültige Anfragen.

## 5. Cachen Sie sicher teilbare Inhalte

Cachen Sie öffentliche Bilder und statische Dateien, damit Wiederholungen ohne Origin beantwortet werden. Im Shop sinkt dadurch die Arbeit für wiederholtes Senden desselben Produktbilds.

Persönliche Warenkörbe und Kontoseiten brauchen andere Regeln, da Nutzer keine fremden Daten erhalten dürfen. Prüfen Sie Cacheschlüssel und Ausnahmen vor dynamischem Caching. Cache reduziert Wiederholungsarbeit, schützt Login und Checkout aber nicht automatisch vor Last.

## 6. Nutzen Sie Notfallprüfungen mit Rückkehrplan

Under Attack kann während eines Vorfalls eine Browserprüfung einschalten. Bewerten Sie dies für betroffene Browserpfade und entfernen Sie die vorübergehende Maßnahme bei Bedarf. Maschinenclients und Zahlungswebhooks schaffen Browserprüfungen eventuell nicht und brauchen geeignete Authentifizierung sowie gezielte Regeln.

Prüfen Sie abschließend echte Suche und Kaufabschluss zusammen mit Originlatenz, CPU, Datenbankdruck und Fehlern. Überfüllt ein direkter Netzwerkangriff die Originanbindung, koordinieren Sie vorgelagerten Schutz mit dem Hoster. Ziel ist fortgesetzter nutzbarer Dienst, keine Garantie gegen jede Störung.

1. Setzen Sie Cloudflare in den Anfragepfad

2. Schließen Sie den direkten Originzugang

3. Filtern Sie Angriffe und erhalten Sie echten Kundenzugang

4. Schützen Sie teure Operationen separat

5. Cachen Sie sicher teilbare Inhalte

6. Nutzen Sie Notfallprüfungen mit Rückkehrplan

Ähnliche Fragen