Jak skonfigurować Cloudflare, aby chronić stronę przed DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare najlepiej chroni stronę, gdy żądania przechodzą przez niego, a aplikacja wytrzymuje pozostały ruch.** Włączenie jednej opcji nie zabezpiecza każdej drogi do serwera.

Wyobraź sobie sklep internetowy. Atakujący mogą zalewać obrazki produktów, wielokrotnie wywoływać kosztowne wyszukiwanie albo kontaktować się bezpośrednio z serwerem. Zużywają różne zasoby, dlatego konfiguracja wymaga kilku warstw.

## 1. Umieść Cloudflare na drodze żądania

Włącz status proxied dla obsługiwanych rekordów DNS strony. Odwiedzający dotrą wtedy do Cloudflare przed origin, czyli serwerem faktycznie uruchamiającym stronę. Rekord DNS-only rozwiązuje nazwę, ale nie prowadzi ruchu HTTP przez tę ochronę.

```text
Browser -> Cloudflare -> Origin -> Database
```

To podstawa: filtrowanie w Cloudflare pomaga tylko żądaniom, które do niego trafią. Sprawdź każdą publiczną nazwę hosta sklepu, w tym API, nie tylko główną domenę.

## 2. Zamknij bezpośrednią drogę do origin

Jeśli atakujący nadal docierają bezpośrednio do origin, omijają filtrowanie. Ogranicz publiczny przychodzący ruch webowy do właściwych zakresów IP Cloudflare i aktualizuj te zakresy. Alternatywnie oceń Cloudflare Tunnel, który łączy się na zewnątrz i może usunąć potrzebę publicznych portów wejściowych WWW.

Administrację prowadź osobną chronioną drogą, a bazy trzymaj poza publicznym internetem. Testuj normalny dostęp przez Cloudflare i odrzucanie bezpośredniego dostępu. Samo ukrycie IP nie wystarcza. Zobacz [ochronę origin](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtruj ataki, zachowując prawdziwych klientów

Sprawdź zarządzaną ochronę DDoS i funkcje swojego planu. Dodaj odpowiednie reguły WAF: WAF szuka podejrzanych wzorców w żądaniach HTTP przed przekazaniem dalej. Ochrona DDoS i WAF rozwiązują częściowo wspólne, ale różne problemy; żadna nie dowodzi, że każde przyjęte żądanie jest tanie dla aplikacji.

Zacznij od zrozumiałych reguł, obserwuj dotknięty ruch i koryguj je precyzyjnie, jeśli blokują klientów. Duża liczba blokad sama w sobie nie mierzy sukcesu. Cloudflare opisuje [konfigurację i dostrajanie DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Osobno chroń kosztowne operacje

Żądanie obrazka z cache zwykle kosztuje origin znacznie mniej niż wyszukiwanie skanujące wiele rekordów. Ustal limity tempa drogich endpointów według normalnego użycia i pojemności usługi za nimi.

- Dla logowania i OTP łącz limity brzegowe z limitami aplikacji na konto lub odbiorcę. Jeden IP może reprezentować wielu prawdziwych użytkowników.
- Dla wyszukiwania i raportów ogranicz pracę uruchamianą przez jedno żądanie; sama liczba żądań nie eliminuje kosztownych wywołań.
- Dla uwierzytelnionych API uwzględnij klienta lub klucz API obok sygnałów sieciowych. Rozproszeni atakujący mogą używać wielu IP.

Nie istnieje uniwersalny bezpieczny próg. Obserwuj legalne szczyty, ostrożnie wprowadzaj limity i mierz zarówno ulgę backendu, jak i odrzucone poprawne żądania.

## 5. Używaj cache tam, gdzie współdzielenie jest bezpieczne

Cache publicznych obrazków i plików statycznych pozwala obsługiwać powtórzenia bez origin. W sklepie zmniejsza to zasoby zużywane na wielokrotne wysyłanie tego samego zdjęcia produktu.

Prywatne koszyki i strony kont wymagają innych reguł, ponieważ użytkownik nie może otrzymać cudzych danych. Przed cache odpowiedzi dynamicznych sprawdź klucze i warunki pomijania cache. Caching zmniejsza powtórzoną pracę, ale nie zabezpiecza automatycznie logowania i zakupów pod obciążeniem.

## 6. Stosuj awaryjne wyzwania z planem przywrócenia

Under Attack mode może włączyć wyzwanie przeglądarkowe podczas incydentu. Oceń je dla dotkniętych tras przeglądarkowych i usuń tymczasowy środek w odpowiednim momencie. Klienci maszynowi i webhooki płatności mogą nie przejść wyzwania, więc potrzebują odpowiedniego uwierzytelnienia i ukierunkowanych zabezpieczeń.

Na końcu sprawdź, czy klienci mogą przeglądać i kończyć zakupy, monitorując opóźnienia origin, CPU, presję na bazę i błędy. Jeśli bezpośredni atak sieciowy nasyca łącze origin, uzgodnij z hostingiem ochronę wcześniej w sieci. Celem jest dalsze świadczenie użytecznej usługi, a nie obietnica, że żaden atak nigdy jej nie zakłóci.

1. Umieść Cloudflare na drodze żądania

2. Zamknij bezpośrednią drogę do origin

3. Filtruj ataki, zachowując prawdziwych klientów

4. Osobno chroń kosztowne operacje

5. Używaj cache tam, gdzie współdzielenie jest bezpieczne

6. Stosuj awaryjne wyzwania z planem przywrócenia

Powiązane pytania