वेबसाइट को DDoS से बचाने के लिए Cloudflare कैसे configure करें?

Question

IT Interview Practice · Accepted Answer

**Cloudflare website को सबसे अच्छी तरह तब बचाता है जब requests उससे गुजरें और application बाकी traffic संभाल सके।** एक setting चालू करने से server तक हर रास्ता सुरक्षित नहीं होता।

Online shop की कल्पना करें। Attackers product images पर requests भर सकते हैं, महंगा search endpoint बार-बार बुला सकते हैं या server से सीधे जुड़ सकते हैं। ये अलग resources खर्च करते हैं, इसलिए कई सुरक्षा परतें चाहिए।

## 1. Requests के रास्ते में Cloudflare रखें

Website के supported DNS records पर proxied status चालू करें। Visitors तब origin से पहले Cloudflare पहुंचेंगे; origin वह server है जो वास्तव में website चलाता है। DNS-only record नाम resolve करता है, HTTP traffic को इस सुरक्षा मार्ग से नहीं भेजता।

```text
Browser -> Cloudflare -> Origin -> Database
```

यही आधार है: Cloudflare filtering केवल वहां पहुंचने वाले requests में मदद करती है। मुख्य domain ही नहीं, API hostname सहित shop के हर public hostname को जांचें।

## 2. Origin का सीधा रास्ता बंद करें

Attackers origin तक सीधे पहुंच सकें तो filtering bypass कर सकते हैं। Public web ingress को उचित Cloudflare IP ranges तक सीमित करें और ranges updated रखें। Cloudflare Tunnel भी परखें, जो बाहर की ओर connection बनाकर public inbound web ports की जरूरत हटा सकता है।

Administrative access अलग सुरक्षित route पर रखें और databases को public internet से दूर रखें। Cloudflare से सामान्य access और direct access का rejection दोनों जांचें। IP छिपाना भर पर्याप्त नहीं। [Origin protection](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/) देखें।

## 3. असली customers को बचाते हुए attacks filter करें

अपने plan की managed DDoS protection और controls देखें। उचित WAF rules लगाएं: WAF HTTP requests आगे भेजने से पहले suspicious patterns जांचता है। DDoS protection और WAF कुछ मिलती लेकिन अलग समस्याएं हल करते हैं; कोई भी यह साबित नहीं करता कि हर accepted request application के लिए सस्ती है।

समझा सकने वाले rules से शुरू करें, प्रभावित traffic देखें और legitimate customers रुकें तो सीमित, सटीक बदलाव करें। बहुत-से blocked requests अकेले सफलता का माप नहीं हैं। Cloudflare का [DDoS setup और tuning](https://developers.cloudflare.com/ddos-protection/get-started/) देखें।

## 4. महंगे operations अलग बचाएं

Cached image का request आम तौर पर origin के लिए उस search से बहुत सस्ता है जो कई database records scan करता है। Normal usage और पीछे की service capacity के अनुसार महंगे endpoints पर rate limits रखें।

- Login या OTP में edge limits के साथ account या destination पर application limits रखें। एक IP कई असली users का हो सकता है।
- Search या report generation में हर request का काम सीमित करें; केवल request count सीमित करने पर महंगे requests खतरनाक रह सकते हैं।
- Authenticated APIs में network signals के साथ customer या API key भी देखें। Distributed attackers कई IP इस्तेमाल कर सकते हैं।

कोई universal safe threshold नहीं है। Legitimate peaks देखें, limits सावधानी से लगाएं और backend relief तथा rejected valid requests दोनों मापें।

## 5. जहां sharing सुरक्षित हो वहां caching करें

Public images और static files cache करें ताकि repeated requests origin तक न जाएं। Shop में इससे एक ही product image बार-बार देने के resources घटते हैं।

Personal carts और account pages के नियम अलग होने चाहिए, ताकि किसी को दूसरे का data न मिले। Dynamic responses cache करने से पहले keys और bypass conditions देखें। Caching repeated work घटाती है; load में login या checkout अपने-आप सुरक्षित नहीं होते।

## 6. Emergency challenges के साथ recovery plan रखें

Incident में Under Attack mode browser challenge दे सकता है। प्रभावित browser routes पर उसे परखें और सही समय पर temporary measure हटाएं। Machine clients और payment webhooks browser challenges पूरे नहीं कर सकते, इसलिए उनकी routes को उचित authentication और targeted controls चाहिए।

अंत में origin latency, CPU, database pressure और errors देखते हुए जांचें कि असली customers browse और checkout कर पा रहे हैं। Direct network attack origin का connection भर दे तो hosting provider के साथ upstream protection करें। लक्ष्य उपयोगी service जारी रखना है, यह वादा नहीं कि कोई attack कभी बाधा नहीं डालेगा।

1. Requests के रास्ते में Cloudflare रखें

2. Origin का सीधा रास्ता बंद करें

3. असली customers को बचाते हुए attacks filter करें

4. महंगे operations अलग बचाएं

5. जहां sharing सुरक्षित हो वहां caching करें

6. Emergency challenges के साथ recovery plan रखें

संबंधित प्रश्न