Recientemente, he ayudado a un amigo para hacer frente al problema de la ca\u00edda del servidor, y encontr\u00f3 un fen\u00f3meno muy interesante: obviamente en la CDN de alta defensa, la estaci\u00f3n de origen es todav\u00eda tres d\u00edas por el tr\u00e1fico lavado. Comprobado la mitad de un d\u00eda s\u00f3lo para encontrar que su vuelta a la configuraci\u00f3n de origen es simplemente al servidor \"cavar un hoyo\" - el tr\u00e1fico de ataque se lleva a cabo por la CDN, pero de vuelta a la pol\u00edtica de origen configurar errores, pero dejar que la estaci\u00f3n de origen es el tr\u00e1fico normal + penetraci\u00f3n de cach\u00e9 golpe\u00f3 una sorpresa.<\/p>\n
Hoy en d\u00eda, incluso las CDN de alta defensa tienen que \"prevenir a los compa\u00f1eros de equipo\". Usted piensa que si usted compra un servicio de marca, usted puede estar seguro de que la configuraci\u00f3n por defecto de CDN5 de vuelta a la fuente de la frecuencia es rid\u00edculamente alta, CDN07 reglas de almacenamiento en cach\u00e9 incluso enviar solicitudes din\u00e1micas de vuelta - estos detalles no est\u00e1n sintonizados, el equivalente de una puerta trasera para el atacante. He probado una plataforma de comercio electr\u00f3nico, despu\u00e9s de ajustar la espalda a la estrategia de origen, el costo de ancho de banda directamente cay\u00f3 40%, la carga del servidor de origen desde el pico 80% hasta 30% abajo.<\/p>\n
La naturaleza del ancho de banda de retorno es un \"agujero negro de costes<\/strong>El CDN es una parte muy importante del sistema, y es una parte muy importante del sistema. Mucha gente piensa que la CDN es s\u00f3lo aceleraci\u00f3n y protecci\u00f3n, pero ignora que el enlace de retorno es el verdadero lugar para quemar dinero. Especialmente en el caso de tr\u00e1fico inesperado, una vez que la tasa de aciertos de cach\u00e9 del nodo CDN disminuye, la solicitud de retorno ser\u00e1 como una avalancha que abruma al servidor. No mire a los vendedores CDN anuncian \"protecci\u00f3n ilimitada\", de vuelta a la fuente de ancho de banda es real por volumen de facturaci\u00f3n - 08Host de la factura, de vuelta a la fuente de los costos de tr\u00e1fico puede representar el costo total de 60%, este n\u00famero es bastante miedo, \u00bfverdad?<\/p>\n Empecemos por desmontar un t\u00edpico concepto err\u00f3neo:Activaci\u00f3n ciega del \"cach\u00e9 de ruta completa<\/strong>A continuaci\u00f3n se enumeran algunas de las reglas de almacenamiento en cach\u00e9 m\u00e1s utilizadas por los webmasters. Algunos webmasters, para ahorrar tiempo, aplican directamente las reglas de almacenamiento en cach\u00e9 por defecto de la CDN, el resultado es que incluso el estado de inicio de sesi\u00f3n del usuario, la interfaz API se almacenan en cach\u00e9. Los datos del usuario se desordenan, y la autenticaci\u00f3n no es v\u00e1lida. El a\u00f1o pasado, un accidente de fuga de datos de la plataforma financiera, la causa ra\u00edz es la CDN para contener cach\u00e9 de solicitud Token despu\u00e9s de muchas veces de vuelta a la fuente, equivalente a la clave insertada en la puerta que puede tomar.<\/p>\n Mi consejo:Sustituci\u00f3n de la cach\u00e9 global por una pol\u00edtica de cach\u00e9 condicional<\/strong>Por ejemplo, a\u00f1ada la siguiente l\u00f3gica de juicio a la capa Nginx. Por ejemplo, a\u00f1ada la siguiente l\u00f3gica de juicio a la capa Nginx para habilitar la aceleraci\u00f3n solo para recursos est\u00e1ticos y contenido almacenable en cach\u00e9, sin pasar por solicitudes din\u00e1micas:<\/p>\n Y por si fuera poco.Selecci\u00f3n del protocolo de retorno<\/strong>. Algunos equipos intentan ahorrar tiempo dejando que la CDN use HTTP de vuelta a la fuente, pero el cliente a la CDN es HTTPS - cualquier eslab\u00f3n de la cadena intermedia es secuestrado y los datos quedan desnudos. He probado la configuraci\u00f3n por defecto de CDN07, y el protocolo de retorno de hecho hereda el protocolo del cliente, mientras que CDN5 fuerza la configurabilidad. Es muy recomendable activar \"HTTPS full encryption\", incluso si el certificado de origen es autofirmado sigue siendo mejor que el texto plano.