Bagaimanakah Cloudflare dikonfigurasi untuk melindungi laman daripada DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare melindungi laman dengan baik apabila permintaan melaluinya dan aplikasi mampu menerima trafik yang masih diteruskan.** Menghidupkan satu tetapan tidak melindungi semua laluan ke pelayan.

Bayangkan kedai dalam talian. Penyerang mungkin membanjiri imej produk, mengulang carian mahal atau menghubungi pelayan secara langsung. Sumber yang digunakan berbeza, maka perlukan beberapa lapisan.

## 1. Letakkan Cloudflare dalam laluan permintaan

Hidupkan status proxied bagi rekod DNS laman yang disokong. Pelawat mencapai Cloudflare sebelum origin, iaitu pelayan sebenar laman. Rekod DNS-only hanya menyelesaikan nama; ia tidak menghantar trafik HTTP melalui laluan perlindungan ini.

```text
Browser -> Cloudflare -> Origin -> Database
```

Inilah asasnya: penapisan Cloudflare hanya membantu permintaan yang sampai kepadanya. Semak semua nama hos awam kedai, termasuk API, bukan domain utama sahaja.

## 2. Tutup laluan terus ke origin

Jika penyerang masih boleh mencapai origin secara langsung, penapisan boleh dipintas. Hadkan trafik web masuk awam kepada julat IP Cloudflare yang sesuai dan kemas kini julat itu. Sebagai pilihan lain, nilai Cloudflare Tunnel yang membuat sambungan keluar dan boleh menghapuskan keperluan port web masuk awam.

Asingkan akses pentadbiran pada laluan terlindung dan jangan dedahkan pangkalan data ke internet awam. Uji akses biasa melalui Cloudflare serta penolakan akses terus. Menyembunyikan IP sahaja tidak mencukupi. Lihat [perlindungan origin](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Tapis serangan sambil mengekalkan pelanggan sebenar

Semak perlindungan DDoS terurus dan kawalan pada pelan anda. Tambahkan peraturan WAF sesuai: WAF memeriksa corak HTTP mencurigakan sebelum meneruskan. DDoS dan WAF menangani masalah bertindih tetapi berbeza; tiada satu pun menjamin setiap permintaan diterima murah bagi aplikasi.

Mulakan peraturan yang boleh dijelaskan, periksa trafik terjejas dan laraskan secara terarah jika pelanggan sah disekat. Bilangan sekatan yang besar bukan ukuran kejayaan dengan sendirinya. Cloudflare menerangkan [persediaan dan pelarasan DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Lindungi operasi mahal secara berasingan

Permintaan imej dalam cache biasanya jauh lebih murah untuk origin berbanding carian yang mengimbas banyak rekod. Gunakan had kadar pada endpoint mahal berdasarkan penggunaan biasa dan kapasiti perkhidmatan belakangnya.

- Untuk log masuk atau OTP, gabungkan had edge dengan had aplikasi mengikut akaun atau destinasi. Satu IP boleh mewakili ramai pengguna sah.
- Untuk carian atau laporan, hadkan kerja yang boleh dicetuskan setiap permintaan; jumlah permintaan sahaja tidak menjinakkan permintaan mahal.
- Untuk API berautentikasi, pertimbangkan pelanggan atau kunci API bersama isyarat rangkaian. Penyerang teragih boleh menggunakan banyak IP.

Tiada ambang selamat sejagat. Perhatikan puncak sah, perkenalkan had dengan berhati-hati dan ukur kelegaan backend serta permintaan sah yang ditolak.

## 5. Cache apabila perkongsian selamat

Cache imej awam dan fail statik agar permintaan berulang dilayan tanpa mencapai origin. Bagi kedai, ini mengurangkan sumber untuk menghantar imej produk sama berkali-kali.

Troli peribadi dan halaman akaun memerlukan peraturan lain kerana pengguna tidak boleh menerima data orang lain. Semak kunci cache dan syarat pintasan sebelum menyimpan respons dinamik. Cache mengurangkan pengulangan; ia tidak menjadikan log masuk atau pembayaran automatik selamat di bawah beban.

## 6. Gunakan cabaran kecemasan dengan rancangan pemulihan

Mod Under Attack boleh memperkenalkan cabaran pelayar semasa insiden. Nilai untuk laluan pelayar terjejas dan buang langkah sementara apabila sesuai. Klien mesin dan webhook pembayaran mungkin tidak dapat melengkapkannya, maka perlukan autentikasi sesuai serta kawalan terarah.

Akhirnya, pastikan pelanggan sebenar boleh menyemak dan menyelesaikan pembelian sambil memantau latensi origin, CPU, tekanan pangkalan data dan ralat. Jika serangan rangkaian terus memenuhi sambungan origin, selaraskan perlindungan hulu dengan penyedia hos. Matlamatnya ialah perkhidmatan berguna berterusan, bukan janji bahawa tiada serangan boleh mengganggu.

1. Letakkan Cloudflare dalam laluan permintaan

2. Tutup laluan terus ke origin

3. Tapis serangan sambil mengekalkan pelanggan sebenar

4. Lindungi operasi mahal secara berasingan

5. Cache apabila perkongsian selamat

6. Gunakan cabaran kecemasan dengan rancangan pemulihan

Soalan berkaitan