R\u00e9cemment, pour aider des amis \u00e0 faire face aux probl\u00e8mes d'accrochage du site Web frapp\u00e9 par un DDoS, j'ai d\u00e9couvert que beaucoup de CDN de haute s\u00e9curit\u00e9 sont mal configur\u00e9s, en particulier la r\u00e9solution CNAME de ce lien - vous pensez qu'apr\u00e8s la r\u00e9solution de la haute tranquillit\u00e9 d'esprit ? Ce n'est pas le cas ! Une mauvaise configuration est une d\u00e9faillance d'acc\u00e9l\u00e9ration l\u00e9g\u00e8re, une exposition directe lourde de l'IP de la station source.<\/p>\n
Le mois dernier, un client m'a jur\u00e9 que \"les vendeurs de CDN ont dit que la r\u00e9solution de cinq minutes pour prendre effet\", les r\u00e9sultats de l'attente pendant une demi-journ\u00e9e ou l'utilisateur est directement connect\u00e9 \u00e0 sa station source, le flux de trafic s'est pr\u00e9cipit\u00e9 dans le serveur directement paralys\u00e9. Je suis all\u00e9 jeter un coup d'\u0153il, bon gars, la valeur de l'enregistrement CNAME \u00e0 la fin de la valeur manque un point, l'analyse syntaxique n'est pas entr\u00e9e en vigueur.<\/p>\n
Aujourd'hui, m\u00eame les CDN doivent se d\u00e9fendre contre les co\u00e9quipiers.<\/strong>Les documents de certains fournisseurs sont r\u00e9dig\u00e9s comme s'il s'agissait de livres, et le support technique ne fait que copier et coller les mots officiels. Aujourd'hui, je vais vous dire avec une exp\u00e9rience pratique, la r\u00e9solution CDN CNAME de haute s\u00e9curit\u00e9 dans la fin comment jouer, \u00e0 partir du principe d'\u00e9viter la fosse d'une \u00e9tape \u00e0 l'autre.<\/p>\n Lancez d'abord un jet d'eau froide :Ne pensez pas que tout ira bien apr\u00e8s avoir r\u00e9solu le CNAME.<\/strong>J'ai test\u00e9 le temps de r\u00e9solution de trois grands fournisseurs. J'ai test\u00e9 le temps de r\u00e9solution des trois principaux fournisseurs. Le CDN5 le plus rapide peut prendre effet en 90 secondes au niveau mondial, tandis que certains des petits fournisseurs du n\u0153ud doivent m\u00eame attendre 20 minutes - pendant ce laps de temps, le trafic est \u00e0 l'\u00e9tat brut !<\/p>\n Pourquoi le CNAME est-il si important ? Il s'agit tout simplement de votre planificateur de trafic. Lorsqu'un utilisateur acc\u00e8de \u00e0 votre nom de domaine, le DNS pointe d'abord la requ\u00eate vers l'adresse CNAME du fournisseur CDN, puis le fournisseur l'affecte intelligemment au n\u0153ud de protection le plus proche. Si le programmateur se met en gr\u00e8ve, l'utilisateur se pr\u00e9cipite directement \u00e0 la porte de votre serveur domestique.<\/p>\n Prenons un cas douloureux : une plateforme financi\u00e8re a utilis\u00e9 le service de haute d\u00e9fense de CDN07, mais les techniciens ont r\u00e9solu le CNAME \u00e0 l'IP de la station source au lieu du nom de domaine de protection du fournisseur. En cons\u00e9quence, l'attaquant a directement parcouru les enregistrements DNS pour trouver l'IP r\u00e9elle, une vague de 500G de trafic directement vers la salle des serveurs.