DDoS सुरक्षा
बाढ़ को किनारे पर ही रोक लिया जाता है, नेटवर्क-लेयर के हमलों को अपस्ट्रीम फ़िल्टर किया जाता है, और जो कुछ भी सर्वर तक पहुँचता है, उसे लक्षित साइट के अपने कर्नल-स्तरीय पिंजरे के भीतर ही सीमित कर दिया जाता है। कई परतें, जिनमें से प्रत्येक एक अलग काम करती है, ताकि एक साइट पर किया गया हमला उसके बगल वाली साइटों के लिए आउटेज न बने। यह वह सुरक्षा मॉडल है जिसे हमने दुनिया भर में 6,50,000 से अधिक साइटों को होस्ट करने वाले प्लेटफ़ॉर्म के लिए बनाया है, और बेसलाइन हर प्लान पर चलती है। उपलब्धता: प्रति-साइट डेटाबेस थ्रॉटलिंग अभी सक्रिय विकास में है और अभी उपलब्ध नहीं है। यहाँ वर्णित बाकी सब कुछ आज लाइव है।
एक वॉल्यूमेट्रिक फ्लड, L7 एप्लिकेशन फ्लड और स्लो कनेक्शन-एग्जॉशन अटैक तीन अलग-अलग समस्याएं हैं। हम इनमें से प्रत्येक का समाधान वहां करते हैं जहां इसे संभालना सबसे सस्ता और तेज़ होता है — फ्लीट के अपस्ट्रीम में, एज पर और केज के भीतर।
प्रvider-लेवल डीडीओएस प्रोटेक्शन हमारे वर्कर फ्लीट से पहले, नेटवर्क-लेयर फ्लड्स को अपस्ट्रीम में ही फ़िल्टर कर देता है, इससे पहले कि वह ट्रैफ़िक आपकी साइट को चलाने वाली मशीन पर किसी पोर्ट, एनआईसी या सीपीयू साइकल की खपत करे। एडवांस्ड और एंटरप्राइज़ रिस्क प्रोफाइल के लिए, Cloudflare Magic Transit और Spectrum यही फ़िल्टरिंग नॉन-एचटीटीपी ट्रैफ़िक तक बढ़ाते हैं।
एक प्रबंधित एज नेटवर्क हर साइट के सामने मौजूद होता है। यह वॉल्यूमेट्रिक HTTP फ्लड को अवशोषित करता है, L7 WAF चलाता है, प्रति साइट रेट लिमिटिंग लागू करता है, और अनुरोध के ओरिजिन तक पहुँचने से पहले असली आगंतुकों को स्वचालित ट्रैफ़िक से अलग करने के लिए बॉट प्रबंधन और प्रबंधित चुनौतियों का उपयोग करता है।
LiteSpeed Enterprise कनेक्शन और अनुरोध थ्रॉटलिंग लागू करता है प्रति-IP कनेक्शन सीमाओं के साथ, Imunify360 ब्रूट-फ़र्स्ट सुरक्षा और IP रेपुटेशन फ़िल्टरिंग के साथ एक नेटवर्क फ़ायरवॉल चलाता है, और CloudLinux LVE प्रविष्टि-प्रक्रिया कैप इस बात को सीमित करते हैं कि कोई एकल साइट एक समय में कितने समवर्ती अनुरोधों को खुला रख सकती है।
LVE हर साइट के लिए व्यक्तिगत रूप से CPU, RAM, IO, IOPS, प्रक्रियाओं (processes) और एंट्री-प्रोसेस (entry-processes) की सीमा तय करता है। ऊपरी परतों से आने वाली बाढ़ (flood) को लक्षित साइट के अपने पिंजरे (cage) के भीतर ही नियंत्रित (throttle) किया जाता है, ताकि इसके द्वारा बनाया गया दबाव सर्वर पर फैलने के बजाय उसी साइट तक सीमित रहे।
हमले के दौरान होने वाले अधिकांश होस्टिंग आउटेज इस वजह से नहीं होते कि हमला अपने लक्ष्य तक पहुँच जाता है। वे इस वजह से होते हैं कि लक्ष्य का संसाधन उपभोग बॉक्स पर मौजूद बाकी हर चीज़ को भूखा मार देता है। यही वह विफलता मोड है जिसे हटाने के लिए इस वास्तुकला को डिज़ाइन किया गया है।
सबसे सस्ती रिक्वेस्ट वह है जो कभी PHP या MySQL को छूती ही नहीं है। हमारे टू-लेयर कैश का मतलब है कि एप्लिकेशन-लेयर पर आने वाली भारी बाढ़ का एक बड़ा हिस्सा आपके ओरिजिन द्वारा काम करने के बजाय स्टैटिक बाइट्स द्वारा हल कर दिया जाता है।
