Защита от DDOS при помощи CloudFlare. Инструкция

Cloudflare - американская компания, предоставляющая услуги CDN, защиту от DDoS-атак, безопасный доступ к ресурсам и серверы DNS. Cloudflare предоставляют сеть серверов по всему миру для проксирования веб трафика. Примерно треть всех сайтов в мире проксируется через Cloudflare.

CDN (Content Delivery Network) - Сеть доставки контента. Обеспечивает кэширование части контента или страниц целиком. CDN-сервера Клаудфаре размещаются в разных частях мира, тем самым снижая расстояние между сервером и клиентом, отдавая трафик с ближайшего расположенного к пользователю сервера.

Преимущества Cloudflare

Использование Cloudflare открывает огромное количество преимуществ.

• Это бесплатный и надежный DNS-хостинг
• Сокращение времени загрузки страниц
• Защита от DDOS (бесплатно можно отбивать достаточно мощные ДДОС атаки)
• Защита сайта (возможность защищаться от XSS-атак, Layer 7 атак и других атак на сайты)
• Увеличение скорости отклика страниц
• Кэширование страниц сайта (бесплатное кэширование сайтов и ускорение загрузки, а также снижение нагрузки на сервер)
• Возможность скрытия реального IP адреса сайта
• Поддержка HTTP/2 и HTTP/3
• Поддержка TLS 1.3
• Поддержка SPDY
• Бесплатный SSL сертификат для сайта (возможность бесплатно использовать SSL на своём сайте, причём дают сертификаты от таких "грандов" как Comodo, GlobalSign и т.д.;)
• Возможность создания фильтров (правил фильтрации трафика)
• В случае смены хостинга изменения произойдут мгновенно и не нужно ждать распространения DNS

Недостатки Cloudflare

Есть и минусы при использовании Cloudflare.

• Т.к. данным сервисом часто пользуются различные серые личности, для скрытия IP-адресов скажем-так недобропорядочных сайтов, то существует вероятность попадания IP-адресов CloudFlare в под различные фильтры. Справедливости ради, вероятность эта очень мала, и Cloudflare достаточно оперативно банит аккаунты, на которых размещаются сайты неблагонадежных тематик. Да и поисковики прекрасно знают, что сайты на одном IP клаудфларе не являются сайтами одного и того же владельца (тем более сайтов на одном айпи могут быть тысячи).
  Если у вас паранойя - купите тарифный план за 20$ в месяц (Cloudflare Pro), там будет чистенький айпишник с несколькими приличными соседями.
  
  Также в платном тарифном плане вы получите множество красиво упакованной статистики по трафику.
• Не исключены ложные срабатывания на посетителей вашего ресурса, и им придётся проходить проверку, или они вообще не смогут войти на сайт. Впрочем, если у вас руки не из жопы, таких неудобств своим посетителям вы не доставите. Ну а если не уверены - закажите профессиональную настройку правил фильрации трафика. Уж поверьте, вы за всю жизнь не разберетесь так как разбираются профессионалы. Потому что для вас это темный лес, а они - профессионалы.
• Для полноценной защиты, вам придется перенести все ваши домены на днс-сервера CloudFlare
• После переноса на CloudFlare вам нужно будет сменить IP адрес на своем хостинге (потому что, зная айпи, как 2 пальца об асфальт уложить ваш сайт в обход CloudFlare).
• Нужно будет произвести некоторые работы на вашем хостинге, а именно - запретить все обращения к вашему серверу, кроме IP-адресов CF.
• Вам придется что-то придумывать с email рассылкой, если она есть, с почтой сервера (если она есть), т.к. нужно скрывать реальный IP-адрес сервера, иначе ддосер сможет его определить в заголовке письма и забить канал...

Но тем не менее, несмотря на эти небольшие минусы, CloudFlare - это единственный бесплатный способ защитить проект, если вы используете Shared хостинг или VDS/сервер.

Расположение серверов Cloudflare в мире

Несомненное преимущество Cloudflare - ваш сайт будет отдаваться с ближайшего к посетителю сервера Клауда. Это как ощутимо быстрее, так еще и НЕ создаст дополнительной нагрузки на ваш сервер.

Установка сайта за Cloudflare

1. Создаем аккаунт (регистрируемся) https://dash.cloudflare.com/sign-up
2. После регистрации заходим в консоль и жмем "Add a Site"
3. Указываем свой домен

После этого выбираем необходимый тарифный план (бесплатный - неприметный внизу) и жмем "Continue".

Ожидаем окончания операции, Cloudflare автоматически просканирует имеющиеся DNS записи.

Подробнее о ДНС записях

А запись - здесь нужно ввести IP адрес выделенного сервера или VDS. Или если у вас shared хостинг, то IP адрес этого shared хостинга.

AAAA запись - тоже самое, только для IPv6.

CNAME запись - псевдоним домена, часто используется для привязки блогов типа tumblr, ucoz, blogger и тому подобных к доменам второго уровня.

