Hvordan konfigurerer du Cloudflare for å beskytte et nettsted mot DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare beskytter et nettsted best når forespørslene går gjennom tjenesten, og applikasjonen tåler trafikken som slipper gjennom.** Én innstilling beskytter ikke alle veier til serveren.

Tenk på en nettbutikk. Angripere kan overøse produktbilder med forespørsler, kalle et kostbart søkeendepunkt gjentatte ganger eller kontakte serveren direkte. Dette bruker forskjellige ressurser, så oppsettet trenger flere lag.

## 1. Plasser Cloudflare i forespørselsveien

Aktiver proxied-status for nettstedets støttede DNS-poster. Besøkende når da Cloudflare før origin, serveren som faktisk kjører nettstedet. En DNS-only-post gir navneoppslag; den sender ikke nettstedets HTTP-trafikk gjennom denne beskyttelsen.

```text
Browser -> Cloudflare -> Origin -> Database
```

Dette er grunnlaget: filtrering hos Cloudflare hjelper bare forespørsler som når dit. Kontroller alle offentlige vertsnavn butikken bruker, også API-vertsnavnet, ikke bare hoveddomenet.

## 2. Steng den direkte veien til origin

Hvis angripere fortsatt når origin direkte, kan de omgå filtreringen. Begrens offentlig innkommende webtrafikk til riktige Cloudflare-IP-områder og hold områdene oppdatert. Vurder alternativt Cloudflare Tunnel, som kobler utover og kan fjerne behovet for offentlige innkommende webporter.

Hold administrativ tilgang på en separat beskyttet vei og databaser borte fra offentlig internett. Test både vanlig tilgang gjennom Cloudflare og avvisning av direkte tilgang. Å skjule IP-adressen er ikke nok. Se [origin-beskyttelse](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtrer angrep uten å miste ekte kunder

Gå gjennom administrert DDoS-beskyttelse og kontrollene abonnementet tilbyr. Legg til egnede WAF-regler: en WAF undersøker HTTP-forespørsler for mistenkelige mønstre før videresending. DDoS-beskyttelse og WAF-regler håndterer overlappende, men ulike problemer; ingen av dem beviser at alle godtatte forespørsler er billige for applikasjonen.

Start med regler du kan forklare, undersøk berørt trafikk og juster målrettet hvis legitime kunder blokkeres. Et høyt antall blokkerte forespørsler er ikke i seg selv et suksessmål. Cloudflare beskriver [DDoS-oppsett og tilpasning](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Beskytt kostbare operasjoner separat

En forespørsel etter et cachet bilde er vanligvis mye billigere for origin enn et søk som skanner mange databaseposter. Bruk rategrenser på dyre endepunkter basert på normal bruk og kapasiteten bak dem.

- For innlogging eller OTP-utsending kombineres grenser ved nettverkskanten med applikasjonsgrenser per konto eller mottaker. Én IP kan representere mange ekte brukere.
- For søk eller rapportgenerering begrenses arbeidet hver forespørsel kan utløse; antallsgrenser alene kan la dyre forespørsler forbli farlige.
- For autentiserte API-er vurderes kunde eller API-nøkkel sammen med nettverkssignaler. Distribuerte angripere kan bruke mange IP-adresser.

Det finnes ingen universelt trygg terskel. Observer legitime topper, innfør grenser forsiktig og mål både avlastning av backend og avviste gyldige forespørsler.

## 5. Bruk caching der deling er trygg

Cache offentlige bilder og statiske filer slik at gjentatte forespørsler besvares uten origin. I butikken reduserer dette ressursene som brukes på å sende samme produktbilde gjentatte ganger.

Personlige handlekurver og kontosider krever andre regler fordi brukere ikke skal få andres data. Kontroller cache-nøkler og vilkår for å omgå cachen før dynamiske svar caches. Caching reduserer gjentatt arbeid; det gjør ikke innlogging eller utsjekking automatisk trygg under belastning.

## 6. Bruk nødutfordringer med en plan for normalisering

Under Attack mode kan innføre en nettleserutfordring under en hendelse. Vurder den for berørte nettleserruter og fjern det midlertidige tiltaket når det passer. Maskinklienter og betalingswebhooks klarer kanskje ikke nettleserutfordringer, så rutene deres trenger passende autentisering og målrettede kontroller.

Kontroller til slutt at ekte kunder kan navigere og fullføre kjøp, samtidig som svartid på origin, CPU, databasepress og feil overvåkes. Hvis et direkte nettverksangrep metter origins forbindelse, samarbeid med hostingleverandøren om beskyttelse lenger opp i nettverket. Målet er fortsatt nyttig tjeneste, ikke et løfte om at ingen angrep kan forstyrre den.

1. Plasser Cloudflare i forespørselsveien

2. Steng den direkte veien til origin

3. Filtrer angrep uten å miste ekte kunder

4. Beskytt kostbare operasjoner separat

5. Bruk caching der deling er trygg

6. Bruk nødutfordringer med en plan for normalisering

Relaterte spørsmål