शमन कोई सपोर्ट टिकट नहीं है। सिग्नल एक पॉलिसी इंजन को फीड करते हैं जो प्रत्येक को एक प्रवर्तन कार्रवाई, एक ग्राहक सूचना और — जहाँ संभव हो — एक स्वचालित सुधार से मैप करता है, जिसमें प्रत्येक ट्रांज़िशन लॉग होता है।
जब कोई DDoS सिग्नल ट्रिगर होता है, तो पॉलिसी इंजन Cloudflare शमन और प्रति-साइट रेट लिमिटिंग लागू करता है, और गतिशील रूप से उस साइट की LVE सीमाओं को कड़ा कर सकता है। जब सिग्नल साफ हो जाता है, तो सीमाएं फिर से ढीली हो जाती हैं। क्रमिक, परिवर्तनीय, और हर चरण पर लॉग किया गया।
यदि कोई हमला मूल सर्वर (ओरिजिन) के लिए खतरा पैदा कर रहा है, तो साइट 'थ्रॉटल्ड' (सीमित) स्थिति में चली जाती है — जिसमें सख्त LVE सीमाएँ और रेट लिमिटिंग लागू होती हैं, और साइट चालू तथा काम करती रहती है। दबाव कम होते ही थ्रॉटल्ड स्थिति स्वतः सामान्य हो जाती है; यह निलंबन (सस्पेंशन) नहीं है।
पॉलिसी इंजन के नीचे, LVE हर साइट के लिए CPU, IO और प्रोसेस उपयोग को मूल रूप से और स्वचालित रूप से सीमित (throttle) करता है। यह हमेशा चालू रहने वाली पहली पंक्ति है, जो यह तय होने से पहले ही काम करती है कि ट्रैफ़िक को अभी तक हमले के रूप में वर्गीकृत किया गया है या नहीं।
हर प्रवर्तन संक्रमण इसके कारण को दर्ज करता है, चाहे वह स्वचालित हो या स्टाफ द्वारा शुरू किया गया हो, और इसके पीछे के साक्ष्य को भी। आपको इस बात की सूचना दी जाती है कि क्या बदला गया है और इसे कैसे हल किया जाए, और हर कार्रवाई के खिलाफ अपील की जा सकती है।
बेसलाइन सुरक्षा वैकल्पिक नहीं है, क्योंकि एक आक्रमित या समझौता किया गया साइट इसके पड़ोसियों, हमारी सर्वर प्रतिष्ठा और हमारे आईपी रेंज के लिए खतरा पैदा करता है। जिन साइटों का जोखिम प्रोफ़ाइल इसकी माँग करता है, उनके लिए अधिक भारी सुरक्षा मौजूद है।
ट्रैफिक स्पाइक अक्सर एक लक्षण होता है। जिस सिग्नल पाइपलाइन से भारी ट्रैफ़िक को संभाला जाता है, वही उन सेंधमारी को भी पकड़ती है जो इसका कारण बनती हैं, जिससे किसी घटना को केवल अवशोषित करने के बजाय सही ढंग से वर्गीकृत किया जाता है।
डिजाइन का लक्ष्य रोकथाम है। प्रत्येक साइट सीमित CPU, RAM, IO, IOPS, प्रोसेसेज और एंट्री-प्रोसेसेज के साथ अपने स्वयं के CloudLinux LVE केज में, अपने स्वयं के CageFS फ़ाइलसिस्टम व्यू के साथ, और MySQL Governor के माध्यम से प्रति-साइट डेटाबेस थ्रॉटलिंग के साथ चलती है। किसी हमले से प्रभावित साइट पूरी मशीन की खपत करने के बजाय अपनी खुद की सीमा पर ही थ्रॉटल हो जाती है, और LiteSpeed प्रति-IP कनेक्शन सीमाएं यह तय करती हैं कि वह वेब सर्वर के कितने हिस्से पर नियंत्रण रख सकती है। रोकथाम को कर्नेल स्तर पर इंजीनियर किया गया है, न कि प्रति ग्राहक कॉन्फ़िगर किया गया है।
