DDoS mühafizəsi
Daşqın hücumları kənarda udulur, şəbəkə səviyyəsindəki hücumlar yuxarı axında süzgəcdən keçirilir və serverə çatan hər şey hədəf saytın öz nüvə səviyyəsindəki qəfəsində saxlanılır. Hər biri fərqli bir iş görən bir neçə qat mövcuddur, buna görə də bir sayta yönəlmiş hücum yanındakı saytlar üçün kəsintiyə çevrilmir. Bu, dünya üzrə 700.000-dən çox sayta ev sahibliyi edən platforma üçün qurduğumuz müdafiə modelidir və baza səviyyəsi hər planda işləyir. Mövcudluq: sayt üzrə verilənlər bazasının məhdudlaşdırılması aktiv inkişaf mərhələsindədir və hələ əlçatan deyil. Burada təsvir olunan digər hər şey bu gün fəaliyyətdədir.
Həcmli daşqın hücumu, L7 tətbiq daşqını və zəif bağlantı tükəndirmə hücumu üç fərqli problemdir. Onların hər birini idarə etmək ən ucuz və ən sürətli olan yerdə həll edirik — donanmanın yuxarı axınında, kənarda və qəfəsin içində.
Provayder səviyyəli DDoS mühafizəsi veb-saytınızın işlədiyi maşında port, NIC və ya prosessor dövrünü sərf etməzdən əvvəl şəbəkə səviyyəsindəki daşqınları işçi parkımızın yuxarı axınında filtrləyir. Qabaqcıl və korporativ risk profilləri üçün Cloudflare Magic Transit və Spectrum eyni filtrləməni qeyri-HTTP trafikinə də tətbiq edir.
İdarə olunan kənar şəbəkə hər bir saytın qarşısında yerləşir. O, sorğu mənbəyə çatmazdan əvvəl həcmli HTTP daşqınlarını dəf edir, L7 WAF işlədir, sayt üzrə sürət məhdudiyyəti tətbiq edir və real ziyarətçiləri avtomatlaşdırılmış trafikdən ayırmaq üçün bot idarəetməsindən və idarə olunan yoxlamalardan istifadə edir.
LiteSpeed Enterprise hər IP üzrə bağlantı məhdudiyyətləri ilə bağlantı və sorğu məhdudlaşdırmasını tətbiq edir, Imunify360 kütləvi hücum (brute-force) mühafizəsi və IP reputasiya filtrləməsi ilə şəbəkə fayrvolunu işlədir, CloudLinux LVE giriş prosesi limitləri isə tək bir saytın eyni anda aça biləcəyi paralel sorğuların sayını məhdudlaşdırır.
LVE hər bir sayt üçün fərdi olaraq CPU, RAM, IO, IOPS, proseslər və giriş proseslərini məhdudlaşdırır. Yuxarı təbəqələrdən keçən həddindən artıq trafik hədəf saytın öz qəfəsində boğulur, beləliklə yaratdığı təzyiq server boyunca yayılmaq əvəzinə həmin saytda qalır.
Hücum zamanı baş verən hostinq kəsintilərinin əksəriyyəti hücumun hədəfinə çatması səbəbindən qaynaqlanmır. Onlar hədəfin resurs istehlakının serverdəki digər hər şeyi resursdan məhrum etməsi səbəbindən baş verir. Bu arxitektura məhz bu nasazlıq rejimini aradan qaldırmaq üçün layihələndirilib.
Qarşılamaq üçün ən qənaətcil sorğu, PHP və ya MySQL-ə heç toxunmayan sorğudur. İkiqat keşləmə sistemimiz sayəsində tətbiq səviyyəli intensiv sorğu axınının böyük bir hissəsi, əsas serveriniz işləmək məcburiyyətində qalmadan statik baytlar vasitəsilə cavablandırılır.
Təhlükənin azaldılması dəstək sorğusu deyil. Siqnallar hər birini icra tədbirinə, müştəri bildirişinə və — mümkün olduqda — avtomatik aradan qaldırmaya uyğunlaşdıran qaydalar mühərrikini qidalandırır və hər bir keçid qeydə alınır.
DDoS siqnalı işə düşdükdə, qaydalar mühərriki Cloudflare yumşaltmasını və sayt üzrə sorğu məhdudiyyətini tətbiq edir və həmin saytın LVE limitlərini dinamik şəkildə sərtləşdirə bilir. Siqnal təmizləndikdə isə limitlər yenidən yumşalır. Mərhələlidir, geri qaytarıla biləndir və hər addımda qeydə alınır.
Əgər hücum mənbə serveri təhdid edirsə, sayt «məhdudlaşdırılmış» vəziyyətə keçir — sayt hələ də aktiv və fəaliyyətdə olmaqla yanaşı daha sərt LVE limitləri və sürət məhdudiyyəti tətbiq olunur. Məhdudlaşdırılmış vəziyyət təzyiq aradan qalxdıqdan sonra avtomatik olaraq bərpa olunur; bu, fəaliyyətin dayandırılması deyil.
Qaydalar mühərrikinin altında LVE hər sayt üzrə CPU, IO və proses istifadəsini yerli və avtomatik olaraq tənzimləyir. Bu, trafikin hələ bir hücum kimi təsnif edilib-edilməməsindən asılı olmayaraq işləyən, hər zaman aktiv olan ilk xəttdir.
Hər bir icra keçidi onun səbəbini, avtomatik və ya heyət tərəfindən başladıldığını və arxasındakı sübutları qeydə alır. Sizə nəyin dəyişdiyi və bunun necə həll ediləcəyi barədə bildiriş göndərilir və hər bir hərəkətdən şikayət etmək mümkündür.