NS-записи домена

Далее по ходу пьесы Cloudflare скажет, что необходимо указать в качестве NS записи для домена.
NS-запись (Name-сервер) - главный тип, определяющий адреса DNS-серверов, обслуживающих домен.

Заходим к регистратору домена (или на свой хостинг, если домен покупали через них) и меняем NS записи. После этого все управление DNS будет происходить через панель Cloudflare.

Ну а теперь про защиту от ДДОС атак

Для начала несколько обязательных моментов.

• Нужно ОБЯЗАТЕЛЬНО использовать сторонний сервер почты для домена, например Яндекс или Маилру;
• Если причина переезда на Cloudflare в том, что ваш сайт находится под DDOS атакой, в некоторых случаях вам потребуется сменить хостинг. Зачастую смена IP адреса сервера не поможет, так как злоумышленники простым сканированием всех адресов хостинг провайдера найдут сайт и смогут атаковать его напрямую. Также внимательно стоит отнестись к тому, что CMS может в ответах от сервера возвращать реальный IP адрес сервера и в защите от DDOS не будет смысла, так как атакующие смогут направить трафик напрямую на сервер.
• Нужно ОБЯЗАТЕЛЬНО удалить NS-записи, которые ведут на сервер, КРОМЕ А-записей, и включить проксирование (Оранжевое облако). В примере ниже используется почта яндекса для домена.

Начальная защита Cloudflare

Вкладка Overview. Начальная страница настроек Cloudflare. Например, на скриншоте мы видим, что сервер за последний месяц подвергался нескольким (минимум 4) ДДОС атакам, суммарно почти 25 миллионов запросов.

К слову, сайт так и не удалось положить.

С этой же страницы вы можете включить режим Under attack mode - режим "под атакой". В этом режиме сайт открывается с задержкой, после проверки браузера посетителя, в течение которой он видит белый экран со служебными надписями. Основное назначение - защита от DDoS-атак для тех, у кого ничего не настроено.

Режим Under attack mode - это только временная мера. На некоторое время, пока вы как ужаленный ищете специалиста по настройке Cloudflare. В этот момент ваш сайт работает с перебоями, пропадает из выдачи поисковых систем, посетители не могут его открыть с первого раза, и так далее. Если ДДОС слабый, школьный, то в целом и так сойдет.

Режим Development Mode – режим "разработки", отключает кэширование на сайте. Обычно опция востребована при отладке сайта, правке дизайна или функционала, когда изменения сразу же отображаются на ресурсе. Иначе все вносимые обновления будут отображаться с задержкой, это неудобно.

Другие параметры защиты (Security Level) после недавних изменений в личном кабинете Cloudflare запрятаны по пути: Security - Settings.

Security Level

Essentially off: запретит доступ к вашему сайту только тем пользователям, которые на данный момент участвуют в известной сервису DoS атаке.
Подойдет веб-мастерам, которые используют CF в основном для увеличение скорости выдачи контента пользователям. Для использования в целях безопасности сайта - не подходит.

Security Level Low: Данный уровень безопасности предусматривает отсеивание только тех пользователей, которые регулярно и с высокой периодичностью участвуют в хакерских атаках на другие сайты. Отсеивается только малая часть вредоносного трафика. Этот уровень мало подходит для полноценной защиты сайта.

Security Level Medium: При использовании данного уровня безопасности пользователи будут отсеиваться на основе случаев спама, хакерских атак или атак типа DoS, которые производились данными пользователями на других сайтах. Необходим ввод капчи пользователям, которые были уличены в частых атаках на другие сайты.

Security Level High: обеспечивает широкую защиту от спама, хакерских атак, а также атак типа DDoS. Данный уровень безопасности требует ввода капчи каждым пользователем, который был уличен в злонамеренном поведении на других сайтах. Сервис проверяет браузер пользователя на наличие вредоносных сигнатур. Идеально подойдет для сайтов с высокими требованиями безопасности. На данном уровне риск ложного срабатывания системы безопасности минимален.

I'm Under Attack!: Будет показывать заглушку посетителям и проверять браузер ботам.

Настройки Cloudflare Security

Продолжим изучение раздела настроек. После редизайна - Cloudflare свалили в него почти все основные опции. Чтобы случайно на них наткнуться в правом боковом меню, нужно войти в левом меню в Security - WAF.

На этой странице прописываются правила фильтрации трафика. именно те правила, которые позволяют донастроить Клаудфларе и уверенно себя чувствовать даже во время ДДОС атаки. В сети вы найдете только самые простые варианты этих правил. Работающие продвинутые варианты ни один здравомыслящий профессионал выкладывать в открытый доступ не будет.

Тогда этот раздел у вас будет выглядеть примерно так.

Все остальные настройки клаудфларе (если прокликать каждый пункт в левой/правой менюшке) - это уже тонкая подстройка, в целом мало влияющая на саму защиту от ДДОС.

Ответы на остальные вопросы по Cloudflare вы найдете в последующих статьях.