DDoS संरक्षण
फ्लड्स एजवर शोषले जातात, नेटवर्क-स्तरीय हल्ले अपस्ट्रीममध्ये फिल्टर केले जातात आणि जे काही सर्व्हरपर्यंत पोहोचते ते लक्ष्यित साइटच्या स्वतःच्या कर्नल-स्तरीय पिंजऱ्यात रोखले जाते. अनेक स्तर, प्रत्येक वेगळे कार्य करत असल्याने, एका साइटला लक्ष्य केलेला हल्ला शेजारच्या साइट्ससाठी आउटेज बनत नाही. जगभरातील 700,000+ साइट्स होस्ट करणाऱ्या प्लॅटफॉर्मसाठी आम्ही तयार केलेले हे संरक्षण मॉडेल आहे आणि हे बेसलाइन प्रत्येक प्लॅनवर चालते. उपलब्धता: प्रति-साइट डेटाबेस थ्रॉटलिंग सक्रिय विकासात आहे आणि अद्याप उपलब्ध नाही. येथे वर्णन केलेले इतर सर्व आज कार्यरत आहे.
व्हॉल्युमेट्रिक फ्लड, L7 ॲप्लिकेशन फ्लड आणि मंद कनेक्शन-एक्झॉशन हल्ला या तीन वेगवेगळ्या समस्या आहेत. त्या हाताळणे जिथे सर्वात स्वस्त आणि जलद आहे तिथे आम्ही त्या प्रत्येकाचे निवारण करतो — फ्लीटच्या अपस्ट्रीममध्ये, एजवर आणि केजच्या आत.
प्रदाता-पातळीवरील DDoS संरक्षण आमच्या वर्कर फ्लीटच्या अपस्ट्रीमवर नेटवर्क-लेयर फ्लड्स फिल्टर करते, ज्यामुळे ती ट्रॅफिक तुमची साइट चालणाऱ्या मशीनवरील पोर्ट, NIC किंवा CPU सायकल वापरण्यापूर्वीच रोखली जाते. प्रगत आणि एंटरप्राइझ जोखीम प्रोफाइल्ससाठी, Cloudflare Magic Transit आणि Spectrum हेच फिल्टरिंग नॉन-HTTP ट्रॅफिकसाठी देखील विस्तारित करतात.
प्रत्येक साइटच्या समोर एक व्यवस्थापित एज नेटवर्क कार्यरत असते. ते व्हॉल्यूमेट्रिक HTTP पूर शोषून घेते, L7 WAF चालवते, प्रति-साइट दर मर्यादा लागू करते, आणि विनंती मूळ सर्व्हरपर्यंत पोहोचण्यापूर्वीच खऱ्या अभ्यागतांना स्वयंचलित ट्रॅफिकपासून वेगळे करण्यासाठी बॉट व्यवस्थापन आणि व्यवस्थापित आव्हानांचा वापर करते.
LiteSpeed Enterprise प्रति-IP कनेक्शन मर्यादेसह कनेक्शन आणि विनंती थ्रॉटलिंग लागू करते, Imunify360 ब्रूट-फोर्स संरक्षण आणि IP प्रतिष्ठा फिल्टरिंगसह नेटवर्क फायरवॉल चालवते, आणि CloudLinux LVE एंट्री-प्रोसेस मर्यादा एकाच साइटवर एकाच वेळी किती विनंत्या खुल्या राहू शकतात हे मर्यादित करतात.
LVE प्रत्येक साइटसाठी स्वतंत्रपणे CPU, RAM, IO, IOPS, प्रक्रिया आणि एंट्री-प्रक्रिया मर्यादित करते. वरील थरांमधून येणारा अतिरिक्त भार हा लक्ष्यित साइटच्या स्वतःच्या पिंजऱ्यातच नियंत्रित केला जातो, ज्यामुळे निर्माण झालेला दबाव संपूर्ण सर्व्हरवर पसरण्याऐवजी त्याच साइटपुरता मर्यादित राहतो.
हल्ल्याच्या वेळी बहुतेक होस्टिंग खंडित होणे हे हल्ला त्याच्या लक्ष्यापर्यंत पोहोचल्यामुळे होत नाही. ते लक्ष्याद्वारे संसाधनांचा वापर झाल्यामुळे सर्व्हरवरील इतर सर्व गोष्टी संसाधनांअभावी वंचित राहिल्यामुळे होते. अपयशाची हीच पद्धत काढून टाकण्यासाठी ही आर्किटेक्चर रचना करण्यात आली आहे.
हाताळण्यासाठी सर्वात स्वस्त विनंती ती आहे जी PHP किंवा MySQL ला कधीही स्पर्श करत नाही. आमच्या द्वि-स्तरीय कॅशेचा अर्थ असा आहे की अनुप्रयोग-स्तरीय मोठ्या भडीमाराचे उत्तर तुमच्या मूळ सर्व्हरने काम करण्याऐवजी स्थिर बाइट्सद्वारे दिले जाते.
