Recientemente para ayudar a los amigos a lidiar con el sitio web fue golpeado DDoS colgando problemas, se encontr\u00f3 que muchas personas de alta seguridad CDN est\u00e1n configurados incorrectamente, especialmente la resoluci\u00f3n CNAME de este enlace - usted piensa que despu\u00e9s de la resoluci\u00f3n de la alta tranquilidad? \u00a1Error! La configuraci\u00f3n incorrecta es el fracaso de la aceleraci\u00f3n de la luz, la exposici\u00f3n directa pesada de la IP de la estaci\u00f3n de origen.<\/p>\n
El mes pasado, hay un cliente me jur\u00f3 que \"los proveedores de CDN dijo que la resoluci\u00f3n de cinco minutos para surtir efecto\", los resultados de la espera de medio d\u00eda o el usuario est\u00e1 conectado directamente a su estaci\u00f3n de origen, el flujo de tr\u00e1fico se precipit\u00f3 en el servidor directamente paralizado. Me acerqu\u00e9 a echar un vistazo, buen tipo, el valor del registro CNAME al final del valor falta un punto, el an\u00e1lisis no entr\u00f3 en vigor.<\/p>\n
Incluso las CDN tienen que defenderse de sus compa\u00f1eros de equipo.<\/strong>Algunos documentos de los vendedores est\u00e1n escritos como si fueran libros, y el apoyo t\u00e9cnico s\u00f3lo copiar y pegar palabras oficiales. Hoy te voy a decir con la experiencia pr\u00e1ctica, de alta seguridad CDN CNAME resoluci\u00f3n al final c\u00f3mo jugar, desde el principio de evitar pit un paso a lugar.<\/p>\n Salpica primero con agua fr\u00eda:No crea que todo ir\u00e1 bien despu\u00e9s de resolver el CNAME.<\/strong>He probado el tiempo de resoluci\u00f3n de tres proveedores principales. \u00a1He probado la resoluci\u00f3n de los tres principales vendedores a surtir efecto, el m\u00e1s r\u00e1pido CDN5 puede surtir efecto en 90 segundos a nivel mundial, mientras que algunos peque\u00f1os vendedores del nodo incluso tienen que esperar durante 20 minutos - durante este per\u00edodo de tiempo el tr\u00e1fico es un estado bare-bones!<\/p>\n \u00bfPor qu\u00e9 es tan importante el CNAME? En pocas palabras, es su programador de tr\u00e1fico. Cuando un usuario accede a su nombre de dominio, DNS dirigir\u00e1 primero la solicitud a la direcci\u00f3n CNAME del proveedor de CDN y, a continuaci\u00f3n, el proveedor la asignar\u00e1 de forma inteligente al nodo de protecci\u00f3n m\u00e1s cercano. Si el programador se pone en huelga, el usuario se precipita directamente a la puerta de su servidor de origen.<\/p>\n Veamos un caso lacrim\u00f3geno: una plataforma financiera utiliz\u00f3 el servicio de alta defensa de CDN07, pero los t\u00e9cnicos resolvieron el CNAME a la IP de la estaci\u00f3n de origen en lugar del nombre de dominio de protecci\u00f3n del proveedor. Como resultado, el atacante directamente a trav\u00e9s de los registros DNS para revertir la detecci\u00f3n de la IP real, una ola de 500G de tr\u00e1fico directamente a la sala de servidores a trav\u00e9s.<\/p>\n Ahora de la mano para ense\u00f1arle la configuraci\u00f3n correcta, a la resoluci\u00f3n DNSPod dom\u00e9stica com\u00fan como un ejemplo:<\/p>\n Cuidado con eso.punto final<\/strong>\u00a1! Este es el detalle que m\u00e1s f\u00e1cilmente se pasa por alto. Con un punto indica un nombre de dominio absoluto, sin un punto el sistema empalmar\u00e1 autom\u00e1ticamente el nombre de dominio actual. He visto a gente poner valores de registro como \"seguridad.cdn5.com.web.com\" y ese tipo de basura.<\/p>\n Si utiliza una CDN como 08Host con cuatro capas de protecci\u00f3n, la configuraci\u00f3n ser\u00e1 un poco m\u00e1s complicada:<\/p>\n No espere a que se complete el an\u00e1lisis. Verif\u00edcalo inmediatamente con el comando dig:<\/p>\n Sol\u00eda comprobar el estado de resoluci\u00f3n de las distintas regiones con la herramienta de consulta DNS global. Una vez descubr\u00ed que el retraso de resoluci\u00f3n de los nodos europeos era de hasta 300 ms, y decid\u00ed dejar que el proveedor refrescara la cach\u00e9 DNS de los nodos edge.<\/p>\n Los datos reales hablan por s\u00ed solos.