<\/p>\n La optimizaci\u00f3n del ancho de banda se centra en la mejora de la tasa de aciertos de la cach\u00e9<\/strong>La primera es que la tasa de aciertos de cach\u00e9 es s\u00f3lo 62%. Para dar un caso de prueba: un sitio de v\u00eddeo inicialmente con la configuraci\u00f3n por defecto CDN5, la tasa de aciertos de cach\u00e9 de s\u00f3lo 62%, de vuelta a la fuente del tr\u00e1fico diario de casi 3 TB. m\u00e1s tarde hizo tres ajustes: uno se basa en el tipo de archivo de cach\u00e9 jer\u00e1rquica (cach\u00e9 de archivos de v\u00eddeo durante 30 d\u00edas, el fragmento de la p\u00e1gina de cach\u00e9 durante 2 horas), el segundo es abrir la segmentaci\u00f3n de solicitud de rango de vuelta a la fuente, y el tercero es establecer la p\u00e1gina 404 de cach\u00e9 durante 5 minutos para evitar la penetraci\u00f3n. Despu\u00e9s de ajustar la tasa de \u00e9xito se dispar\u00f3 a 91%, de vuelta a la fuente de tr\u00e1fico directamente cortado a 800 GB \/ d\u00eda.<\/p>\n Aqu\u00ed compartimos una plantilla de configuraci\u00f3n probada y verificada a presi\u00f3n para la mayor\u00eda de los sitios web:<\/p>\n No lo olvides.Preprocesamiento Edge Computing<\/strong>. Ahora como la versi\u00f3n avanzada de 08Host ya soporta JavaScript de ejecuci\u00f3n de nodo de borde, puede poner la compresi\u00f3n de im\u00e1genes, HTML minimizaci\u00f3n de estas operaciones que consumen CPU en el borde del procesamiento. Antes de tratar con un sitio de foro, imagen WebP conversi\u00f3n todos volcados al nodo CDN, el ancho de banda de la estaci\u00f3n de origen inmediatamente cay\u00f3 70%, incluso la carga de la CPU se ha reducido en medio orden de magnitud.<\/p>\n Hablando de estrategias anti-ataque.No creas que la \"protecci\u00f3n inteligente\" puede arreglarlo todo.<\/strong>Lo primero que hay que hacer es obtener la informaci\u00f3n necesaria para volver a la fuente. Muchos ataques CC simular\u00e1n el comportamiento normal de los usuarios para aumentar gradualmente la frecuencia de las peticiones, y en ese momento, si la estrategia de retorno es demasiado floja, el tr\u00e1fico de ataque eludir\u00e1 el almacenamiento lento y llegar\u00e1 directamente a la estaci\u00f3n de origen. Se recomienda establecer un mecanismo de desaf\u00edo jer\u00e1rquico en la capa CDN: las solicitudes de baja frecuencia se liberan directamente, los desaf\u00edos JavaScript de frecuencia media se activan, y las IP de alta frecuencia se ven obligadas a retrasar la respuesta. Probado este conjunto de reglas en la solicitud de camuflaje 98% bloqueada por CDN07.<\/p>\n Otro consejo esAprovechar las caracter\u00edsticas diferenciadoras de los proveedores de CDN<\/strong>Por ejemplo, CDN5 est\u00e1 muy bien optimizada para el streaming de v\u00eddeo. Por ejemplo, CDN5 est\u00e1 muy bien optimizado para el streaming de v\u00eddeo, apoyando slice pre-pull y la tasa de c\u00f3digo adaptativo de vuelta a la fuente; 08Host es bueno en la programaci\u00f3n global, puede ajustar din\u00e1micamente el nodo de origen de vuelta a la carga de la estaci\u00f3n de origen. El uso mixto de m\u00faltiples proveedores de servicios, aunque la configuraci\u00f3n es compleja, pero realmente puede evitar un \u00fanico punto de cuello de botella - Yo uso CDN5 para manejar los recursos est\u00e1ticos en el proyecto financiero, 08Host para llevar el tr\u00e1fico API, esta optimizaci\u00f3n por s\u00ed sola ahorra unos pocos miles de d\u00f3lares al mes en costes de ancho de banda.