Recientemente, he ayudado a un amigo para hacer frente al problema de la caída del servidor, y encontró un fenómeno muy interesante: obviamente en la CDN de alta defensa, la estación de origen es todavía tres días por el tráfico lavado. Comprobado la mitad de un día sólo para encontrar que su vuelta a la configuración de origen es simplemente al servidor "cavar un hoyo" - el tráfico de ataque se lleva a cabo por la CDN, pero de vuelta a la política de origen configurar errores, pero dejar que la estación de origen es el tráfico normal + penetración de caché golpeó una sorpresa.
Hoy en día, incluso las CDN de alta defensa tienen que "prevenir a los compañeros de equipo". Usted piensa que si usted compra un servicio de marca, usted puede estar seguro de que la configuración por defecto de CDN5 de vuelta a la fuente de la frecuencia es ridículamente alta, CDN07 reglas de almacenamiento en caché incluso enviar solicitudes dinámicas de vuelta - estos detalles no están sintonizados, el equivalente de una puerta trasera para el atacante. He probado una plataforma de comercio electrónico, después de ajustar la espalda a la estrategia de origen, el costo de ancho de banda directamente cayó 40%, la carga del servidor de origen desde el pico 80% hasta 30% abajo.
La naturaleza del ancho de banda de retorno es un "agujero negro de costesEl CDN es una parte muy importante del sistema, y es una parte muy importante del sistema. Mucha gente piensa que la CDN es sólo aceleración y protección, pero ignora que el enlace de retorno es el verdadero lugar para quemar dinero. Especialmente en el caso de tráfico inesperado, una vez que la tasa de aciertos de caché del nodo CDN disminuye, la solicitud de retorno será como una avalancha que abruma al servidor. No mire a los vendedores CDN anuncian "protección ilimitada", de vuelta a la fuente de ancho de banda es real por volumen de facturación - 08Host de la factura, de vuelta a la fuente de los costos de tráfico puede representar el costo total de 60%, este número es bastante miedo, ¿verdad?
Empecemos por desmontar un típico concepto erróneo:Activación ciega del "caché de ruta completaA continuación se enumeran algunas de las reglas de almacenamiento en caché más utilizadas por los webmasters. Algunos webmasters, para ahorrar tiempo, aplican directamente las reglas de almacenamiento en caché por defecto de la CDN, el resultado es que incluso el estado de inicio de sesión del usuario, la interfaz API se almacenan en caché. Los datos del usuario se desordenan, y la autenticación no es válida. El año pasado, un accidente de fuga de datos de la plataforma financiera, la causa raíz es la CDN para contener caché de solicitud Token después de muchas veces de vuelta a la fuente, equivalente a la clave insertada en la puerta que puede tomar.
Mi consejo:Sustitución de la caché global por una política de caché condicionalPor ejemplo, añada la siguiente lógica de juicio a la capa Nginx. Por ejemplo, añada la siguiente lógica de juicio a la capa Nginx para habilitar la aceleración solo para recursos estáticos y contenido almacenable en caché, sin pasar por solicitudes dinámicas:
Y por si fuera poco.Selección del protocolo de retorno. Algunos equipos intentan ahorrar tiempo dejando que la CDN use HTTP de vuelta a la fuente, pero el cliente a la CDN es HTTPS - cualquier eslabón de la cadena intermedia es secuestrado y los datos quedan desnudos. He probado la configuración por defecto de CDN07, y el protocolo de retorno de hecho hereda el protocolo del cliente, mientras que CDN5 fuerza la configurabilidad. Es muy recomendable activar "HTTPS full encryption", incluso si el certificado de origen es autofirmado sigue siendo mejor que el texto plano.
La optimización del ancho de banda se centra en la mejora de la tasa de aciertos de la cachéLa primera es que la tasa de aciertos de caché es sólo 62%. Para dar un caso de prueba: un sitio de vídeo inicialmente con la configuración por defecto CDN5, la tasa de aciertos de caché de sólo 62%, de vuelta a la fuente del tráfico diario de casi 3 TB. más tarde hizo tres ajustes: uno se basa en el tipo de archivo de caché jerárquica (caché de archivos de vídeo durante 30 días, el fragmento de la página de caché durante 2 horas), el segundo es abrir la segmentación de solicitud de rango de vuelta a la fuente, y el tercero es establecer la página 404 de caché durante 5 minutos para evitar la penetración. Después de ajustar la tasa de éxito se disparó a 91%, de vuelta a la fuente de tráfico directamente cortado a 800 GB / día.
