Hogyan állítsuk be a Cloudflare-t egy webhely DDoS-védelméhez?

Question

IT Interview Practice · Accepted Answer

**A Cloudflare akkor védi legjobban a weboldalt, ha a kérések rajta haladnak át, és az alkalmazás elbírja a megmaradó forgalmat.** Egyetlen beállítás nem védi a szerverhez vezető összes utat.

Képzelj el egy webáruházat. A támadó eláraszthatja a termékképeket, ismételhet drága keresést vagy közvetlenül elérheti a szervert. Ezek más erőforrásokat fogyasztanak, ezért több védelmi réteg kell.

## 1. Helyezd a Cloudflare-t a kérés útjába

Kapcsold be a proxied állapotot a támogatott DNS-rekordoknál. A látogató így a Cloudflare-t éri el az origin előtt, amely a weboldalt ténylegesen futtató szerver. A DNS-only rekord nevet old fel, de a HTTP-forgalmat nem vezeti e védelmi útvonalon.

```text
Browser -> Cloudflare -> Origin -> Database
```

Ez az alap: a Cloudflare-szűrés csak az oda eljutó kéréseken segít. Minden nyilvános hosztnevet ellenőrizz, az API-ét is, ne csak a fő domaint.

## 2. Zárd le az origin közvetlen elérését

Ha a támadó közvetlenül eléri az origint, megkerüli a szűrést. A nyilvános webes bemenetet korlátozd a megfelelő Cloudflare IP-tartományokra, és tartsd naprakészen. Vagy vizsgálj Cloudflare Tunnelt, amely kifelé kapcsolódik és megszüntetheti a nyilvános bejövő webportok szükségét.

Az adminisztráció legyen külön védett útvonalon, az adatbázis pedig ne a nyilvános interneten. Teszteld a normál Cloudflare-elérést és a közvetlen hozzáférés elutasítását. Az IP elrejtése nem elég. Lásd az [origin védelmét](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Szűrd a támadást a valódi vásárlók megtartásával

Nézd át a kezelt DDoS-védelmet és a csomagod vezérlőit. Adj megfelelő WAF-szabályokat: a WAF továbbítás előtt gyanús mintákat keres a HTTP-kérésekben. A DDoS-védelem és WAF részben eltérő problémákat kezel; egyik sem bizonyítja, hogy minden átengedett kérés olcsó az alkalmazásnak.

Magyarázható szabályokkal kezdj, vizsgáld az érintett forgalmat, és szűken módosíts, ha valódi vásárlókat tiltanak. A sok blokkolt kérés önmagában nem siker. A Cloudflare leírja a [DDoS beállítását és hangolását](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. A drága műveleteket külön védd

Egy cache-elt kép általában sokkal olcsóbb az originnek, mint sok adatbázisrekordot vizsgáló keresés. A költséges végpontokra normál használat és mögöttes kapacitás alapján tegyél sebességkorlátot.

- Bejelentkezésnél vagy OTP-nél a peremhálózati korlát mellé fiók- vagy célalapú alkalmazáskorlát kell. Egy IP sok valódi felhasználót jelenthet.
- Keresésnél és riportnál az egy kérés által indítható munkát is korlátozd; a kérésszám önmagában nem teszi ártalmatlanná a drága kéréseket.
- Hitelesített API-nál a hálózati jelek mellett ügyfelet vagy API-kulcsot is nézz. Elosztott támadók sok IP-t használhatnak.

Nincs univerzális biztonságos küszöb. Figyeld a normál csúcsokat, óvatosan vezess be korlátot, és mérd a backend tehermentesítését és a téves elutasításokat.

## 5. Ott cache-elj, ahol biztonságos a megosztás

Nyilvános képeket és statikus fájlokat cache-elj, hogy az ismétlések ne érjék el az origint. A boltban így kevesebb erőforrás fogy ugyanazon termékkép kiszolgálására.

A személyes kosár és fiókoldal más szabályt igényel: senki ne kapja más adatait. Dinamikus válasz előtt ellenőrizd a cache-kulcsokat és megkerülési feltételeket. A cache csökkenti az ismételt munkát, de a bejelentkezést vagy fizetést nem védi automatikusan a túlterheléstől.

## 6. Vészhelyzeti ellenőrzést visszaállási tervvel használj

Az Under Attack mód incidens alatt böngészőellenőrzést adhat. Az érintett böngészős útvonalakra értékeld, és megfelelő időben vond vissza az átmeneti intézkedést. Gépi kliensek és fizetési webhookok nem feltétlenül teljesítik, ezért megfelelő hitelesítés és célzott védelem kell nekik.

Végül ellenőrizd a valódi böngészést és vásárlást, közben figyeld az origin késését, CPU-ját, adatbázis-terhelését és hibáit. Ha közvetlen hálózati támadás telíti a kapcsolatot, egyeztess a tárhelyszolgáltatóval feljebb elhelyezett védelemről. A cél a hasznos szolgáltatás fenntartása, nem a zavarhatatlanság ígérete.

1. Helyezd a Cloudflare-t a kérés útjába

2. Zárd le az origin közvetlen elérését

3. Szűrd a támadást a valódi vásárlók megtartásával

4. A drága műveleteket külön védd

5. Ott cache-elj, ahol biztonságos a megosztás

6. Vészhelyzeti ellenőrzést visszaállási tervvel használj

Kapcsolódó kérdések