<\/p>\n Un \u00faltimo recordatorio:M\u00e9tricas de seguimiento para ver a trav\u00e9s de tres capas<\/strong>. Basta con mirar a la tasa de \u00e9xito de la consola CDN no es suficiente, se debe combinar con el an\u00e1lisis de registro de la estaci\u00f3n de origen de nuevo a las caracter\u00edsticas de la solicitud de origen. Hubo un caso, la tasa de \u00e9xito CDN de 85% todo es normal, pero la carga de la estaci\u00f3n de origen es alta. M\u00e1s tarde se encontr\u00f3 que un rastreador de solicitud loca p\u00e1gina de productos b\u00e1sicos en fr\u00edo, y las reglas de almacenamiento en cach\u00e9 de errores establecidos conducen a cada solicitud de vuelta a la fuente. M\u00e1s tarde se a\u00f1adi\u00f3 una regla de \"cach\u00e9 de p\u00e1gina 404 5 minutos\", al instante resuelto el problema.<\/p>\n A fin de cuentas, una CDN de alta defensa no es una caja fuerte \"plug-and-play\". Detr\u00e1s de la estrategia de retorno hay din\u00e1micas de cach\u00e9, optimizaci\u00f3n de protocolos, psicolog\u00eda de ataque (s\u00ed, los atacantes tambi\u00e9n estudiar\u00e1n sus h\u00e1bitos de configuraci\u00f3n). Se recomienda hacer una auditor\u00eda trimestral de retorno al origen: capturar los registros de la estaci\u00f3n de origen para analizar las peticiones TOP de retorno al origen, utilizar herramientas de pruebas de presi\u00f3n para simular tr\u00e1fico en r\u00e1faga y actualizar las reglas de cach\u00e9 para adaptarlas a los cambios del negocio. Estas cosas no hacen en su lugar, comprar CDN m\u00e1s caro es tambi\u00e9n un consuelo psicol\u00f3gico.<\/p>\n Ahora vaya a trav\u00e9s de su consola CDN - \u00bfsigue utilizando la configuraci\u00f3n por defecto? Ajuste r\u00e1pidamente el tiempo de espera de retorno a la fuente de 30 segundos a 5 segundos, elimine el par\u00e1metro Query de la clave de cach\u00e9 y a\u00f1ada una bandera 'not cached' a la p\u00e1gina de inicio de sesi\u00f3n. Todas estas peque\u00f1as cosas pueden ser las fichas clave para que tu servidor sobreviva a la pr\u00f3xima tormenta de tr\u00e1fico.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente, he ayudado a un amigo para hacer frente al problema de la ca\u00edda del servidor, y encontr\u00f3 un fen\u00f3meno muy interesante: obviamente en la CDN de alta defensa, la estaci\u00f3n de origen es todav\u00eda tres d\u00edas por el tr\u00e1fico lavado. Comprobado medio d\u00eda para encontrar que su espalda a la configuraci\u00f3n de origen es simplemente al servidor \"cavar hoyo\" - el tr\u00e1fico de ataque se lleva a cabo por la CDN, pero de vuelta a la pol\u00edtica de origen configurar los errores, pero dejar que la estaci\u00f3n de origen es el tr\u00e1fico normal + penetraci\u00f3n de la memoria cach\u00e9 golpe\u00f3 una sorpresa. Hoy en d\u00eda, incluso los CDN de alta defensa tienen que \"evitar que los compa\u00f1eros de equipo\". Usted piensa que si usted compra un servicio de marca, puede estar tranquilo, la configuraci\u00f3n por defecto de CDN5 es de vuelta a la fuente de la frecuencia es rid\u00edculamente alta, las reglas de cach\u00e9 de CDN07 incluso enviar solicitudes din\u00e1micas de vuelta - estos detalles no est\u00e1n sintonizados para optimizar, el equivalente a dejar una puerta trasera al atacante. He probado una plataforma de comercio electr\u00f3nico, despu\u00e9s de ajustar la estrategia de vuelta a la fuente, el costo de ancho de banda directamente hacia abajo 40%, el servicio de origen<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-910","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/910","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=910"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/910\/revisions"}],"predecessor-version":[{"id":1215,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/910\/revisions\/1215"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=910"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=910"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=910"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=910"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}