في الآونة الأخيرة، ساعدت صديقًا في التعامل مع مشكلة تعطل الخادم، ووجدت ظاهرة مثيرة للاهتمام للغاية: من الواضح أنه على شبكة CDN عالية الدفاع، لا تزال محطة المصدر ثلاثة أيام من قبل حركة المرور التي تم غسلها. فحصت نصف يوم فقط لتجد أن عودتهم إلى تكوين المصدر هو ببساطة إلى "حفرة حفر" الخادم - يتم نقل حركة المرور الهجومية بواسطة CDN، ولكن العودة إلى أخطاء إعداد سياسة المصدر، ولكن دع محطة المصدر هي حركة مرور عادية + اختراق ذاكرة التخزين المؤقت ضرب مفاجأة.
في هذه الأيام، حتى شبكات CDN عالية الدفاع يجب أن "تمنع زملاء الفريق". أنت تعتقد أنك إذا اشتريت خدمة ذات علامة تجارية، يمكنك أن تطمئن إلى أن التكوين الافتراضي لـ CDN5 العودة إلى مصدر التردد مرتفع بشكل يبعث على السخرية، حتى أن قواعد التخزين المؤقت CDN07 سترسل طلبات ديناميكية مرة أخرى - هذه التفاصيل غير مضبوطة، أي ما يعادل الباب الخلفي للمهاجم. لقد اختبرت منصة للتجارة الإلكترونية، بعد تعديل استراتيجية العودة إلى المصدر، انخفضت تكلفة النطاق الترددي مباشرة 40%، وانخفض حمل الخادم المصدر من ذروة 80% إلى 30% أقل.
طبيعة النطاق الترددي العائد "ثقب أسود في التكلفةتعد شبكة CDN جزءًا مهمًا جدًا من النظام، وهي جزء مهم جدًا من النظام. يعتقد الكثير من الناس أن CDN هو مجرد تسريع وحماية فقط، ولكن تجاهل رابط الإرجاع هو المكان الحقيقي لحرق الأموال. خاصة في حالة حركة المرور غير المتوقعة، بمجرد أن ينخفض معدل الوصول إلى ذاكرة التخزين المؤقت لعقدة CDN، سيكون طلب الإرجاع مثل الانهيار الجليدي الذي يغمر الخادم. لا تنظر إلى بائعي CDN الذين يعلنون عن "حماية غير محدودة"، فالعودة إلى عرض النطاق الترددي للمصدر حقيقي من خلال فواتير الحجم - فاتورة 08Host، يمكن أن تمثل العودة إلى مصدر تكاليف حركة المرور التكلفة الإجمالية 60%، هذا الرقم مخيف بما فيه الكفاية، أليس كذلك؟
لنبدأ بتحليل المفهوم الخاطئ المعتاد:تمكين "التخزين المؤقت للمسار الكامل" بشكل أعمىفيما يلي قائمة ببعض قواعد التخزين المؤقت الأكثر شيوعًا التي يستخدمها مشرفي المواقع. يقوم بعض مشرفي المواقع، من أجل توفير الوقت، بتطبيق قواعد التخزين المؤقت الافتراضية لشبكة CDN مباشرة، والنتيجة هي أنه حتى حالة تسجيل دخول المستخدم، واجهة واجهة API يتم تخزينها مؤقتًا. يتم العبث ببيانات المستخدم، وتكون المصادقة غير صالحة. في العام الماضي، حادث تسرب بيانات النظام الأساسي المالي، والسبب الجذري هو أن CDN يحتوي على ذاكرة التخزين المؤقت لطلب الرمز المميز بعد عدة مرات إلى المصدر، أي ما يعادل المفتاح الذي تم إدخاله في الباب الذي يمكن أن يأخذ.
نصيحتي لكاستبدال ذاكرة التخزين المؤقت العالمية بنهج ذاكرة التخزين المؤقت المشروطعلى سبيل المثال، أضف منطق الحكم التالي إلى طبقة Nginx. على سبيل المثال، أضف منطق الحكم التالي إلى طبقة Nginx لتمكين التسريع فقط للموارد الثابتة والمحتوى القابل للتخزين المؤقت، مع عدم تمرير الطلبات الديناميكية بشكل قاطع:
وفوق كل ذلك.اختيار بروتوكول الإرجاع. تحاول بعض الفرق توفير الوقت عن طريق السماح لشبكة CDN باستخدام HTTP للعودة إلى المصدر، لكن العميل إلى CDN هو HTTPS - أي أن أي رابط في السلسلة الوسيطة يتم اختطافه وتكون البيانات عارية. لقد اختبرت التكوين الافتراضي لـ CDN07، وبروتوكول الإرجاع يرث في الواقع بروتوكول العميل، بينما يفرض CDN5 إمكانية التهيئة. يوصى بشدة بتمكين "التشفير الكامل لـ HTTPS"، حتى لو كانت شهادة المصدر موقعة ذاتيًا، فإنها تظل أفضل من النص العادي.
تحسين عرض النطاق الترددي الذي يركز على تحسين معدل الوصول إلى ذاكرة التخزين المؤقتالأول هو أن معدل إصابة ذاكرة التخزين المؤقت هو 62% فقط. لإعطاء حالة اختبار: موقع فيديو في البداية مع الإعدادات الافتراضية لـ CDN5، معدل إصابة ذاكرة التخزين المؤقت 62% فقط، والعودة إلى مصدر حركة المرور اليومية التي تبلغ 3 تيرابايت تقريبًا. بعد تعديل معدل الزيارات ارتفع إلى 91%، والعودة إلى حركة المرور المصدر مباشرةً إلى 800 جيجابايت/اليوم.
