DDoS सुरक्षा
बाढीहरूलाई किनारमै अवशोषित गरिन्छ, नेटवर्क-तहका आक्रमणहरूलाई अपस्ट्रिममै फिल्टर गरिन्छ, र सर्भरसम्म पुग्ने जुनसुकै कुरालाई लक्षित साइटको आफ्नै कर्नेल-स्तरको पिँजडाभित्र नियन्त्रण गरिन्छ। धेरै तहहरू, प्रत्येकले फरक कार्य गर्दै, जसले गर्दा एउटा साइटलाई लक्षित गरिएको आक्रमणले त्यसको छेउमा रहेका अन्य साइटहरूका लागि अवरोध सिर्जना गर्दैन। विश्वभरिका 700,000+ भन्दा बढी साइटहरू होस्ट गर्ने प्लेटफर्मका लागि हामीले निर्माण गरेको सुरक्षा मोडेल यही हो, र यो आधारभूत सुरक्षा प्रत्येक योजनामा उपलब्ध हुन्छ। उपलब्धता: प्रति-साइट डाटाबेस थ्रोटलिङ सक्रिय विकासको क्रममा छ र अझै उपलब्ध छैन। यहाँ वर्णन गरिएका बाँकी सबै सुविधाहरू आजदेखि नै सक्रिय छन्।
भोल्युमेट्रिक बाढी, L7 अनुप्रयोग बाढी, र ढिलो कनेक्सन-थकावट आक्रमण तीन फरक समस्याहरू हुन्। हामी ती प्रत्येकलाई ह्यान्डल गर्न सबैभन्दा सस्तो र छिटो हुने ठाउँमा ह्यान्डल गर्छौं — फ्लीटको अपस्ट्रिममा, किनारमा, र केज भित्र।
प्रदायक-स्तरको DDoS सुरक्षाले हाम्रो वर्कर फ्लीटको अपस्ट्रिममै नेटवर्क-लेयर बाढीहरूलाई फिल्टर गर्छ, जसले गर्दा त्यो ट्राफिकले तपाईंको साइट चलिरहेको मेसिनको पोर्ट, NIC वा CPU चक्र प्रयोग गर्न पाउँदैन। उन्नत र उद्यम जोखिम प्रोफाइलहरूको लागि, Cloudflare Magic Transit र Spectrum ले यही फिल्टरिङलाई गैर-HTTP ट्राफिकमा पनि विस्तार गर्छन्।
प्रत्येक साइटको अगाडि एउटा व्यवस्थित एज नेटवर्क रहन्छ। यसले भोल्युमेट्रिक HTTP बाढीहरूलाई सोस्छ, L7 WAF सञ्चालन गर्छ, प्रति-साइट दर सीमा लागू गर्छ, र अनुरोध मूल सर्भरमा पुग्नु अगावै वास्तविक आगन्तुकहरूलाई स्वचालित ट्राफिकबाट अलग गर्न बट व्यवस्थापन र व्यवस्थित चुनौतीहरूको प्रयोग गर्छ।
LiteSpeed Enterprise ले प्रति-IP जडान सीमाहरूसहित जडान र अनुरोध थ्रोटलिंग लागू गर्दछ, Imunify360 ले ब्रूट-फोर्स सुरक्षा र IP प्रतिष्ठा फिल्टरिङसहितको नेटवर्क फायरवाल सञ्चालन गर्दछ, र CloudLinux LVE प्रविष्टि-प्रक्रिया सीमाहरूले एकल साइटले एकैपटक कतिवटा समवर्ती अनुरोधहरू खुला राख्न सक्छ भन्ने कुरालाई सीमित गर्दछ।
LVE ले प्रत्येक साइटका लागि CPU, RAM, IO, IOPS, प्रक्रियाहरू र प्रविष्टि-प्रक्रियाहरू व्यक्तिगत रूपमा सीमित गर्दछ। माथिल्लो तहहरूबाट पार हुने अत्यधिक ट्राफिकलाई लक्षित साइटकै आफ्नै पिँजडाभित्र नियन्त्रण गरिन्छ, जसले गर्दा यसले सिर्जना गर्ने दबाब सम्पूर्ण सर्भरमा फैलिनुको सट्टा सोही साइटमै सीमित रहन्छ।
आक्रमणको बेला हुने धेरैजसो होस्टिङ अवरोधहरू आक्रमण आफ्नो लक्ष्यमा पुगेका कारणले हुँदैनन्। ती अवरोधहरू लक्ष्यको स्रोत खपतले गर्दा सर्भरमा भएका अन्य सबै कुराहरू अभावमा पर्नुको कारणले हुन्छन्। यो त्यस्तो विफलता मोड हो जसलाई हटाउन यो संरचना डिजाइन गरिएको हो।
प्रक्रिया गर्न सबैभन्दा किफायती अनुरोध त्यो हो जसले PHP वा MySQL लाई कहिल्यै छुँदैन। हाम्रो दुई-तहको क्यासको अर्थ हो कि एप्लिकेसन-तहको बाढीको ठूलो हिस्सा तपाईंको मूल सर्भरले काम गर्नुको सट्टा स्थिर बाइटहरूद्वारा सम्बोधन गरिन्छ।