Aquí compartimos una plantilla de configuración probada y verificada a presión para la mayoría de los sitios web:
No lo olvides.Preprocesamiento Edge Computing. Ahora como la versión avanzada de 08Host ya soporta JavaScript de ejecución de nodo de borde, puede poner la compresión de imágenes, HTML minimización de estas operaciones que consumen CPU en el borde del procesamiento. Antes de tratar con un sitio de foro, imagen WebP conversión todos volcados al nodo CDN, el ancho de banda de la estación de origen inmediatamente cayó 70%, incluso la carga de la CPU se ha reducido en medio orden de magnitud.
Hablando de estrategias anti-ataque.No creas que la "protección inteligente" puede arreglarlo todo.Lo primero que hay que hacer es obtener la información necesaria para volver a la fuente. Muchos ataques CC simularán el comportamiento normal de los usuarios para aumentar gradualmente la frecuencia de las peticiones, y en ese momento, si la estrategia de retorno es demasiado floja, el tráfico de ataque eludirá el almacenamiento lento y llegará directamente a la estación de origen. Se recomienda establecer un mecanismo de desafío jerárquico en la capa CDN: las solicitudes de baja frecuencia se liberan directamente, los desafíos JavaScript de frecuencia media se activan, y las IP de alta frecuencia se ven obligadas a retrasar la respuesta. Probado este conjunto de reglas en la solicitud de camuflaje 98% bloqueada por CDN07.
Otro consejo esAprovechar las características diferenciadoras de los proveedores de CDNPor ejemplo, CDN5 está muy bien optimizada para el streaming de vídeo. Por ejemplo, CDN5 está muy bien optimizado para el streaming de vídeo, apoyando slice pre-pull y la tasa de código adaptativo de vuelta a la fuente; 08Host es bueno en la programación global, puede ajustar dinámicamente el nodo de origen de vuelta a la carga de la estación de origen. El uso mixto de múltiples proveedores de servicios, aunque la configuración es compleja, pero realmente puede evitar un único punto de cuello de botella - Yo uso CDN5 para manejar los recursos estáticos en el proyecto financiero, 08Host para llevar el tráfico API, esta optimización por sí sola ahorra unos pocos miles de dólares al mes en costes de ancho de banda.
Un último recordatorio:Métricas de seguimiento para ver a través de tres capas. Basta con mirar a la tasa de éxito de la consola CDN no es suficiente, se debe combinar con el análisis de registro de la estación de origen de nuevo a las características de la solicitud de origen. Hubo un caso, la tasa de éxito CDN de 85% todo es normal, pero la carga de la estación de origen es alta. Más tarde se encontró que un rastreador de solicitud loca página de productos básicos en frío, y las reglas de almacenamiento en caché de errores establecidos conducen a cada solicitud de vuelta a la fuente. Más tarde se añadió una regla de "caché de página 404 5 minutos", al instante resuelto el problema.
A fin de cuentas, una CDN de alta defensa no es una caja fuerte "plug-and-play". Detrás de la estrategia de retorno hay dinámicas de caché, optimización de protocolos, psicología de ataque (sí, los atacantes también estudiarán sus hábitos de configuración). Se recomienda hacer una auditoría trimestral de retorno al origen: capturar los registros de la estación de origen para analizar las peticiones TOP de retorno al origen, utilizar herramientas de pruebas de presión para simular tráfico en ráfaga y actualizar las reglas de caché para adaptarlas a los cambios del negocio. Estas cosas no hacen en su lugar, comprar CDN más caro es también un consuelo psicológico.
Ahora vaya a través de su consola CDN - ¿sigue utilizando la configuración por defecto? Ajuste rápidamente el tiempo de espera de retorno a la fuente de 30 segundos a 5 segundos, elimine el parámetro Query de la clave de caché y añada una bandera 'not cached' a la página de inicio de sesión. Todas estas pequeñas cosas pueden ser las fichas clave para que tu servidor sobreviva a la próxima tormenta de tráfico.
