Ochrona DDoS strony: pierwsze kroki
Ochrona DDoS strony z Citadel: dodaj domenę i serwer źródłowy, skieruj DNS Cloudflare z proxy na IP wejściowe, ustaw SSL na Full, wybierz tryb weryfikacji.
Jak ruch trafia do Twojej strony
Odwiedzający trafiają do Cloudflare przez rekord DNS z włączonym proxy (pomarańczowa chmurka). Cloudflare przekazuje ruch WWW do Citadel, który sprawdza żądania, zanim czysty ruch dotrze do Twojego serwera źródłowego (origin).
Pierwsza konfiguracja
- W Citadel dodaj domenę główną i podaj IP lub nazwę hosta serwera źródłowego, port oraz ustawienie TLS do serwera źródłowego.
- Skopiuj IP wejściowe (ingress) Citadel ze strony domeny.
- W DNS Cloudflare skieruj na ten adres IP rekord A z włączonym proxy dla domeny głównej (apex) i każdej chronionej nazwy hosta.
- Ustaw tryb SSL/TLS w Cloudflare na „Full” albo na „Full (strict)”, jeśli serwer źródłowy ma zaufany certyfikat.
- Odczekaj około minuty, aż Citadel wykryje połączenie, albo wybierz „Check connection”.
- Otwórz „Security” i zacznij od trybu weryfikacji „Auto (Balanced)”.
- Zanim włączysz weryfikację wymagającą interakcji człowieka, dodaj do listy dozwolonych ścieżki używane przez maszyny, takie jak
/api/, oraz webhooki.
Sprawdź ochronę
Domena powinna mieć status „Active / Proxied”. Rekord DNS z szarą chmurką (tylko DNS) omija Citadel i nie zapewnia ochrony w warstwie 7.
Więcej informacji (po angielsku): Konfiguracja Cloudflare i Poziomy weryfikacji.
Przejdź do powiązanego zadania
Set up Cloudflare for Citadel (po angielsku)
Point proxied (orange cloud) Cloudflare A records at the Citadel ingress IP, set SSL/TLS to Full, and fix domains that stay awaiting DNS.
Manage Citadel domains (po angielsku)
Add a domain to Citadel with its root name, origin host, port and TLS setting, check its connection, search the Domains list, or remove protection.
Configure Citadel security (po angielsku)
Choose challenge levels and review allowlists, blocklists, and rate limits.
Configure Citadel allowlists (po angielsku)
Bypass challenges for trusted paths, IPs, and user agents on every hostname.