Hur konfigurerar du Cloudflare för att skydda en webbplats mot DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare skyddar en webbplats bäst när anrop passerar genom tjänsten och applikationen klarar trafiken som återstår.** En enda inställning skyddar inte varje väg till servern.

Tänk dig en webbutik. Angripare kan översvämma produktbilder, upprepade gånger anropa en dyr sökfunktion eller kontakta servern direkt. Det belastar olika resurser, så konfigurationen behöver flera lager.

## 1. Placera Cloudflare i anropsvägen

Aktivera proxyläget för webbplatsens DNS-poster som stöds. Besökare når då Cloudflare före origin, servern som faktiskt kör webbplatsen. En DNS-only-post ger namnuppslagning; den skickar inte webbplatsens HTTP-trafik genom denna skyddsväg.

```text
Browser -> Cloudflare -> Origin -> Database
```

Det är grunden: Cloudflares filtrering hjälper endast anrop som når dit. Kontrollera varje publikt värdnamn som butiken använder, inklusive API-värdnamnet, inte bara huvuddomänen.

## 2. Stäng den direkta vägen till origin

Om angripare fortfarande kan nå origin direkt kan de kringgå filtreringen. Begränsa publik inkommande webbtrafik till relevanta Cloudflare-IP-intervall och håll dem uppdaterade. Utvärdera alternativt Cloudflare Tunnel, som ansluter utåt och kan undanröja behovet av publika inkommande webbportar.

Håll administrativ åtkomst på en separat skyddad väg och databaser borta från publika internet. Testa både normal åtkomst via Cloudflare och avvisad direktåtkomst. Att bara dölja IP-adressen räcker inte. Se [originskydd](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtrera attacker utan att förlora riktiga kunder

Granska det hanterade DDoS-skyddet och kontrollerna i abonnemanget. Lägg till lämpliga WAF-regler: en WAF granskar HTTP-anrop efter misstänkta mönster innan de vidarebefordras. DDoS-skydd och WAF-regler hanterar överlappande men olika problem; inget av dem bevisar att varje accepterat anrop är billigt för applikationen.

Börja med regler du kan förklara, granska berörd trafik och justera avgränsat om legitima kunder blockeras. Många blockerade anrop är inte i sig ett framgångsmått. Cloudflare beskriver [DDoS-konfiguration och justering](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Skydda dyra operationer separat

Ett anrop för en cachad bild kostar vanligtvis origin mycket mindre än en sökning som skannar många databasposter. Begränsa anropsfrekvensen till dyra endpoints utifrån normal användning och bakomliggande tjänsts kapacitet.

- För inloggning eller OTP-utskick, kombinera gränser vid nätkanten med applikationsgränser per konto eller mottagare. En IP-adress kan representera många riktiga användare.
- För sökning eller rapportgenerering, begränsa arbetet som varje anrop kan utlösa; bara begränsat antal anrop kan lämna dyra anrop farliga.
- För autentiserade API:er, beakta kunden eller API-nyckeln tillsammans med nätverkssignaler. Distribuerade angripare kan använda många IP-adresser.

Det finns ingen universellt säker gräns. Observera legitima toppar, inför gränser försiktigt och mät både avlastning av backend och avvisade giltiga anrop.

## 5. Använd cache där delning är säker

Cacha publika bilder och statiska filer så att upprepade anrop kan besvaras utan att nå origin. För butiken minskar det resurserna som går åt till att skicka samma produktbild upprepade gånger.

Personliga varukorgar och kontosidor behöver andra regler eftersom användare inte får ta emot varandras data. Granska cachenycklar och undantagsvillkor före cachning av dynamiska svar. Cache minskar upprepat arbete; den gör inte automatiskt inloggning eller köp säkra under belastning.

## 6. Använd nödkontroller med en återhämtningsplan

Under Attack-läget kan införa en webbläsarkontroll under en incident. Utvärdera det för berörda webbläsarrutter och ta bort den tillfälliga åtgärden när det är lämpligt. Maskinklienter och betalningswebhooks kanske inte klarar webbläsarkontroller, så deras rutter behöver lämplig autentisering och riktade kontroller.

Verifiera slutligen att riktiga kunder kan bläddra och slutföra köp samtidigt som origins svarstid, CPU, databastryck och fel övervakas. Om en direkt nätverksattack mättar origins anslutning, samordna skydd uppströms med driftleverantören. Målet är fortsatt användbar tjänst, inte ett löfte om att ingen attack kan orsaka störningar.

1. Placera Cloudflare i anropsvägen

2. Stäng den direkta vägen till origin

3. Filtrera attacker utan att förlora riktiga kunder

4. Skydda dyra operationer separat

5. Använd cache där delning är säker

6. Använd nödkontroller med en återhämtningsplan

Relaterade frågor