Si konfigurohet Cloudflare për të mbrojtur një faqe nga DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare e mbron më mirë një faqe kur kërkesat kalojnë përmes tij dhe aplikacioni mund ta përballojë trafikun që mbetet.** Aktivizimi i një cilësimi nuk mbron çdo rrugë drejt serverit tuaj.

Imagjinoni një dyqan online. Sulmuesit mund të vërshojnë kërkesa për imazhe produktesh, të thërrasin vazhdimisht një endpoint kërkimi të kushtueshëm ose të kontaktojnë drejtpërdrejt serverin. Këto konsumojnë burime të ndryshme, prandaj konfigurimi kërkon disa shtresa.

## 1. Vendoseni Cloudflare në rrugën e kërkesave

Aktivizoni statusin proxied për regjistrimet DNS të mbështetura të faqes. Vizitorët atëherë arrijnë te Cloudflare përpara origin-it, serverit që drejton realisht faqen. Regjistrimi DNS-only zgjidh emrin; nuk e dërgon trafikun HTTP të faqes përmes kësaj rruge mbrojtjeje.

```text
Browser -> Cloudflare -> Origin -> Database
```

Kjo është baza: filtrimi në Cloudflare ndihmon vetëm kërkesat që arrijnë tek ai. Kontrolloni çdo hostname publik që përdor dyqani, përfshirë hostname-in e API-së, jo vetëm domenin kryesor.

## 2. Mbyllni rrugën e drejtpërdrejtë te origin-i

Nëse sulmuesit ende arrijnë drejtpërdrejt te origin-i, mund ta anashkalojnë filtrimin. Kufizoni hyrjen publike web te intervalet e përshtatshme IP të Cloudflare dhe mbajini të përditësuara. Si alternativë, vlerësoni Cloudflare Tunnel, që lidhet nga brenda drejt jashtë dhe mund të heqë nevojën për porta publike hyrëse web.

Mbajeni aksesin administrativ në rrugë të veçantë të mbrojtur dhe databazat jashtë internetit publik. Testoni si hyrjen normale përmes Cloudflare, ashtu edhe refuzimin e hyrjes së drejtpërdrejtë. Vetëm fshehja e adresës IP nuk mjafton. Shihni [mbrojtjen e origin-it](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtroni sulmet duke ruajtur klientët realë

Shqyrtoni mbrojtjen e menaxhuar DDoS dhe kontrollet e disponueshme në planin tuaj. Shtoni rregulla të përshtatshme WAF: WAF kontrollon kërkesat HTTP për modele të dyshimta përpara përcjelljes. Mbrojtja DDoS dhe rregullat WAF trajtojnë probleme që mbivendosen por ndryshojnë; asnjëra nuk provon se çdo kërkesë e pranuar është e lirë për aplikacionin.

Nisni me rregulla që mund t’i shpjegoni, kontrolloni trafikun e prekur dhe rregulloni me shtrirje të ngushtë nëse bllokohen klientë të ligjshëm. Një numër i madh kërkesash të bllokuara nuk është vetvetiu matës suksesi. Cloudflare dokumenton [konfigurimin dhe rregullimin e DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Mbroni veçmas operacionet e kushtueshme

Një kërkesë për imazh në cache zakonisht i kushton origin-it shumë më pak se një kërkim që skanon shumë regjistrime databaze. Zbatoni kufij ritmi për endpoint-et e kushtueshme bazuar në përdorimin normal dhe kapacitetin e shërbimit pas tyre.

- Për hyrjen ose dërgimin e OTP-së, kombinoni kufijtë në skaj të rrjetit me kufijtë e aplikacionit sipas llogarisë ose destinacionit. Një IP mund të përfaqësojë shumë përdorues realë.
- Për kërkim ose gjenerim raportesh, kufizoni punën që çdo kërkesë mund të shkaktojë; vetëm kufizimi i numrit të kërkesave mund t’i lërë kërkesat e kushtueshme të rrezikshme.
- Për API të autentikuara, merrni parasysh klientin ose çelësin API bashkë me sinjalet e rrjetit. Sulmuesit e shpërndarë mund të përdorin shumë adresa IP.

Nuk ka prag universal të sigurt. Vëzhgoni kulmet e ligjshme, vendosni kufijtë me kujdes dhe matni si lehtësimin e backend-it, ashtu edhe kërkesat e vlefshme të refuzuara.

## 5. Përdorni cache kur ndarja është e sigurt

Ruani imazhet publike dhe skedarët statikë në cache, që kërkesat e përsëritura të shërbehen pa arritur te origin-i. Për dyqanin tonë, kjo ul burimet e harxhuara për shërbimin e përsëritur të të njëjtit imazh produkti.

Shportat personale dhe faqet e llogarisë kërkojnë rregulla të tjera, sepse përdoruesit nuk duhet të marrin të dhënat e dikujt tjetër. Shqyrtoni çelësat e cache-it dhe kushtet e anashkalimit përpara ruajtjes së përgjigjeve dinamike. Cache ul punën e përsëritur; nuk e bën automatikisht hyrjen ose përfundimin e blerjes të sigurt nën ngarkesë.

## 6. Përdorni kontrollet emergjente me plan rikuperimi

Modaliteti Under Attack mund të shtojë një sfidë verifikimi në shfletues gjatë incidentit. Vlerësojeni për rrugët e prekura të shfletuesit dhe hiqeni masën e përkohshme kur është e përshtatshme. Klientët automatikë dhe webhook-et e pagesave mund të mos e përfundojnë sfidën e shfletuesit, prandaj rrugët e tyre kërkojnë autentikim të përshtatshëm dhe kontrolle të synuara.

Në fund, verifikoni që klientët realë mund të shfletojnë dhe përfundojnë blerjen, ndërsa monitoroni vonesën e origin-it, CPU-në, presionin mbi databazën dhe gabimet. Nëse një sulm i drejtpërdrejtë rrjeti ngop lidhjen e origin-it, koordinoni mbrojtje më sipër në rrjet me ofruesin e hostimit. Qëllimi është vazhdimi i shërbimit të dobishëm, jo premtimi se asnjë sulm nuk mund të shkaktojë ndërprerje.

1. Vendoseni Cloudflare në rrugën e kërkesave

2. Mbyllni rrugën e drejtpërdrejtë te origin-i

3. Filtroni sulmet duke ruajtur klientët realë

4. Mbroni veçmas operacionet e kushtueshme

5. Përdorni cache kur ndarja është e sigurt

6. Përdorni kontrollet emergjente me plan rikuperimi

Pyetje të ngjashme