نشارك هنا قالب تهيئة تم اختباره والتحقق منه تحت الضغط لمعظم مواقع الويب:
لا تنسىالمعالجة المسبقة لحوسبة الحافة. الآن مثل إصدار 08Host المتقدم يدعم بالفعل تنفيذ عقدة الحافة جافا سكريبت، يمكن وضع ضغط الصور، وتقليل HTML لهذه العمليات المستهلكة لوحدة المعالجة المركزية على حافة المعالجة. قبل التعامل مع موقع المنتدى، تم تفريغ تحويل جميع صور WebP إلى عقدة CDN، وانخفض عرض النطاق الترددي للمحطة المصدر على الفور 70%، حتى أن حمل وحدة المعالجة المركزية انخفض بمقدار نصف ترتيب من حيث الحجم.
بالحديث عن الاستراتيجيات المضادة للهجوملا تعتقد أن "الحماية الذكية" يمكن أن تصلح كل شيء.أول شيء عليك القيام به هو الحصول على المعلومات التي تحتاجها للعودة إلى المصدر. ستعمل العديد من هجمات CC على محاكاة سلوك المستخدم العادي لزيادة تواتر الطلبات تدريجيًا، وفي هذا الوقت، إذا كانت استراتيجية الإرجاع فضفاضة جدًا، فإن حركة مرور الهجوم ستتجاوز التخزين البطيء البطيء لتصل مباشرةً إلى محطة المصدر. يوصى بإعداد آلية تحدٍ هرمية في طبقة CDN: يتم إصدار الطلبات منخفضة التردد مباشرة، ويتم تشغيل تحديات JavaScript متوسطة التردد، ويتم إجبار عناوين IP عالية التردد على تأخير الاستجابة. اختبرت هذه المجموعة من القواعد على CDN07 طلب تمويه 98% المحجوب 98%.
نصيحة أخرى هيالاستفادة من الخصائص المميزة لموردي شبكات CDNعلى سبيل المثال، CDN5 جيد جداً في تحسين بث الفيديو. على سبيل المثال، CDN5 جيد للغاية في تحسين بث الفيديو، حيث يدعم السحب المسبق للشرائح ومعدل الشفرة التكيفي إلى المصدر؛ كما أن 08Host جيد في الجدولة العالمية، ويمكنه ضبط العقدة المصدرية ديناميكيًا إلى حمل المحطة المصدرية. الاستخدام المختلط لمزودي الخدمة المتعددين، على الرغم من أن التكوين معقد، ولكن يمكن حقًا تجنب نقطة اختناق واحدة - أستخدم CDN5 للتعامل مع الموارد الثابتة في المشروع المالي، و 08Host لنقل حركة مرور واجهة برمجة التطبيقات، هذا التحسين وحده يوفر بضعة آلاف من الدولارات شهريًا في تكاليف النطاق الترددي.
تذكير أخير بالمأزق الأخير:مقاييس المراقبة لرؤية ثلاث طبقات. مجرد إلقاء نظرة على معدل إصابة وحدة تحكم CDN ليس كافيًا، يجب دمجه مع تحليل سجل محطة المصدر بالعودة إلى خصائص طلب المصدر. كانت هناك حالة، معدل ضرب CDN 85% كل شيء طبيعي، ولكن تحميل محطة المصدر مرتفع. وجد لاحقًا أن طلب الزاحف المجنون لصفحة السلع الباردة المجنونة وقواعد التخزين المؤقت التي تم إعدادها تؤدي إلى كل طلب يعود إلى المصدر. وأضفت لاحقًا قاعدة "404 صفحة تخزين مؤقت لصفحة 404 لمدة 5 دقائق"، وحلت المشكلة على الفور.
في نهاية المطاف، شبكة CDN عالية الدفاع ليست آمنة للتوصيل والتشغيل. تتضمن استراتيجية العودة وراء استراتيجية العودة ديناميكيات ذاكرة التخزين المؤقت، وتحسين البروتوكول، وسيكولوجية الهجوم (نعم، سيدرس المهاجمون أيضًا عادات التكوين الخاصة بك). من المستحسن إجراء تدقيق ربع سنوي للعودة إلى المصدر: التقاط سجلات محطة المصدر لتحليل طلبات العودة إلى المصدر، واستخدام أدوات اختبار الضغط لمحاكاة حركة المرور المتدفقة، وتحديث قواعد ذاكرة التخزين المؤقت لتتناسب مع تغييرات العمل. هذه الأشياء لا تتم في مكانها، وشراء شبكة CDN أكثر تكلفة هي أيضًا راحة نفسية.
انتقل الآن إلى وحدة تحكم CDN الخاصة بك - هل لا تزال تستخدم التكوين الافتراضي؟ اضبط بسرعة مهلة العودة إلى المصدر من 30 ثانية إلى 5 ثوانٍ، وقم بإزالة معلمة الاستعلام من مفتاح التخزين المؤقت، وأضف علامة "غير مخزن مؤقتًا" إلى صفحة تسجيل الدخول. كل هذه الأشياء الصغيرة يمكن أن تكون الرقائق الأساسية لنجاة خادمك من العاصفة المرورية التالية.
