Cum configurezi Cloudflare pentru a proteja un site de DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare protejează cel mai bine un site când cererile trec prin el, iar aplicația poate gestiona traficul rămas.** Activarea unei singure setări nu protejează toate căile către server.

Imaginează-ți un magazin online. Atacatorii pot inunda cererile de imagini, apela repetat un endpoint de căutare costisitor sau contacta direct serverul. Acestea consumă resurse diferite, deci configurația necesită mai multe straturi.

## 1. Pune Cloudflare pe traseul cererilor

Activează starea proxied pentru înregistrările DNS compatibile ale site-ului. Vizitatorii ajung atunci la Cloudflare înainte de origin, serverul care rulează efectiv site-ul. O înregistrare DNS-only rezolvă numele; nu trimite traficul HTTP al site-ului prin această cale de protecție.

```text
Browser -> Cloudflare -> Origin -> Database
```

Aceasta este fundația: filtrarea Cloudflare ajută doar cererile care ajung la el. Verifică fiecare hostname public al magazinului, inclusiv cel al API-ului, nu doar domeniul principal.

## 2. Închide ruta directă către origin

Dacă atacatorii pot ajunge direct la origin, pot ocoli filtrarea. Restricționează intrarea web publică la intervalele IP Cloudflare potrivite și menține-le actualizate. Alternativ, evaluează Cloudflare Tunnel, care se conectează spre exterior și poate elimina necesitatea porturilor web publice de intrare.

Păstrează administrarea pe o rută separată, protejată, și bazele de date în afara internetului public. Testează atât accesul normal prin Cloudflare, cât și respingerea accesului direct. Simpla ascundere a IP-ului nu este suficientă. Vezi [protecția originului](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtrează atacurile păstrând accesul clienților reali

Examinează protecția DDoS administrată și controalele disponibile în abonament. Adaugă reguli WAF potrivite: un WAF verifică tipare suspecte în cererile HTTP înainte de a le transmite. Protecția DDoS și regulile WAF tratează probleme parțial suprapuse, dar diferite; niciuna nu demonstrează că orice cerere acceptată este ieftină pentru aplicație.

Începe cu reguli pe care le poți explica, inspectează traficul afectat și ajustează precis dacă sunt blocați clienți legitimi. Un număr mare de cereri blocate nu este singur o măsură a succesului. Cloudflare documentează [configurarea și ajustarea DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Protejează separat operațiile costisitoare

O cerere pentru o imagine din cache este de obicei mult mai ieftină pentru origin decât o căutare care scanează multe înregistrări. Aplică limite de rată endpointurilor costisitoare pe baza utilizării normale și a capacității serviciului din spate.

- Pentru autentificare sau livrarea OTP, combină limitele de la marginea rețelei cu limite pe cont sau destinație în aplicație. Un IP poate reprezenta mulți utilizatori reali.
- Pentru căutare sau generarea rapoartelor, limitează munca declanșată de fiecare cerere; limitarea doar a numărului poate lăsa cererile costisitoare periculoase.
- Pentru API-uri autentificate, ia în calcul clientul sau cheia API alături de semnalele rețelei. Atacatorii distribuiți pot folosi multe IP-uri.

Nu există un prag universal sigur. Observă vârfurile legitime, introdu limitele atent și măsoară atât reducerea sarcinii backendului, cât și cererile valide respinse.

## 5. Folosește cache-ul unde partajarea este sigură

Pune în cache imaginile publice și fișierele statice, astfel încât cererile repetate să fie servite fără să ajungă la origin. Pentru magazinul nostru, aceasta reduce resursele consumate pentru aceeași imagine de produs.

Coșurile personale și paginile contului necesită reguli diferite, deoarece utilizatorii nu trebuie să primească datele altcuiva. Verifică cheile cache și condițiile de ocolire înainte de a păstra răspunsuri dinamice. Cache-ul reduce munca repetată; nu face automat sigure autentificarea sau cumpărarea sub sarcină.

## 6. Folosește provocările de urgență cu un plan de recuperare

Modul Under Attack poate introduce o verificare în browser în timpul incidentului. Evalueaz-o pentru rutele browser afectate și elimină măsura temporară când este potrivit. Clienții automați și webhookurile de plată pot să nu rezolve verificările browserului, deci rutele lor necesită autentificare adecvată și controale țintite.

La final, verifică dacă clienții reali pot naviga și finaliza cumpărăturile, monitorizând latența originului, CPU, presiunea pe bază și erorile. Dacă un atac de rețea direct saturează conexiunea originului, coordonează protecția în amonte cu furnizorul de găzduire. Scopul este continuitatea serviciului util, nu promisiunea că niciun atac nu poate provoca întreruperi.

1. Pune Cloudflare pe traseul cererilor

2. Închide ruta directă către origin

3. Filtrează atacurile păstrând accesul clienților reali

4. Protejează separat operațiile costisitoare

5. Folosește cache-ul unde partajarea este sigură

6. Folosește provocările de urgență cu un plan de recuperare

Întrebări conexe