ویب سائٹ کو DDoS سے بچانے کے لیے Cloudflare کیسے ترتیب دیں؟

Question

IT Interview Practice · Accepted Answer

**Cloudflare تب بہتر حفاظت کرتا ہے جب requests اسی سے گزریں اور application باقی traffic برداشت کرے۔** ایک setting فعال کرنے سے server تک ہر راستہ محفوظ نہیں ہوتا۔

Online دکان سوچیں۔ حملہ آور تصاویر پر بے شمار requests، مہنگے search endpoint پر مسلسل calls یا server سے براہِ راست رابطہ کر سکتے ہیں۔ یہ مختلف وسائل کھاتے ہیں، اس لیے کئی تہیں چاہیے۔

## 1. Cloudflare کو request کے راستے میں رکھیں

Website کے supported DNS records کو proxied کریں۔ لوگ origin سے پہلے Cloudflare پہنچیں گے؛ origin اصل server ہے جو website چلاتا ہے۔ DNS-only record نام resolve کرتا ہے، HTTP traffic اس حفاظتی راستے سے نہیں بھیجتا۔

```text
Browser -> Cloudflare -> Origin -> Database
```

یہ بنیاد ہے: Cloudflare filtering صرف وہاں آنے والی requests کے لیے مفید ہے۔ دکان کے تمام public hostnames، API سمیت، جانچیں؛ صرف مرکزی domain نہیں۔

## 2. Origin کا سیدھا راستہ بند کریں

حملہ آور origin تک سیدھے پہنچیں تو filtering سے بچ سکتے ہیں۔ Public web ingress مناسب Cloudflare IP ranges تک محدود کریں اور انہیں تازہ رکھیں۔ متبادل Cloudflare Tunnel دیکھیں، جو باہر کی طرف connect کرکے public inbound web ports کی ضرورت ختم کر سکتا ہے۔

انتظامی رسائی الگ محفوظ راستے پر اور databases public internet سے باہر رکھیں۔ Cloudflare سے معمول کی رسائی اور direct access کی ممانعت دونوں آزمائیں۔ صرف IP چھپانا کافی نہیں۔ [Origin protection](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/) دیکھیں۔

## 3. حقیقی گاہک بچاتے ہوئے حملے چھانٹیں

اپنے plan کی managed DDoS حفاظت اور controls دیکھیں۔ مناسب WAF rules لگائیں: WAF آگے بھیجنے سے پہلے HTTP requests کے مشتبہ patterns جانچتا ہے۔ DDoS اور WAF جزوی مشترک مگر مختلف مسائل سنبھالتے ہیں؛ کوئی ثابت نہیں کرتا کہ ہر قبول request application کے لیے سستی ہے۔

قابلِ وضاحت rules سے شروع کریں، متاثر traffic دیکھیں اور درست گاہک رکیں تو محدود اصلاح کریں۔ زیادہ blocked requests اکیلے کامیابی نہیں۔ Cloudflare کی [DDoS setup اور tuning](https://developers.cloudflare.com/ddos-protection/get-started/) رہنمائی دیکھیں۔

## 4. مہنگے کام الگ محفوظ کریں

Cached تصویر کی request عموماً origin کے لیے کئی database records scan کرنے والی search سے بہت سستی ہے۔ معمول کے استعمال اور پچھلی service کی capacity کے مطابق مہنگے endpoints کو rate limit دیں۔

- Login یا OTP میں edge limit کے ساتھ account یا destination کی application limit ملائیں۔ ایک IP کئی حقیقی صارفین ہو سکتے ہیں۔
- Search یا report کے لیے ہر request سے شروع ہونے والا کام محدود کریں؛ صرف تعداد روکنے سے مہنگی requests خطرناک رہ سکتی ہیں۔
- Authenticated APIs میں network signals کے ساتھ customer یا API key بھی دیکھیں۔ تقسیم شدہ حملہ آور کئی IP استعمال کرتے ہیں۔

کوئی عمومی محفوظ threshold نہیں۔ درست peak استعمال دیکھیں، احتیاط سے limits لگائیں اور backend راحت کے ساتھ rejected valid requests بھی ناپیں۔

## 5. جہاں اشتراک محفوظ ہو وہاں cache کریں

Public تصاویر اور static files cache کریں تاکہ repeated requests origin تک نہ جائیں۔ دکان میں اس سے ایک ہی تصویر بار بار فراہم کرنے کا خرچ کم ہوگا۔

ذاتی carts اور account pages کو الگ rules چاہیے، کیونکہ صارف کو دوسرے کا data نہیں ملنا چاہیے۔ Dynamic responses cache کرنے سے پہلے keys اور bypass شرائط جانچیں۔ Caching دہرایا کام گھٹاتی ہے، login یا checkout خودبخود load-safe نہیں بناتی۔

## 6. Recovery plan کے ساتھ emergency challenges استعمال کریں

Under Attack mode حادثے کے وقت browser challenge لگا سکتا ہے۔ متاثر browser routes پر جانچ کر مناسب وقت پر عارضی اقدام ہٹائیں۔ ممکن ہے کہ machine clients اور payment webhooks browser challenge مکمل نہ کر سکیں، لہٰذا ان کے routes کو مناسب authentication اور targeted controls چاہیے۔

آخر میں origin latency، CPU، database دباؤ اور errors دیکھتے ہوئے یقینی بنائیں کہ حقیقی گاہک browse اور checkout مکمل کر سکتے ہیں۔ Direct network attack origin link بھر دے تو hosting provider کے ساتھ upstream حفاظت مربوط کریں۔ مقصد کارآمد service جاری رکھنا ہے، یہ وعدہ نہیں کہ کوئی حملہ کبھی خلل نہیں ڈالے گا۔

1. Cloudflare کو request کے راستے میں رکھیں

2. Origin کا سیدھا راستہ بند کریں

3. حقیقی گاہک بچاتے ہوئے حملے چھانٹیں

4. مہنگے کام الگ محفوظ کریں

5. جہاں اشتراک محفوظ ہو وہاں cache کریں

6. Recovery plan کے ساتھ emergency challenges استعمال کریں

متعلقہ سوالات