न्यूनीकरण कुनै समर्थन टिकट होइन। संकेतहरूले नीति इन्जिनलाई फिड गर्छन् जसले प्रत्येकलाई प्रवर्तन कार्य, ग्राहक सूचना र — जहाँ सम्भव हुन्छ — स्वचालित समाधानमा नक्सांकन गर्दछ, जसमा प्रत्येक संक्रमण लग गरिएको हुन्छ।
जब कुनै DDoS सङ्केत सक्रिय हुन्छ, नीति इन्जिनले Cloudflare न्यूनीकरण र प्रति-साइट दर सीमितता लागू गर्दछ, र त्यो साइटको LVE सीमाहरू गतिशील रूपमा कडा गर्न सक्छ। सङ्केत हट्दा, सीमाहरू फेरि सहज हुन्छन्। क्रमिक, पूर्ववत गर्न सकिने, र प्रत्येक चरणमा लग गरिएको।
यदि कुनै आक्रमणले मूल सर्भरलाई खतरामा पारिरहेको छ भने, साइट 'थ्रोटल' (throttled) अवस्थामा जान्छ — थप कडा LVE सीमाहरू र दर सीमितता लागू हुन्छन्, जबकि साइट अझै पनि सक्रिय र सेवारत रहन्छ। दबाब हटेपछि थ्रोटल भएको अवस्था स्वतः सामान्य हुन्छ; यो निलम्बन होइन।
नीति इन्जिन मुनि, LVE ले प्रति साइट CPU, IO र प्रक्रिया उपयोगलाई नेटिभ र स्वचालित रूपमा थ्रोटल गर्छ। यो सधैं सक्रिय रहने पहिलो रक्षा पङ्क्ति हो, ट्राफिकलाई अहिलेसम्म आक्रमणको रूपमा वर्गीकृत गरिएको छ वा छैन भन्ने पर्वाह नगरी चल्छ।
प्रत्येक कार्यान्वयन परिवर्तनले यसको कारण, यो स्वचालित थियो वा कर्मचारीद्वारा सुरु गरिएको थियो, र यसको पछाडिको प्रमाण रेकर्ड गर्दछ। के परिवर्तन भयो र यसलाई कसरी समाधान गर्ने भन्ने बारे तपाईंलाई सूचित गरिन्छ, र प्रत्येक कारबाहीविरुद्ध पुनरावेदन गर्न सकिन्छ।
आधारभूत सुरक्षा ऐच्छिक होइन, किनकि आक्रमण भएको वा जोखिममा परेको साइटले आफ्ना छिमेकीहरू, हाम्रो सर्भरको प्रतिष्ठा र हाम्रो IP दायराहरूलाई खतरामा पार्छ। जोखिम प्रोफाइलले माग गर्ने साइटहरूका लागि थप कडा सुरक्षा उपलब्ध छ।
ट्राफिकको अचानक वृद्धि प्रायः एक लक्षण मात्र हो। बाढीजस्तै आउने ट्राफिकलाई सम्हाल्ने उही सिग्नल पाइपलाइनले त्यसलाई उत्पन्न गराउने सुरक्षा कमजोरीहरूलाई पनि पहिचान गर्दछ, जसले गर्दा कुनै घटनालाई केवल अवशोषित गर्नुको सट्टा सही रूपमा वर्गीकृत गरिन्छ।
डिजाइनको लक्ष्य नियन्त्रण हो। प्रत्येक साइट सीमित CPU, RAM, IO, IOPS, प्रक्रियाहरू र प्रविष्टि-प्रक्रियाहरू सहित आफ्नै CloudLinux LVE पिंजराभित्र चल्छ, जसको आफ्नै CageFS फाइलप्रणाली दृश्य र MySQL Governor मार्फत प्रति-साइट डाटाबेस थ्रोटलिङ हुन्छ। आक्रमण गरिएको साइटले सम्पूर्ण मेसिन खपत गर्नुको सट्टा आफ्नै सीमामा थ्रोटल हुन्छ, र LiteSpeed प्रति-IP जडान सीमाहरूले यसले वेब सर्भरको कति भाग ओगट्न सक्छ भन्ने कुरालाई बाँध्छ। नियन्त्रण कर्नेलमा इन्जिनियर गरिएको छ, प्रति ग्राहक कन्फिगर गरिएको होइन।
आधारभूत सुरक्षा प्रत्येक योजनामा समावेश गरिएको छ: LVE र CageFS अलगाव, LiteSpeed जडान र अनुरोध थ्रोटलिङ, नेटवर्क फायरवाल, सक्रिय WAF र मालवेयर स्क्यानिङ, साथै सम्पूर्ण फ्लीटको अगाडि Cloudflare एज अवशोषण र प्रदायक-स्तरको नेटवर्क फिल्टरिङ। हामीले यसलाई समावेश गरेका छौँ किनभने हामी हाम्रो आफ्नै फ्लीटको सुरक्षालाई वैकल्पिक छोड्न सक्दैनौँ। उन्नत बोट व्यवस्थापन, उच्च DDoS स्तरहरू, परिष्कृत WAF नियमहरू र समर्पित फायरवाल नियमहरू आवश्यक पर्ने साइटहरूका लागि थप सुविधाहरू हुन्।