हर प्लान में बेसलाइन शामिल है: LVE और CageFS आइसोलेशन, LiteSpeed कनेक्शन और अनुरोध थ्रॉटलिंग, एक नेटवर्क फ़ायरवाल, प्रोएक्टिव WAF और मैलवेयर स्कैनिंग, फ़लीट के सामने Cloudflare एज एब्जॉर्प्शन और प्रदाता-स्तरीय नेटवर्क फ़िल्टरिंग के साथ। हम इसे शामिल करते हैं क्योंकि हम अपने खुद के फ़लीट की सुरक्षा को वैकल्पिक नहीं छोड़ सकते। उन्नत बॉट प्रबंधन, उच्च DDoS टीयर, उन्नत WAF नियम और समर्पित फ़ायरवाल नियम उन साइटों के लिए ऐड-ऑन हैं जिन्हें उनकी आवश्यकता है।
DDoS लक्ष्य होने का मतलब है Cloudflare शमन के साथ-साथ प्रति-साइट दर सीमा, और — केवल तभी जब हमला ऑरिजिन के लिए खतरा हो — 'throttled' स्थिति: कड़े LVE सीमाएँ, जिसमें साइट अभी भी चालू और कार्यरत रहती है। दबाव कम होते ही Throttled स्थिति स्वतः सामान्य हो जाती है। निलंबन (Suspended) गैर-भुगतान या पुष्टि किए गए दुरुपयोग के लिए आरक्षित है, और ऐसे में भी साइट टूटे हुए पृष्ठ के बजाय एक ब्रांडेड, कारण-विशिष्ट होल्डिंग पृष्ठ दिखाती है।
कैश से सर्व किए गए किसी भी कंटेंट के लिए नहीं। LSCache, PHP या MySQL को चालू किए बिना कैश्ड पेज अनुरोधों का उत्तर देता है, और एक पर-साइट Redis ऑब्जेक्ट कैश वास्तव में डायनामिक पेजों के लिए रीड्स का बोझ कम करता है। जो कुछ भी बचता है वह आपकी साइट की LVE प्रोसेस और एंट्री-प्रोसेस कैप्स और MySQL Governor की पर-साइट डेटाबेस थ्रॉटलिंग द्वारा सीमित होता है, ताकि एक साइट का डेटाबेस प्रेशर सर्वर पर न फैले। कार्ट, चेकआउट, माय-अकाउंट और सेशन पेज डिफ़ॉल्ट रूप से अनकैश्ड रहते हैं ताकि हार्डनिंग कभी भी किसी ट्रांजैक्शन को प्रभावित न करे।
हाँ, नेटवर्क लेयर पर। प्रदाता-स्तरीय DDoS सुरक्षा हमारे फ़leet से पहले अपस्ट्रीम में प्रोटोकॉल की परवाह किए बिना L3/4 फ़्लड को फ़िल्टर करती है, और उन्नत या एंटरप्राइज़ आवश्यकताओं के लिए Cloudflare Magic Transit और Spectrum नॉन-HTTP ट्रैफ़िक तक एज-ग्रेड शमन का विस्तार करते हैं।
हर प्रवर्तन परिवर्तन को उसके कारण, वह स्वचालित था या कर्मचारी-आरक्षित, और उसके पीछे के साक्ष्य के साथ लॉग किया जाता है। आपको इस बात की सूचना दी जाती है कि क्या बदला गया है और इसे क्या हल करता है, हर कार्रवाई के खिलाफ अपील की जा सकती है, और आपके अपने अनुपालन मार्ग के लिए विशेषाधिकार प्राप्त कार्रवाइयों को ऑडिट-लॉग किया जाता है। सिग्नलों को टूल में बिखरे होने के बजाय एक ही एब्यूज डेस्क में एकत्रित किया जाता है।
हाँ। Footprint-Free Hosting की शुरुआत बिना किसी कार्ड के 14-दिन के ट्रायल से होती है, जिसमें अधिकतम 5 साइटें शामिल हैं—कोई भुगतान विवरण नहीं, कोई प्रतिबद्धता नहीं। प्लान्स के साथ 30-दिन की बिना किसी झंझट के पैसे वापसी की गारंटी, मुफ़्त माइग्रेशन और कोई वेंडर लॉक-इन नहीं मिलता है।
नेटवर्क फ़िल्टरिंग, एज एब्जॉर्प्शन, सर्वर थ्रॉटलिंग और पर-साइट कंटेनमेंट आपके डिप्लॉय करते ही काम करना शुरू कर देते हैं — इसमें कुछ भी कॉन्फ़िगर नहीं करना पड़ता, और न ही किसी घटना के बीच में कुछ चालू करना पड़ता है। बिना कार्ड के 14-दिन के मुफ़्त ट्रायल के साथ शुरुआत करें, जिसके साथ 30-दिन की मनी-बैक गारंटी और मुफ़्त माइग्रेशन मिलते हैं।
निःशुल्क शुरू करें