વેબસાઇટને DDoSથી બચાવવા Cloudflare કેવી રીતે ગોઠવશો?

Question

IT Interview Practice · Accepted Answer

**Requests Cloudflareમાંથી પસાર થાય અને બાકી traffic application સંભાળી શકે ત્યારે Cloudflare websiteને શ્રેષ્ઠ રીતે સુરક્ષિત કરે છે.** એક setting ચાલુ કરવાથી server તરફના બધા રસ્તા સુરક્ષિત થતા નથી.

Online shop ધારો. Attacker product images પર requestsનો પૂર લાવી શકે, ખર્ચાળ search endpoint વારંવાર બોલાવી શકે અથવા serverનો સીધો સંપર્ક કરી શકે. આ અલગ resources વાપરે છે, એટલે ઘણી સુરક્ષા-પરતો જોઈએ.

## 1. Requestના રસ્તામાં Cloudflare મૂકો

Websiteના supported DNS records માટે proxied status ચાલુ કરો. પછી visitor origin પહેલાં Cloudflare સુધી પહોંચે છે; origin એટલે ખરેખર website ચલાવતો server. DNS-only record નામ resolve કરે છે, websiteનો HTTP traffic આ સુરક્ષા-માર્ગે મોકલતો નથી.

```text
Browser -> Cloudflare -> Origin -> Database
```

આ પાયો છે: Cloudflare સુધી પહોંચતા requests માટે જ તેનું filtering મદદ કરે છે. માત્ર મુખ્ય domain નહીં, API hostname સહિત shop વાપરે તે દરેક public hostname તપાસો.

## 2. Origin તરફનો સીધો રસ્તો બંધ કરો

Attacker origin સુધી સીધો પહોંચી શકે તો filteringને બાયપાસ કરી શકે. Public web ingressને યોગ્ય Cloudflare IP ranges સુધી મર્યાદિત કરો અને ranges updated રાખો. અથવા Cloudflare Tunnel તપાસો: તે બહાર તરફ connection બનાવે છે અને public inbound web portsની જરૂર દૂર કરી શકે છે.

Administrative access અલગ સુરક્ષિત રસ્તે રાખો અને databasesને public internetથી દૂર રાખો. Cloudflare મારફત સામાન્ય access તથા સીધી accessનો rejection બંને તપાસો. માત્ર IP છુપાવવો પૂરતો નથી. [Origin protection](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/) જુઓ.

## 3. સાચા customersને જાળવી attacks filter કરો

તમારા planમાં managed DDoS protection અને ઉપલબ્ધ controls જુઓ. યોગ્ય WAF rules ઉમેરો: WAF HTTP requests આગળ મોકલતાં પહેલાં શંકાસ્પદ patterns તપાસે છે. DDoS protection અને WAF rules કેટલીક સંબંધિત પરંતુ જુદી સમસ્યાઓ ઉકેલે છે; બંનેમાંથી કોઈ પણ સ્વીકારાયેલો દરેક request application માટે સસ્તો છે તે સાબિત કરતું નથી.

સમજાવી શકો એવા rulesથી શરૂ કરો, અસર પામતો traffic જુઓ અને legitimate customers block થાય તો ચોક્કસ સુધારો કરો. Blocked-requestનો મોટો આંકડો એકલો સફળતાનો માપ નથી. Cloudflareનું [DDoS setup અને tuning](https://developers.cloudflare.com/ddos-protection/get-started/) જુઓ.

## 4. ખર્ચાળ operationsને અલગ સુરક્ષિત કરો

Cached imageનો request સામાન્ય રીતે origin માટે એવા search કરતાં ઘણો સસ્તો છે જે ઘણા database records scan કરે. Normal usage અને પાછળની serviceની capacity પ્રમાણે ખર્ચાળ endpoints પર rate limits મૂકો.

- Login અથવા OTP માટે edge limits સાથે account અથવા destination આધારિત application limits જોડો. એક IP ઘણા સાચા usersનું હોઈ શકે.
- Search અથવા report generationમાં દરેક request કેટલું કામ શરૂ કરી શકે તે મર્યાદિત કરો; માત્ર requestની સંખ્યા મર્યાદિત કરવાથી ભારે requests જોખમી રહી શકે.
- Authenticated APIs માટે network signals સાથે customer અથવા API key પણ જુઓ. Distributed attackers ઘણા IP વાપરી શકે.

સૌ માટે એક સુરક્ષિત threshold નથી. Legitimate peaks જુઓ, limits સાવધાનીથી મૂકો અને backendને મળેલી રાહત તથા નકારાયેલા valid requests બંને માપો.

## 5. Share કરવું સુરક્ષિત હોય ત્યાં caching વાપરો

Public images અને static files cache કરો જેથી repeated requests origin સુધી પહોંચ્યા વિના પૂરા થાય. Shopમાં એ જ product image વારંવાર આપવાનો resource ખર્ચ ઘટે છે.

Personal carts અને account pagesને અલગ rules જોઈએ કારણ કે userને બીજાનો data ન મળવો જોઈએ. Dynamic responses cache કરતાં પહેલાં cache keys અને bypass conditions તપાસો. Caching repeated work ઘટાડે છે; load હેઠળ login અથવા checkoutને આપમેળે સુરક્ષિત બનાવતું નથી.

## 6. Emergency challenge સાથે recovery plan રાખો

Incident દરમિયાન Under Attack mode browser challenge આપી શકે. અસર પામેલા browser routes માટે તેનું મૂલ્યાંકન કરો અને યોગ્ય સમયે temporary measure દૂર કરો. Machine clients અને payment webhooks browser challenge પૂરો ન કરી શકે, એટલે તેમના routesને યોગ્ય authentication અને targeted controls જોઈએ.

છેલ્લે origin latency, CPU, database pressure અને errors જોતા ખાતરી કરો કે સાચા customers browse અને checkout કરી શકે છે. Direct network attack originનું connection ભરાઈ દે તો hosting provider સાથે upstream protection ગોઠવો. હેતુ ઉપયોગી service ચાલુ રાખવાનો છે, કોઈ attack ક્યારેય અડચણ નહીં કરે એવી ખાતરી આપવાનો નહીં.

1. Requestના રસ્તામાં Cloudflare મૂકો

2. Origin તરફનો સીધો રસ્તો બંધ કરો

3. સાચા customersને જાળવી attacks filter કરો

4. ખર્ચાળ operationsને અલગ સુરક્ષિત કરો

5. Share કરવું સુરક્ષિત હોય ત્યાં caching વાપરો

6. Emergency challenge સાથે recovery plan રાખો

સંબંધિત પ્રશ્નો