Kako konfigurirati Cloudflare za zaštitu web-stranice od DDoS-a?

Question

IT Interview Practice · Accepted Answer

**Cloudflare najbolje štiti stranicu kada zahtjevi prolaze kroz njega, a aplikacija može obraditi preostali promet.** Uključivanje jedne postavke ne štiti svaki put do poslužitelja.

Zamislite internetsku trgovinu. Napadači mogu zatrpati slike proizvoda, ponavljati skupu pretragu ili izravno kontaktirati poslužitelj. To troši različite resurse pa zaštita treba više slojeva.

## 1. Postavite Cloudflare na put zahtjeva

Uključite proxied status za podržane DNS zapise stranice. Posjetitelji tada dolaze do Cloudflarea prije origina, poslužitelja koji stvarno pokreće stranicu. DNS-only zapis razrješava ime, ali ne vodi HTTP promet kroz ovaj zaštitni put.

```text
Browser -> Cloudflare -> Origin -> Database
```

To je temelj: Cloudflareovo filtriranje pomaže samo zahtjevima koji do njega dođu. Provjerite sva javna imena koja trgovina koristi, uključujući API, a ne samo glavnu domenu.

## 2. Zatvorite izravan pristup originu

Ako napadači mogu izravno dosegnuti origin, mogu zaobići filtriranje. Ograničite javni ulaz web prometa na odgovarajuće Cloudflareove IP raspone i održavajte ih ažurnima. Druga mogućnost je Cloudflare Tunnel, koji uspostavlja izlaznu vezu i može ukloniti potrebu za javnim ulaznim web portovima.

Administraciju držite na zasebnom zaštićenom putu, a baze izvan javnog interneta. Testirajte normalan pristup kroz Cloudflare i odbijanje izravnog pristupa. Samo skrivanje IP adrese nije dovoljno. Pogledajte [zaštitu origina](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtrirajte napade uz očuvanje pravih kupaca

Pregledajte upravljanu DDoS zaštitu i kontrole dostupne u svojoj tarifi. Dodajte prikladna WAF pravila: WAF traži sumnjive obrasce u HTTP zahtjevima prije prosljeđivanja. DDoS zaštita i WAF rješavaju povezane, ali različite probleme; nijedno ne dokazuje da je svaki prihvaćen zahtjev jeftin za aplikaciju.

Počnite pravilima koja možete objasniti, pregledajte zahvaćeni promet i usko prilagodite pravila ako blokiraju legitimne kupce. Velik broj blokiranih zahtjeva sam nije mjerilo uspjeha. Cloudflare opisuje [postavljanje i podešavanje DDoS zaštite](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Posebno zaštitite skupe operacije

Zahtjev za slikom iz cachea obično je mnogo jeftiniji za origin od pretrage velikog broja zapisa. Ograničite učestalost zahtjeva skupim rutama prema normalnoj uporabi i kapacitetu usluge iza njih.

- Za prijavu ili slanje OTP-a spojite rubna ograničenja s aplikacijskim ograničenjima po računu ili odredištu. Jedna IP adresa može predstavljati mnogo stvarnih korisnika.
- Za pretragu ili izvještaje ograničite rad koji svaki zahtjev može pokrenuti; sam broj zahtjeva ne uklanja opasnost skupih zahtjeva.
- Za autentificirane API-je razmotrite korisnika ili API ključ uz mrežne signale. Distribuirani napadači mogu koristiti mnogo IP adresa.

Ne postoji univerzalan siguran prag. Promatrajte legitimne vrhunce, uvodite ograničenja pažljivo i mjerite rasterećenje backenda te odbijene valjane zahtjeve.

## 5. Koristite cache kada je dijeljenje sigurno

Predmemorirajte javne slike i statičke datoteke kako bi ponovljeni zahtjevi bili posluženi bez origina. U trgovini to smanjuje resurse za stalno posluživanje iste slike proizvoda.

Osobne košarice i stranice računa trebaju druga pravila jer korisnik ne smije dobiti tuđe podatke. Pregledajte cache ključeve i uvjete zaobilaženja prije spremanja dinamičkih odgovora. Cache smanjuje ponovljeni rad, ali prijavu i plaćanje ne čini automatski sigurnima pod opterećenjem.

## 6. Koristite hitne provjere uz plan povratka

Način Under Attack može tijekom incidenta prikazati provjeru pregledniku. Procijenite ga za pogođene rute preglednika i uklonite privremenu mjeru kada je prikladno. Strojni klijenti i payment webhooks možda je ne mogu proći pa trebaju odgovarajuću autentifikaciju i ciljane kontrole.

Na kraju provjerite mogu li pravi kupci pregledavati i dovršiti kupnju dok pratite latenciju origina, CPU, pritisak na bazu i pogreške. Ako izravan mrežni napad zasiti vezu origina, dogovorite zaštitu uzvodno s hosting pružateljem. Cilj je nastavak korisne usluge, a ne obećanje da nijedan napad ne može uzrokovati prekid.

1. Postavite Cloudflare na put zahtjeva

2. Zatvorite izravan pristup originu

3. Filtrirajte napade uz očuvanje pravih kupaca

4. Posebno zaštitite skupe operacije

5. Koristite cache kada je dijeljenje sigurno

6. Koristite hitne provjere uz plan povratka

Povezana pitanja