<\/strong>: En el mismo entorno de red, la resoluci\u00f3n global de CDN5 tarda una media de 68 segundos, CDN07 tarda 120 segundos, y 08Host es el que obtiene mejores resultados en la regi\u00f3n Asia-Pac\u00edfico, con s\u00f3lo 40 segundos. Si realiza comercio electr\u00f3nico transfronterizo, esta diferencia de tiempo afecta directamente a la velocidad de carga de la primera pantalla.<\/p>\n \u00bfQu\u00e9 debo hacer si encuentro una resoluci\u00f3n que no funciona? Comprueba primero tres cosas:Si la cach\u00e9 DNS se actualiza, si el TTL es demasiado largo, si el valor CNAME tiene un espacio de m\u00e1s...<\/strong>No estoy seguro de c\u00f3mo resolver este problema, pero no estoy seguro de c\u00f3mo resolverlo. Alguna vez me encontr\u00e9 con un problema metaf\u00edsico: la cach\u00e9 DNS cliente incluso almacenado durante 24 horas, y finalmente obligado a actualizar el DNS local para resolverlo.<\/p>\n Consejos de ocultaci\u00f3n para CDN de alta defensa:Configure las reglas WAF en cuanto el an\u00e1lisis sint\u00e1ctico surta efecto<\/strong>. Muchas personas han sido explotadas por ataques de inyecci\u00f3n mientras esperaban el \"efecto completo\". De hecho, en cuanto la resoluci\u00f3n DNS empieza a distribuir tr\u00e1fico, el nodo de protecci\u00f3n ya puede intervenir para limpiar el tr\u00e1fico.<\/p>\n Un \u00faltimo consejo:No se crea la afirmaci\u00f3n del vendedor de que \"la resoluci\u00f3n surte efecto inmediatamente\".<\/strong>. Todos los cambios de DNS est\u00e1n sujetos a retrasos de propagaci\u00f3n y tardan al menos 2 minutos en surtir efecto a nivel global. Durante este tiempo, aseg\u00farese de activar el cortafuegos de origen y configurarlo para que solo las IP del nodo CDN puedan acceder al sitio, ya que se trata de una pr\u00e1ctica infalible.<\/p>\n Ahora compruebe su registro CNAME, \u00bfsigue esperando a que \"cinco minutos surtan efecto\"? Utilice el comando dig para verificarlo, \u00a1quiz\u00e1s su sitio web est\u00e9 funcionando desnudo en este momento!<\/p>","protected":false},"excerpt":{"rendered":" Recientemente para ayudar a los amigos a lidiar con el sitio web fue golpeado DDoS colgando problemas, se encontr\u00f3 que muchas personas de alta seguridad CDN est\u00e1n configurados incorrectamente, especialmente la resoluci\u00f3n CNAME de este enlace - usted piensa que despu\u00e9s de la resoluci\u00f3n de la alta tranquilidad? \u00a1Error! La mala configuraci\u00f3n es un fallo de aceleraci\u00f3n de la luz, o la exposici\u00f3n directa de la IP de la estaci\u00f3n de origen. El mes pasado, hay un cliente me jur\u00f3 que \"los proveedores de CDN dijo que la resoluci\u00f3n de cinco minutos para entrar en vigor\", los resultados de la espera de medio d\u00eda o el usuario conectado directamente a su estaci\u00f3n de origen, el flujo de tr\u00e1fico se precipit\u00f3 en el servidor directamente paralizado. Sub\u00ed a echar un vistazo, buen tipo, el valor del registro CNAME al final del valor falta un punto, el an\u00e1lisis no entr\u00f3 en vigor. En estos d\u00edas, incluso el CDN tiene que evitar que los compa\u00f1eros de equipo, algunos proveedores de escribir documentos como libros, soporte t\u00e9cnico s\u00f3lo copiar y pegar la ret\u00f3rica oficial. Hoy en d\u00eda, voy a utilizar la experiencia del mundo real para decirle c\u00f3mo resolver el CNAME de una CDN de alta defensa.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-986","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/986","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=986"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/986\/revisions"}],"predecessor-version":[{"id":1139,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/986\/revisions\/1139"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=986"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=986"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=986"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=986"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}