R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 r\u00e9soudre le probl\u00e8me d'une panne de serveur, et j'ai d\u00e9couvert un ph\u00e9nom\u00e8ne tr\u00e8s int\u00e9ressant : manifestement, sur le CDN de haute d\u00e9fense, la station source est encore trois jours apr\u00e8s le trafic. Apr\u00e8s une demi-journ\u00e9e de v\u00e9rification, j'ai d\u00e9couvert que leur configuration de retour \u00e0 la source est simplement pour le serveur \"creuser la fosse\" - le trafic d'attaque est transport\u00e9 par le CDN, mais retour \u00e0 la politique de source mis en place des erreurs, mais laisser la station source est le trafic normal + p\u00e9n\u00e9tration de la m\u00e9moire cache a frapp\u00e9 une surprise.<\/p>\n
De nos jours, m\u00eame les CDN \u00e0 haute d\u00e9fense doivent \"pr\u00e9venir les co\u00e9quipiers\". Vous pensez que si vous achetez un service de marque, vous pouvez \u00eatre assur\u00e9 que la configuration par d\u00e9faut de CDN5 pour le retour \u00e0 la source de la fr\u00e9quence est ridiculement \u00e9lev\u00e9e, que les r\u00e8gles de mise en cache de CDN07 renverront m\u00eame des demandes dynamiques - ces d\u00e9tails ne sont pas r\u00e9gl\u00e9s, l'\u00e9quivalent d'une porte d\u00e9rob\u00e9e pour l'attaquant. J'ai test\u00e9 une plateforme de commerce \u00e9lectronique, apr\u00e8s avoir ajust\u00e9 la strat\u00e9gie de retour \u00e0 la source, le co\u00fbt de la bande passante a directement chut\u00e9 de 40%, la charge du serveur source du pic de 80% \u00e0 30% en dessous.<\/p>\n
La nature de la bande passante de retour est un \"trou noir\" en mati\u00e8re de co\u00fbts<\/strong>Le CDN est une partie tr\u00e8s importante du syst\u00e8me, et c'est une partie tr\u00e8s importante du syst\u00e8me. Beaucoup de gens pensent que le CDN se limite \u00e0 l'acc\u00e9l\u00e9ration et \u00e0 la protection, mais ignorer le lien de retour est le v\u00e9ritable endroit o\u00f9 l'on br\u00fble de l'argent. En particulier dans le cas d'un trafic inattendu, une fois que le taux de r\u00e9ussite du cache du n\u0153ud CDN diminue, la demande de retour sera comme une avalanche qui submergera le serveur. Ne regardez pas les vendeurs de CDN annoncer une \"protection illimit\u00e9e\", la bande passante de retour \u00e0 la source est r\u00e9elle par la facturation au volume - la facture de 08Host, le retour \u00e0 la source des co\u00fbts du trafic peut repr\u00e9senter le co\u00fbt total de 60%, ce chiffre est assez effrayant, n'est-ce pas ?<\/p>\n Commen\u00e7ons par d\u00e9monter une id\u00e9e re\u00e7ue typique :Activation aveugle de la \"mise en cache du chemin complet<\/strong>Voici une liste des r\u00e8gles de mise en cache les plus courantes utilis\u00e9es par les webmasters. Certains webmasters, pour gagner du temps, appliquent directement les r\u00e8gles de mise en cache par d\u00e9faut du CDN, ce qui a pour r\u00e9sultat que m\u00eame le statut de connexion de l'utilisateur et l'interface API sont mis en cache. Les donn\u00e9es de l'utilisateur sont m\u00e9lang\u00e9es et l'authentification n'est pas valide. L'ann\u00e9e derni\u00e8re, une plate-forme financi\u00e8re a \u00e9t\u00e9 victime d'une fuite de donn\u00e9es, la cause principale \u00e9tant que le CDN contient le cache des demandes de jetons et les renvoie \u00e0 la source de nombreuses fois, ce qui \u00e9quivaut \u00e0 une cl\u00e9 ins\u00e9r\u00e9e dans la porte et qui peut \u00eatre prise.<\/p>\n Mon conseil :Remplacement du cache global par une politique de cache conditionnelle<\/strong>Par exemple, ajouter la logique de jugement suivante \u00e0 la couche Nginx. Par exemple, ajoutez la logique de jugement suivante \u00e0 la couche Nginx pour permettre l'acc\u00e9l\u00e9ration uniquement pour les ressources statiques et le contenu cachable, les requ\u00eates dynamiques n'\u00e9tant r\u00e9solument pas prises en compte :<\/p>\n Et pour couronner le tout.S\u00e9lection du protocole de retour<\/strong>. Certaines \u00e9quipes essaient de gagner du temps en laissant le CDN utiliser HTTP pour le retour \u00e0 la source, mais le client du CDN est HTTPS - tout lien dans la cha\u00eene interm\u00e9diaire est d\u00e9tourn\u00e9 et les donn\u00e9es sont nues. J'ai test\u00e9 la configuration par d\u00e9faut de CDN07, et le protocole de retour h\u00e9rite en fait du protocole du client, alors que CDN5 est oblig\u00e9 d'\u00eatre configurable. Il est fortement recommand\u00e9 d'activer \"HTTPS full encryption\", m\u00eame si le certificat source est auto-sign\u00e9, c'est toujours mieux que du texte en clair.