शमन हे सपोर्ट तिकीट नाही. सिग्नल्स एका पॉलिसी इंजिनला दिले जातात जे प्रत्येकाला अंमलबजावणी कृती, ग्राहक सूचना आणि — शक्य असेल तिथे — स्वयंचलित उपायाशी मॅप करते, ज्यामध्ये प्रत्येक संक्रमण लॉग केले जाते.
जेव्हा DDoS सिग्नल सुरू होतो, तेव्हा पॉलिसी इंजिन Cloudflare मिटिगेशन आणि प्रति-साइट रेट लिमिटिंग लागू करते, आणि त्या साइटच्या LVE मर्यादा डायनॅमिकली अधिक कडक करू शकते. सिग्नल संपल्यावर, मर्यादा पुन्हा शिथिल होतात. प्रत्येक टप्प्यावर श्रेणीबद्ध, पूर्ववत करण्यायोग्य आणि नोंद केलेले.
एखादा हल्ला मूळ सर्व्हरसाठी धोकादायक ठरत असल्यास, साइट 'थ्रॉटल्ड' (throttled) स्थितीत जाते — साइट चालू राहून सेवा देत असतानाच अधिक कडक LVE मर्यादा आणि दर मर्यादा लागू केल्या जातात. भार कमी झाल्यावर थ्रॉटल्ड स्थिती आपोआप पूर्ववत होते; हे निलंबन नाही.
धोरण इंजिनच्या खाली, LVE प्रत्येक साइटसाठी CPU, IO आणि प्रक्रियेचा वापर मूळतः आणि आपोआप नियंत्रित करते. ट्रॅफिकचे हल्ल्यामध्ये वर्गीकरण केले गेले आहे की नाही याची पर्वा न करता चालणारी ही नेहमी सुरू असणारी पहिली संरक्षण फळी आहे.
प्रत्येक अंमलबजावणी संक्रमणामध्ये त्याचे कारण, ते स्वयंचलित होते की कर्मचाऱ्यांद्वारे सुरू केले गेले होते आणि त्यामागील पुरावे नोंदवले जातात. काय बदलले आहे आणि त्याचे निराकरण कसे करावे याबद्दल आपल्याला सूचित केले जाते आणि प्रत्येक कारवाईविरुद्ध अपील केले जाऊ शकते.
मूलभूत संरक्षण हे ऐच्छिक नाही, कारण हल्ला झालेली किंवा सुरक्षितता धोक्यात आलेली साइट तिच्या शेजारील घटकांना, आमच्या सर्व्हरच्या प्रतिष्ठेला आणि आमच्या IP श्रेणींना धोका निर्माण करते. ज्या साइट्सचे जोखीम प्रोफाइल तशी मागणी करते, त्यांच्यासाठी अधिक सक्षम संरक्षण उपलब्ध आहे.
वाहतुकीतील अचानक झालेली वाढ (ट्रॅफिक स्पाइक) हे बहुधा केवळ एक लक्षण असते. मोठ्या प्रमाणातील रहदारी हाताळणारी सिग्नल पाइपलाइनच याला कारणीभूत ठरणारे सुरक्षेतील धोकेही पकडते, ज्यामुळे एखादी घटना केवळ सामावून न घेता तिचे अचूक वर्गीकरण केले जाते.
या डिझाइनचे उद्दिष्ट नियंत्रण (कन्टेनमेंट) हे आहे. प्रत्येक साइट स्वतःच्या CloudLinux LVE केजमध्ये चालते, ज्यामध्ये मर्यादित CPU, RAM, IO, IOPS, प्रोसेसेस आणि एंट्री-प्रोसेसेस, स्वतःचे CageFS फाइलसिस्टम व्ह्यू आणि MySQL Governor द्वारे प्रति-साइट डेटाबेस थ्रॉटलिंग समाविष्ट असते. हल्ला झालेली साइट संपूर्ण मशिनचे स्त्रोत वापरण्याऐवजी स्वतःच्या मर्यादेत थ्रॉटल केली जाते आणि LiteSpeed ची प्रति-IP कनेक्शन मर्यादा ती वेब सर्व्हरचा किती भाग व्यापू शकते हे मर्यादित करते. हे नियंत्रण कर्नल स्तरावर तयार केलेले आहे, प्रत्येक ग्राहकानुसार कॉन्फिगर केलेले नाही.
पायाभूत संरक्षण प्रत्येक योजनेमध्ये समाविष्ट आहे: LVE आणि CageFS विलगीकरण, LiteSpeed कनेक्शन आणि विनंती थ्रॉटलिंग, नेटवर्क फायरवॉल, सक्रिय WAF आणि मालवेअर स्कॅनिंग, तसेच संपूर्ण सर्व्हर समूहाच्या संरक्षणासाठी Cloudflare एज ॲब्झॉर्प्शन आणि प्रदाता-स्तरीय नेटवर्क फिल्टरिंग. आम्ही हे समाविष्ट करतो कारण आम्ही आमच्या स्वतःच्या सर्व्हर समूहाचे संरक्षण पर्यायी ठेवू शकत नाही. प्रगत बॉट व्यवस्थापन, उच्च DDoS स्तर, सुधारित WAF नियम आणि समर्पित फायरवॉल नियम हे ज्या साइट्सना त्यांची आवश्यकता आहे त्यांच्यासाठी ॲड-ऑन म्हणून उपलब्ध आहेत.
