Citadel · DDoS-bescherming op Layer 7

Elk verzoek moet zijn weg naar je server verdienen.

Citadel staat vóór je HTTP/HTTPS-applicaties en bepaalt wat er wordt doorgelaten, gecontroleerd, afgeremd, uit de cache geleverd, geëscaleerd of geblokkeerd, nog voordat je server CPU, databasewerk en bandbreedte verbruikt.

Kies je bescherming Lees de installatiegids van Citadel

€ 0 Starter-pakket6 challengemodiPer pad eigen regels

Beslissingslog

Zo behandelt Citadel verzoeken: bezoekers en zoekcrawlers gaan via Citadel door naar je server, een headless bot zakt voor een JS-challenge en wordt geblokkeerd met 403, en een HTTP-flood wordt begrensd met 429.

Zo koppel je het

Eén A-record instellen. Citadel beschermt de site.

Cloudflare blijft je DNS en je edge. Citadel is de reverse proxy daarachter en bepaalt welke verzoeken je server bereiken.

BezoekerBrowser, bot of flood
Cloudflare-edgeA-record met proxy (oranje wolk)
CitadelReverse proxy controleert elk verzoek
Je serverOntvangt alleen schoon verkeer

Voeg het domein toe in de Citadel-portal
Vul het IP-adres of de hostnaam van je server in, plus de poort en de TLS-instelling naar je server.
Richt een A-record met proxy op Citadel
Kopieer het ingress-IP van de domeinpagina. Laat in Cloudflare DNS het hoofddomein en elke beschermde hostnaam daarnaar wijzen met Proxied aan, en zet SSL/TLS op Full.
Citadel bevestigt de verbinding
Citadel controleert dit ongeveer elke minuut, of je kiest “Check connection”. Het domein gaat dan van “Awaiting DNS” naar “Active”.

Cloudflare DNSJe zone blijft bij Cloudflare

Type	Naam	Inhoud	Proxystatus
`A`	`@`	Citadel-ingress-IP	Proxied
`A`	`www`	Citadel-ingress-IP	Proxied
`MX`	`@`	Je mailserver	DNS only

Mail-, TXT- en andere records die niet voor het web zijn, blijven ongewijzigd. Een webrecord zonder proxy (grijze wolk) slaat Citadel over. Cloudflare-installatiegids (Engelstalig)

Citadel beschermt verkeer op Layer 7 (HTTP/HTTPS). Mitigatie op netwerkniveau is een aparte taak van de edge.

Verloop van een aanval

De edge vangt de vloed op. Je server merkt er nauwelijks iets van.

Een HTTP-flood van 17 minuten, weergegeven met de reeksen Edge, Proxy en Blocked die Citadel Analytics gebruikt. Beweeg met de muis over de grafiek om elk moment af te lezen.

Een HTTP-flood van 17 minutenVoorbeeldaanval · 14:00 tot 14:30

Verzoeken bij de edge
Geblokkeerd bij de edge
Doorgestuurd naar je server

Piek bij de edge: 18,7kverz./s
Piek bij je server nadat Auto escaleerde: 671verz./s
Aanvalsverzoeken tegengehouden bij de edge: 95,9%
Verzoeken die je server nooit zag: 16,4 mln.

Om 14:04 stijgen de verzoeken bij de edge van ongeveer 500 naar 18,7k per seconde. Eén minuut lang bereikt een deel van de flood je server; daarna verhoogt Auto het challengeniveau naar JS en zakt het verkeer bij je server terug naar ongeveer 671 verzoeken per seconde, tot de aanval om 14:21 eindigt.

Waarom Layer 7 anders is

Aanvalsverkeer lijkt vaak normaal, tot je bekijkt wat het doet.

Een DDoS-aanval op Layer 7 overspoelt een website met HTTP-verzoeken die eruitzien als echte bezoekers: paginaweergaven, logins, zoekopdrachten en API-aanroepen. Bandbreedtefilters alleen houden dat niet tegen. Daarom richt Citadel zich op verzoeken, paden en sessies, in plaats van te doen alsof elk DDoS-probleem gewoon een bandbreedteprobleem is.

HTTP-flood

Een groot aantal verzoeken dat geldig genoeg lijkt om je applicatie en database echt werk te laten doen.

Aanbevolen instelling

Auto met een rate-limitpreset. Auto escaleert tijdens de flood en gaat terug zodra het verkeer rustiger wordt.

Verkeerspatroon

1Snelheidssignalen
2Challenge
3Strike
4Tijdelijke ban

Instellingen

Sterke standaardinstellingen, duidelijke uitzonderingen, zichtbare resultaten.

Citadel is zo ontworpen dat je kunt zien waarom de status van verkeer verandert, zonder te hoeven raden wat een onzichtbare black box heeft besloten.

Zes challengeniveaus, één per domein

Kies hoeveel frictie een domein toevoegt. Selecteer een niveau om te zien wie erdoor komt.

Frictie

Begint op een rustig basisniveau, escaleert tijdens een aanval en gaat terug zodra het verkeer rustiger wordt. Het startpunt voor openbare websites.

Bezoekers in een browser: Rustig tot er een aanval is
API’s en webhooks: Kan bij een aanval worden onderbroken
Clients op de allowlist: Omzeilen

Allowlists

Clients die overeenkomen, slaan challenges over, ook in Lockdown.

Pad/api/
IP of CIDR203.0.113.0/24
User-AgentStatusMonitor/2.1

Rate limits en strikes

Bij herhaalde overtreders loopt de reactie stap voor stap op, in plaats van één botte regel.

Strike 1
Strike 2
Tijdelijke ban
Hersteld

Cache vóór je server

Geschikte statische antwoorden komen uit de cache, zodat herhaalde verzoeken je server niet belasten.

In cache.css.jsafbeeldingenlettertypen

Overgeslagen/api//admin/

Meldingen en servergezondheid

Gebeurtenissen per e-mail en webhook, plus healthchecks met latentie en status.

WebhookAanval gestart
E-mailAanval voorbij
HealthServercheck 200

Je eigen challenge- en foutpagina’s

Plak per paginatype een HTML-sjabloon. Citadel voegt de echte verificatie-elementen toe.

Challengepagina’s

JS-challenge
Interaction
Lockdown

Foutpagina’s

403 Geblokkeerd
429 Rate limit
502 · 503 · 504

<h1>{{BRAND}}</h1>
<p>{{MESSAGE}}</p>

Access-, security- en errorlogs

Access-regels met methode, pad, status, IP, ASN, land en latentie. Security-regels voor challenges, blokkades, rate limits en omzeilingen. Error-regels voor de serverfouten 502, 503 en 504. Volg één verzoek via zijn ID. Logs blijven 15 dagen bewaard, met gevoelige querywaarden afgeschermd.

Verzoek-IDMethodePadStatusResultaat

r-7f3aGET/pricing200Doorgestuurd

r-81c2POST/login403Challenge mislukt

r-9d04GET/search?q=[redacted]429Rate limit

r-a6e1POST/api/webhook200Omzeild via allowlist

r-b257GET/checkout502Server onbereikbaar

r-c9f8GET/reports504Server-time-out

Citadel-portal