<\/p>\n Optimisation de la bande passante centr\u00e9e sur l'am\u00e9lioration du taux de r\u00e9ussite du cache<\/strong>La premi\u00e8re est que le taux de r\u00e9ussite du cache n'est que de 62%. Pour donner un exemple : un site vid\u00e9o initialement avec les param\u00e8tres par d\u00e9faut du CDN5, le taux de r\u00e9ussite du cache n'est que de 62%, et le trafic quotidien vers la source est de pr\u00e8s de 3TB. Par la suite, trois ajustements ont \u00e9t\u00e9 effectu\u00e9s : le premier est bas\u00e9 sur la mise en cache hi\u00e9rarchique du type de fichier (mise en cache du fichier vid\u00e9o pendant 30 jours, mise en cache du fragment de page pendant 2 heures), le deuxi\u00e8me est d'ouvrir la segmentation de la demande Range vers la source, et le troisi\u00e8me est de mettre en place la mise en cache de la page 404 pendant 5 minutes afin d'emp\u00eacher la p\u00e9n\u00e9tration du site. Apr\u00e8s ajustement, le taux de r\u00e9ussite a grimp\u00e9 \u00e0 91%, le trafic de retour \u00e0 la source a \u00e9t\u00e9 directement r\u00e9duit \u00e0 800GB\/jour.<\/p>\n Nous partageons ici un mod\u00e8le de configuration test\u00e9 sous pression et v\u00e9rifi\u00e9 pour la plupart des sites web :<\/p>\n N'oubliez pas.Pr\u00e9traitement Edge Computing<\/strong>. Aujourd'hui, la version avanc\u00e9e de 08Host prend d\u00e9j\u00e0 en charge l'ex\u00e9cution de JavaScript en p\u00e9riph\u00e9rie, ce qui permet de placer la compression d'images et la minimisation HTML de ces op\u00e9rations gourmandes en ressources processeur \u00e0 la p\u00e9riph\u00e9rie du traitement. Avant de s'occuper d'un site de forum, la conversion WebP des images a \u00e9t\u00e9 transf\u00e9r\u00e9e vers le n\u0153ud CDN, la bande passante de la station source a imm\u00e9diatement chut\u00e9 de 70%, m\u00eame la charge du CPU a chut\u00e9 d'un demi-ordre de grandeur.<\/p>\n En parlant de strat\u00e9gies anti-attaque.Ne croyez pas que la \"protection intelligente\" peut tout r\u00e9gler.<\/strong>La premi\u00e8re chose \u00e0 faire est d'obtenir les informations dont vous avez besoin pour retourner \u00e0 la source. De nombreuses attaques CC simuleront le comportement normal de l'utilisateur pour augmenter progressivement la fr\u00e9quence des demandes, et \u00e0 ce moment-l\u00e0, si la strat\u00e9gie de retour est trop l\u00e2che, le trafic d'attaque contournera le stockage lent et atteindra directement la station source. Il est recommand\u00e9 de mettre en place un m\u00e9canisme de contestation hi\u00e9rarchique dans la couche CDN : les demandes \u00e0 faible fr\u00e9quence sont lib\u00e9r\u00e9es directement, les contestations JavaScript \u00e0 fr\u00e9quence moyenne sont d\u00e9clench\u00e9es et les IP \u00e0 haute fr\u00e9quence sont oblig\u00e9es de retarder la r\u00e9ponse. Cet ensemble de r\u00e8gles a \u00e9t\u00e9 test\u00e9 sur la requ\u00eate de camouflage 98% bloqu\u00e9e par CDN07.<\/p>\n Un autre conseil est deTirer parti des caract\u00e9ristiques distinctives des fournisseurs de CDN<\/strong>Par exemple, CDN5 est tr\u00e8s efficace pour optimiser le streaming vid\u00e9o. Par exemple, CDN5 est extr\u00eamement bien optimis\u00e9 pour le streaming vid\u00e9o, prenant en charge le pr\u00e9-tirage des tranches et le taux de code adaptatif \u00e0 la source ; 08Host est bon pour la planification globale, peut ajuster dynamiquement le n\u0153ud source en fonction de la charge de la station source. L'utilisation mixte de plusieurs fournisseurs de services, bien que la configuration soit complexe, permet vraiment d'\u00e9viter un point unique de goulot d'\u00e9tranglement - j'utilise CDN5 pour g\u00e9rer les ressources statiques dans le projet financier, 08Host pour transporter le trafic API, cette optimisation permet \u00e0 elle seule d'\u00e9conomiser quelques milliers de dollars par mois en co\u00fbts de bande passante.