DDoS चे लक्ष्य ठरल्यास, Cloudflare शमन (mitigation) आणि प्रति-साइट दर मर्यादा लागू केली जाते, आणि — केवळ जर हल्ल्यामुळे मूळ सर्व्हरला धोका निर्माण होत असेल तरच — 'throttled' स्थिती लागू होते: साइट चालू राहून सेवा देत असतानाच अधिक कठोर LVE मर्यादा. ताण कमी झाल्यावर थ्रॉटल केलेली स्थिती आपोआप पूर्ववत होते. सेवा निलंबन केवळ देयके न भरल्यास किंवा पुष्टी झालेल्या गैरवापरासाठीच राखीव आहे, आणि अशा वेळीही साइट खराब पृष्ठाऐवजी ब्रँडेड, कारण-विशिष्ट होल्डिंग पृष्ठ प्रदर्शित करते.
कॅशेमधून सर्व्ह केलेल्या कोणत्याही गोष्टीसाठी नाही. LSCache हे PHP किंवा MySQL ला कॉल न करता कॅशे केलेल्या पृष्ठांच्या विनंत्यांना प्रतिसाद देते, आणि प्रति-साइट Redis ऑब्जेक्ट कॅशे खरोखर डायनॅमिक असलेल्या पृष्ठांसाठी वाचनाचा भार हलका करते. उर्वरित भाग तुमच्या साइटच्या LVE प्रक्रिया आणि एंट्री-प्रक्रिया मर्यादांद्वारे तसेच MySQL Governor च्या प्रति-साइट डेटाबेस थ्रॉटलिंगद्वारे मर्यादित असतो, ज्यामुळे एका साइटवरील डेटाबेसचा भार सर्व्हरवर पसरू शकत नाही. कार्ट, चेकआउट, माझे खाते आणि सत्र पृष्ठे डीफॉल्टनुसार कॅशे न केलेली राहतात जेणेकरून सुरक्षेचे मजबुतीकरण कधीही व्यवहारात व्यत्यय आणत नाही.
होय, नेटवर्क लेयरवर. प्रदाता-स्तरीय DDoS संरक्षण प्रोटोकॉलची पर्वा न करता आमच्या ताफ्याच्या अपस्ट्रीममधील L3/4 पूर फिल्टर करते, आणि प्रगत किंवा एंटरप्राइझ आवश्यकतांसाठी Cloudflare Magic Transit आणि Spectrum एज-ग्रेड शमन नॉन-HTTP रहदारीपर्यंत वाढवतात.
प्रत्येक अंमलबजावणी स्थित्यंतर हे त्याचे कारण, ते स्वयंचलित होते की कर्मचाऱ्यांद्वारे सुरू केले गेले होते, आणि त्यामागील पुराव्यासह नोंदवले जाते. काय बदलले आहे आणि कशामुळे ते निराकरण होते याबद्दल आपल्याला सूचित केले जाते, प्रत्येक कारवाईविरुद्ध अपील केले जाऊ शकते, आणि आपल्या स्वतःच्या अनुपालन नोंदीसाठी विशेषाधिकार प्राप्त कारवायांचे ऑडिट-लॉग केले जाते. सिग्नल्स वेगवेगळ्या टूल्समध्ये विखुरले जाण्याऐवजी एकाच Abuse Desk मध्ये एकत्रित केले जातात.
होय. Footprint-Free होस्टिंग कार्डशिवाय 14 दिवसांच्या चाचणीसह सुरू होते ज्यामध्ये 5 साइट्स समाविष्ट आहेत — कोणतेही पेमेंट तपशील नाहीत, कोणतीही बांधिलकी नाही. प्लॅन्स 30 दिवसांच्या कोणतीही तक्रार नसलेली पैसे परत मिळण्याची हमी, विनामूल्य स्थलांतर आणि कोणताही विक्रेता लॉक-इन नसण्यासह समर्थित आहेत.
नेटवर्क फिल्टरिंग, एज अ‍ॅब्जॉर्प्शन, सर्व्हर थ्रॉटलिंग आणि प्रति-साइट कंटेनमेंट तुम्ही डिप्लॉय करताच त्वरित कार्यान्वित होतात — कॉन्फिगर करण्यासाठी काहीही नाही, घटनेदरम्यान काहीही सुरू करण्याची आवश्यकता नाही. कार्ड-मुक्त १४-दिवसांच्या चाचणीसह प्रारंभ करा, ज्याला ३०-दिवसांची मनी-बॅक हमी आणि विनामूल्य मायग्रेशनचे समर्थन आहे.
विनामूल्य सुरू करा