Citadel · Ochrona DDoS warstwy 7

Niech każde żądanie zasłuży na drogę do serwera.

Citadel działa przed Twoimi aplikacjami HTTP/HTTPS i decyduje, które żądania przepuścić, zweryfikować, spowolnić, obsłużyć z cache, eskalować lub zablokować – zanim Twój serwer poświęci na nie CPU, pracę bazy danych i przepustowość.

Wybierz ochronę Przeczytaj przewodnik konfiguracji Citadel

0 € plan Starter6 trybów weryfikacjiKażda ścieżka własne reguły

Dziennik decyzji

Jak Citadel obsługuje żądania: odwiedzający i roboty wyszukiwarek przechodzą przez Citadel do serwera, bot headless nie przechodzi weryfikacji JS i zostaje zablokowany kodem 403, a flood HTTP jest ograniczany kodem 429.

Sposób połączenia

Jeden rekord A. Citadel chroni Twoją stronę.

Cloudflare nadal obsługuje Twój DNS i edge. Citadel to stojący za nim reverse proxy, który decyduje, które żądania dotrą do Twojego serwera.

OdwiedzającyPrzeglądarka, bot lub flood
Edge CloudflareRekord A z proxy (pomarańczowa chmurka)
CitadelReverse proxy sprawdza każde żądanie
Twój serwerOtrzymuje tylko czysty ruch

Dodaj domenę w portalu Citadel
Podaj IP lub nazwę hosta serwera, port i ustawienie TLS do serwera.
Skieruj rekord A z proxy na Citadel
Skopiuj IP wejściowe (ingress) ze strony domeny. W DNS Cloudflare skieruj na nie domenę główną i każdą chronioną nazwę hosta z włączonym proxy, a SSL/TLS ustaw na Full.
Citadel potwierdza połączenie
Sprawdza je mniej więcej co minutę; możesz też wybrać „Check connection”. Status domeny zmieni się z „Awaiting DNS” na „Active”.

DNS CloudflareTwoja strefa zostaje w Cloudflare

Typ	Nazwa	Zawartość	Status proxy
`A`	`@`	IP wejściowe Citadel	Proxied
`A`	`www`	IP wejściowe Citadel	Proxied
`MX`	`@`	Twój serwer poczty	DNS only

Rekordy poczty, TXT i inne rekordy niezwiązane z WWW się nie zmieniają. Rekord WWW bez proxy (szara chmurka) omija Citadel. Przewodnik konfiguracji Cloudflare (po angielsku)

Citadel chroni ruch HTTP/HTTPS w warstwie 7. Ochrona przed atakami w warstwie sieciowej to osobne zadanie realizowane na edge.

Przebieg ataku

Edge przyjmuje falę ataku. Serwer ledwie to zauważa.

17-minutowy atak HTTP flood, pokazany na seriach Edge, Proxy i Blocked, których używa Citadel Analytics. Przesuń kursor po wykresie, aby odczytać każdą chwilę.

17-minutowy flood HTTPPrzykładowy atak · 14:00–14:30

Żądania na edge
Zablokowane na edge
Przekazane do serwera

Szczyt na edge: 18,7 tys.żąd./s
Szczyt na serwerze po eskalacji Auto: 671żąd./s
Żądania ataku zatrzymane na edge: 95,9%
Żądania, których serwer nigdy nie zobaczył: 16,4 mln

O 14:04 liczba żądań na edge rośnie z około 500 do 18,7 tys. na sekundę. Przez minutę część ataku dociera do serwera, potem Auto podnosi poziom weryfikacji do JS, a ruch na serwerze spada do około 671 żądań na sekundę aż do końca ataku o 14:21.

Dlaczego warstwa 7 jest inna

Ruch z ataku może wyglądać normalnie, dopóki nie sprawdzisz, co robi.

Atak DDoS w warstwie 7 zalewa stronę żądaniami HTTP, które wyglądają jak prawdziwi odwiedzający: wczytania stron, logowania, wyszukiwania i wywołania API. Same filtry przepustowości go nie zatrzymają. Dlatego Citadel skupia się na żądaniach, ścieżkach i sesjach, zamiast udawać, że każdy problem z DDoS to tylko problem przepustowości.

Flood HTTP

Duża liczba żądań, które wyglądają na tyle poprawnie, że aplikacja i baza danych wykonują prawdziwą pracę.

Zalecane ustawienie

Auto z presetem limitu żądań. Auto eskaluje podczas ataku i wraca do normy, gdy ruch się uspokaja.

Charakter ruchu

1Sygnały częstotliwości
2Weryfikacja
3Ostrzeżenie
4Tymczasowa blokada

Sterowanie

Mocne ustawienia domyślne, jawne wyjątki, widoczne efekty.

Citadel pozwala zrozumieć, dlaczego ruch zmienił stan, bez zgadywania, co postanowiła niewidzialna czarna skrzynka.

Sześć poziomów weryfikacji, jeden na domenę

Zdecyduj, jak wysoką barierę stawia domena. Wybierz poziom, aby zobaczyć, kto przejdzie dalej.

Bariera

Startuje od spokojnego poziomu bazowego, eskaluje podczas ataku i wraca, gdy ruch się uspokaja. Punkt wyjścia dla publicznych stron.

Odwiedzający w przeglądarce: Bez przeszkód do czasu ataku
API i webhooki: Podczas ataku mogą zostać przerwane
Klienci z listy dozwolonych: Omijają

Listy dozwolonych

Pasujący klienci omijają weryfikację, także w trybie Lockdown.

Ścieżka/api/
IP lub CIDR203.0.113.0/24
User-AgentStatusMonitor/2.1

Limity żądań i ostrzeżenia

Przy powtarzających się naruszeniach reakcja zaostrza się krok po kroku, a nie według jednej topornej reguły.

Ostrzeżenie 1
Ostrzeżenie 2
Tymczasowa blokada
Odblokowanie

Cache przed serwerem

Odpowiednie odpowiedzi statyczne są podawane z cache, więc powtarzane żądania nie obciążają serwera.

W cache.css.jsobrazyczcionki

Pominięte/api//admin/

Alerty i stan serwera

Powiadomienia e-mail i webhook oraz sondy stanu z opóźnieniem i statusem.

WebhookPoczątek ataku
E-mailKoniec ataku
HealthSonda serwera 200

Własne strony weryfikacji i błędów

Wklej szkielet HTML dla każdego typu strony. Citadel wstawi prawdziwe elementy weryfikacji.

Strony weryfikacji

Weryfikacja JS
Interaction
Lockdown

Strony błędów

403 Blokada
429 Limit żądań
502 · 503 · 504

<h1>{{BRAND}}</h1>
<p>{{MESSAGE}}</p>

Logi dostępu, bezpieczeństwa i błędów

Wpisy dostępu z metodą, ścieżką, statusem, IP, ASN, krajem i opóźnieniem. Wpisy bezpieczeństwa dla weryfikacji, blokad, limitów żądań i pominięć. Wpisy błędów dla błędów serwera 502, 503 i 504. Prześledź pojedyncze żądanie po jego ID. Logi są przechowywane przez 15 dni, a wrażliwe wartości zapytań są ukrywane.

ID żądaniaMetodaŚcieżkaStatusWynik

r-7f3aGET/pricing200Przekazane

r-81c2POST/login403Weryfikacja nieudana

r-9d04GET/search?q=[redacted]429Limit żądań

r-a6e1POST/api/webhook200Pominięte (lista dozwolonych)

r-b257GET/checkout502Serwer nieosiągalny

r-c9f8GET/reports504Przekroczony czas oczekiwania

Portal Citadel