Baza mühafizəsi könüllü deyil, çünki hücuma məruz qalmış və ya təhlükəsizliyi pozulmuş sayt qonşularını, serverimizin reputasiyasını və IP diapazonlarımızı təhlükəyə atır. Risk profili tələb edən saytlar üçün daha güclü mühafizə mövcuddur.
Trafik artımı çox vaxt bir simptomdur. Daşqınları idarə edən eyni siqnal boru xətti onları törədən pozuntuları da aşkar edir, buna görə də insident sadəcə udulmaq əvəzinə düzgün təsnif edilir.
Dizayn məqsədi təcriddir. Hər bir sayt məhdudlaşdırılmış CPU, RAM, IO, IOPS, proseslər və giriş prosesləri, özünəməxsus CageFS fayl sistemi görünüşü və MySQL Governor vasitəsilə sayt üzrə verilənlər bazası məhdudlaşdırılması ilə öz CloudLinux LVE cage mühitində işləyir. Hücuma məruz qalan sayt bütün maşını tükətmək əvəzinə öz tavan səviyyəsində məhdudlaşdırılır və LiteSpeed IP üzrə bağlantı limitləri onun veb-serverin nə qədərini zəbt edə biləcəyini məhdudlaşdırır. Təcrid hər bir müştəri üçün fərdi konfiqurasiya edilməyib, nüvə (kernel) səviyyəsində mühəndisliklə təmin edilmişdir.
Baza səviyyəsi hər plana daxildir: donanmanın qarşısında Cloudflare kənar udma və provayder səviyyəli şəbəkə filtrləməsi ilə yanaşı LVE və CageFS təcridi, LiteSpeed bağlantı və sorğu məhdudlaşdırması, şəbəkə fayervolu, proaktiv WAF və zərərli proqram skanı. Bunu daxil edirik, çünki öz donanmamızın qorunmasını seçim kimi saxlaya bilmərik. Təkmil bot idarəetməsi, daha yüksək DDoS səviyyələri, təkmilləşdirilmiş WAF qaydaları və ayrılmış fayervol qaydaları ehtiyacı olan saytlar üçün əlavə xidmətlərdir.
DDoS hədəfi olmaq Cloudflare yumşaldılması və hər sayt üçün sorğu limitinin tətbiqi, həmçinin — yalnız hücum mənbə serveri təhdid etdikdə — 'məhdudlaşdırılmış' (throttled) vəziyyət deməkdir: sayt hələ də işlək və xidmət göstərərkən daha sərt LVE limitləri tətbiq olunur. Təzyiq aradan qalxdıqdan sonra məhdudlaşdırılmış vəziyyət avtomatik olaraq bərpa olunur. Fəaliyyətin dayandırılması yalnız ödəniş edilmədikdə və ya təsdiqlənmiş sui-istifadə hallarında tətbiq edilir və hətta bu halda belə sayt xətalı səhifə əvəzinə brendinizə uyğun, səbəbi bildirən xüsusi gözləmə səhifəsi təqdim edir.
Keşdən təqdim edilən heç bir şey üçün deyil. LSCache keşlənmiş səhifə sorğularını PHP və ya MySQL çağırmadan cavablandırır və hər sayt üçün ayrılmış Redis obyekt keşi həqiqətən dinamik səhifələr üçün oxuma yükünü azaldır. Yerdə qalanlar saytınızın LVE prosesi və giriş prosesi limitləri, eləcə də MySQL Governor-un hər sayt üçün verilənlər bazası məhdudlaşdırması ilə məhdudlaşdırılır, buna görə də bir saytın verilənlər bazası təzyiqi serverə yayıla bilməz. Sərtləşdirmənin heç vaxt tranzaksiyanı pozmaması üçün Cart, checkout, my-account və sessiya səhifələri standart olaraq keşlənməmiş qalır.
Bəli, şəbəkə səviyyəsində. Provayder səviyyəsində DDoS qorunması protokoldan asılı olmayaraq donanmamızdan yuxarı axında L3/4 daşqınlarını filtrləyir və qabaqcıl və ya korporativ tələblər üçün Cloudflare Magic Transit və Spectrum kənar səviyyəli təsirlərin azaldılmasını qeyri-HTTP trafikinə şamil edir.
Hər bir icra keçidi səbəbi, avtomatik və ya əməkdaş tərəfindən başladılması və arxasındakı sübutlarla birlikdə qeydə alınır. Nəyin dəyişdiyi və nəyin bunu həll etdiyi barədə sizə məlumat verilir, hər bir tədbirdən şikayət verilə bilər və imtiyazlı tədbirlər sizin uyğunluq izinizi təmin etmək üçün audit jurnalında saxlanılır. Siqnallar müxtəlif alətlərə səpələnmək əvəzinə vahid Abuse Desk daxilində toplanır.
Bəli. Footprint-Free Hostinq 5-ə qədər saytı əhatə edən, kart tələb olunmayan 14 günlük sınaq müddəti ilə başlayır — ödəniş məlumatı yoxdur, öhdəlik yoxdur. Planlar 30 günlük şərtsiz pulun geri qaytarılması zəmanəti, pulsuz miqrasiyalar və təchizatçıdan asılılığın olmaması ilə təmin edilir.
Şəbəkə filtrasiyası, kənar udma, server məhdudlaşdırması və sayt üzrə təcrid yerləşdirdiyiniz andan etibarən işləyir — konfiqurasiya ediləcək heç bir şey yoxdur, insident zamanı qoşulacaq heç bir şey yoxdur. Kart tələb olunmayan 14 günlük sınaq ilə başlayın, 30 günlük pulun geri qaytarılması zəmanəti və pulsuz köçürmələr ilə dəstəklənir.
Pulsuz başlayın