DDoS को निशाना बन्नु भनेको Cloudflare न्यूनीकरणका साथै प्रति-साइट दर सीमित हुनु हो, र — यदि आक्रमणले मूल सर्भर (origin) लाई नै खतरा पुर्याइरहेको छ भने मात्र — 'throttled' स्थिति लागू हुनु हो: साइट चालु रही सेवा प्रदान गरिरहेकै अवस्थामा अझ कडा LVE सीमाहरू। दबाब कम भएपछि थ्रोटल गरिएको स्थिति स्वतः सामान्य अवस्थामा फर्किन्छ। सेवा निलम्बन भुक्तानी नगरेको वा पुष्टि भएको दुरुपयोगको लागि मात्र सुरक्षित गरिएको छ, र त्यस्तो अवस्थामा पनि साइटले बिग्रिएको पृष्ठको सट्टा ब्रान्डेड, कारण-विशिष्ट होल्डिङ पृष्ठ देखाउँछ।
क्यासबाट सेवा दिइएका कुनै पनि कुराका लागि होइन। LSCache ले PHP वा MySQL लाई सक्रिय नगरी क्यास गरिएका पृष्ठ अनुरोधहरूको जवाफ दिन्छ, र प्रति-साइट Redis object cache ले साँच्चिकै गतिशील पृष्ठहरूका लागि पढ्ने भारलाई कम गर्दछ। बाँकी रहेको कुरा तपाईंको साइटको LVE प्रक्रिया र प्रविष्टि-प्रक्रिया सीमाहरू र MySQL Governor को प्रति-साइट डाटाबेस थ्रोटलिङद्वारा बाँधिएको हुन्छ, त्यसैले एउटा साइटको डाटाबेस दबाब सर्भरमा फैलिन सक्दैन। कार्ट, चेकआउट, मेरो-खाता र सत्र पृष्ठहरू पूर्वनिर्धारित रूपमा क्यास नगरिएका रहन्छन् ताकि सुरक्षा सुदृढीकरणले कहिल्यै पनि कारोबारमा बाधा नपुर्याओस्।
हो, नेटवर्क तहमा। प्रदायक-स्तरको DDoS सुरक्षाले प्रोटोकलको परवाह नगरी हाम्रो फ्लीटको माथिल्लो तहमा L3/4 फ्लडहरू फिल्टर गर्छ, र उन्नत वा इन्टरप्राइज आवश्यकताहरूको लागि Cloudflare Magic Transit र Spectrum ले गैर-HTTP ट्राफिकमा पनि एज-ग्रेड न्यूनीकरण विस्तार गर्छ।
प्रत्येक कार्यान्वयन परिवर्तन यसको कारण, यो स्वचालित थियो वा कर्मचारी-द्वारा प्रारम्भ गरिएको थियो, र यस पछाडिको प्रमाणको साथ लग गरिन्छ। के परिवर्तन भयो र के ले यसलाई समाधान गर्छ भन्ने बारे तपाईंलाई सूचित गरिन्छ, प्रत्येक कार्यविरुद्ध अपील गर्न सकिन्छ, र तपाईंको आफ्नै अनुपालन ट्रेलको लागि विशेषाधिकार प्राप्त कार्यहरूको अडिट-लग राखिन्छ। संकेतहरू उपकरणहरूमा छरिनुको सट्टा एकल Abuse Desk मा एकत्रित हुन्छन्।
हो। Footprint-Free होस्टिङ ५ वटा सम्म साइटहरू समेट्ने बिना-कार्ड १४-दिने परीक्षणबाट सुरु हुन्छ — कुनै भुक्तानी विवरणहरू चाहिँदैन, कुनै प्रतिबद्धता चाहिँदैन। योजनाहरू ३०-दिने बिना कुनै झन्झट पैसा फिर्ता हुने ग्यारेन्टी, नि:शुल्क माइग्रेसनहरू र कुनै भेन्डर लक-इन नहुने सुविधाहरूद्वारा समर्थित छन्।
नेटवर्क फिल्टरिङ, एज अवशोषण, सर्भर थ्रोटलिङ र प्रति-साइट रोकथाम तपाईंले डिप्लोय गर्ने क्षणदेखि नै चल्छन् — केही पनि कन्फिगर गर्नु पर्दैन, कुनै घटनाको बीचमा केही पनि सक्रिय गर्नु पर्दैन। कार्ड-रहित १४-दिने परीक्षणबाट सुरु गर्नुहोस्, जसमा ३०-दिने पैसा फिर्ता ग्यारेन्टी र नि:शुल्क माइग्रेसनको सुविधा समावेश छ।
निःशुल्क सुरु गर्नुहोस्