<\/p>\n Un dernier rappel des pi\u00e8ges \u00e0 \u00e9viter :Suivi des m\u00e9triques pour voir \u00e0 travers trois couches<\/strong>. Il ne suffit pas de regarder le taux de r\u00e9ussite de la console du CDN, il faut aussi combiner l'analyse du journal de la station source avec les caract\u00e9ristiques de la demande de la source. Il y a eu un cas o\u00f9 le taux de r\u00e9ussite du CDN de 85% \u00e9tait normal, mais o\u00f9 la charge de la station source \u00e9tait \u00e9lev\u00e9e. Il s'est av\u00e9r\u00e9 par la suite qu'un crawler demandait de mani\u00e8re insens\u00e9e des pages de marchandises froides, et que les r\u00e8gles de mise en cache configuraient des erreurs qui renvoyaient chaque demande \u00e0 la source. L'ajout d'une r\u00e8gle \"404 page cache 5 minutes\" a instantan\u00e9ment r\u00e9solu le probl\u00e8me.<\/p>\n En fin de compte, un CDN de haute d\u00e9fense n'est pas un coffre-fort pr\u00eat \u00e0 l'emploi. Derri\u00e8re la strat\u00e9gie de retour se cachent la dynamique du cache, l'optimisation du protocole et la psychologie des attaques (oui, les attaquants \u00e9tudient \u00e9galement vos habitudes de configuration). Il est recommand\u00e9 de proc\u00e9der \u00e0 un audit trimestriel du retour \u00e0 la source : capturez les journaux de la station source pour analyser les demandes de retour \u00e0 la source TOP, utilisez des outils de test de pression pour simuler un trafic en rafale et mettez \u00e0 jour les r\u00e8gles de cache pour les adapter aux changements commerciaux. Ces choses ne se font pas en place, acheter un CDN plus cher est aussi un confort psychologique.<\/p>\n Consultez maintenant votre console CDN - utilise-t-elle toujours la configuration par d\u00e9faut ? Ajustez rapidement le d\u00e9lai de retour \u00e0 la source de 30 \u00e0 5 secondes, supprimez le param\u00e8tre Query de la cl\u00e9 de cache et ajoutez un indicateur \"non mis en cache\" \u00e0 la page de connexion. Toutes ces petites choses peuvent \u00eatre les \u00e9l\u00e9ments cl\u00e9s qui permettront \u00e0 votre serveur de r\u00e9sister \u00e0 la prochaine temp\u00eate de trafic.<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 r\u00e9soudre le probl\u00e8me d'une panne de serveur, et j'ai d\u00e9couvert un ph\u00e9nom\u00e8ne tr\u00e8s int\u00e9ressant : manifestement, sur le CDN de haute d\u00e9fense, la station source est encore trois jours apr\u00e8s le trafic. Apr\u00e8s une demi-journ\u00e9e de v\u00e9rification, j'ai constat\u00e9 que leur configuration de retour \u00e0 la source est simplement pour le serveur \"creuser la fosse\" - le trafic d'attaque est transport\u00e9 par le CDN, mais la politique de retour \u00e0 la source mis en place des erreurs, mais laisser la station source est le trafic normal + p\u00e9n\u00e9tration de la m\u00e9moire cache a frapp\u00e9 une surprise. De nos jours, m\u00eame les CDN \u00e0 haute d\u00e9fense doivent \"pr\u00e9venir les co\u00e9quipiers\". Vous pensez que si vous achetez un service de marque, vous pouvez \u00eatre tranquille, la configuration par d\u00e9faut de CDN5 est le retour \u00e0 la source de la fr\u00e9quence est ridiculement \u00e9lev\u00e9e, les r\u00e8gles de mise en cache de CDN07 vont m\u00eame renvoyer des requ\u00eates dynamiques - ces d\u00e9tails ne sont pas r\u00e9gl\u00e9s pour optimiser, l'\u00e9quivalent de laisser une porte d\u00e9rob\u00e9e \u00e0 l'attaquant. J'ai test\u00e9 une plateforme de commerce \u00e9lectronique, apr\u00e8s avoir ajust\u00e9 la strat\u00e9gie de retour \u00e0 la source, le co\u00fbt de la bande passante a directement baiss\u00e9 de 40%, le service de source<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-910","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/910","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=910"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/910\/revisions"}],"predecessor-version":[{"id":1215,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/910\/revisions\/1215"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=910"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=910"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=910"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=910"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}