<\/p>\n Nous allons maintenant vous enseigner la configuration correcte, en prenant pour exemple la r\u00e9solution domestique commune DNSPod :<\/p>\n Attention \u00e0 cela.point final<\/strong>! C'est le d\u00e9tail le plus facilement n\u00e9glig\u00e9. Un point indique un nom de domaine absolu, sans point le syst\u00e8me ajoutera automatiquement le nom de domaine actuel. J'ai vu des gens mettre des valeurs d'enregistrement comme \"security.cdn5.com.web.com\" et ce genre de conneries.<\/p>\n Si vous utilisez un CDN comme 08Host avec quatre couches de protection, la configuration sera un peu plus compliqu\u00e9e :<\/p>\n N'attendez pas que l'analyse soit termin\u00e9e ! V\u00e9rifiez-le imm\u00e9diatement avec la commande dig :<\/p>\n J'avais l'habitude de v\u00e9rifier l'\u00e9tat de la r\u00e9solution des diff\u00e9rentes r\u00e9gions \u00e0 l'aide de l'outil de requ\u00eate DNS global. Une fois, j'ai constat\u00e9 que le d\u00e9lai de r\u00e9solution des n\u0153uds europ\u00e9ens atteignait 300 ms, et j'ai d\u00e9cid\u00e9 de laisser le fournisseur rafra\u00eechir le cache DNS des n\u0153uds p\u00e9riph\u00e9riques.<\/p>\n Les donn\u00e9es r\u00e9elles parlent d'elles-m\u00eames.<\/strong>Dans le m\u00eame environnement de r\u00e9seau, la r\u00e9solution globale de CDN5 prend en moyenne 68 secondes, CDN07 120 secondes, et 08Host est le plus performant dans la r\u00e9gion Asie-Pacifique avec seulement 40 secondes. Si vous pratiquez le commerce \u00e9lectronique transfrontalier, cette diff\u00e9rence de temps a une incidence directe sur la vitesse de chargement du premier \u00e9cran.<\/p>\n Que dois-je faire si une r\u00e9solution ne fonctionne pas ? V\u00e9rifiez d'abord trois choses :Si le cache DNS est rafra\u00eechi, si le TTL est trop long, si la valeur CNAME contient des espaces suppl\u00e9mentaires.<\/strong>Je ne suis pas s\u00fbr de savoir comment r\u00e9soudre ce probl\u00e8me, mais je ne suis pas s\u00fbr de savoir comment le r\u00e9soudre. Il m'est arriv\u00e9 de rencontrer un probl\u00e8me m\u00e9taphysique : le cache DNS du client a m\u00eame \u00e9t\u00e9 stock\u00e9 pendant 24 heures, et j'ai finalement \u00e9t\u00e9 oblig\u00e9 de rafra\u00eechir le DNS local pour le r\u00e9soudre.<\/p>\n Conseils de dissimulation pour les CDN \u00e0 haute d\u00e9fense :Configurer les r\u00e8gles WAF d\u00e8s que l'analyse prend effet<\/strong>. De nombreuses personnes ont \u00e9t\u00e9 exploit\u00e9es par des attaques par injection alors qu'elles attendaient le \"plein effet\". En fait, d\u00e8s que la r\u00e9solution DNS commence \u00e0 distribuer le trafic, le n\u0153ud de protection peut d\u00e9j\u00e0 intervenir pour nettoyer le trafic.<\/p>\n Un dernier conseil judicieux :Ne croyez pas l'affirmation du vendeur selon laquelle \"la r\u00e9solution prend effet imm\u00e9diatement\".<\/strong>. Tous les changements de DNS sont soumis \u00e0 des d\u00e9lais de propagation et prennent au moins 2 minutes pour prendre effet au niveau mondial. Pendant ce temps, veillez \u00e0 activer le pare-feu source et \u00e0 le configurer de mani\u00e8re \u00e0 autoriser uniquement les IP des n\u0153uds CDN \u00e0 acc\u00e9der au site, car il s'agit d'une pratique infaillible.<\/p>\n V\u00e9rifiez maintenant votre enregistrement CNAME, attendez-vous toujours \"cinq minutes pour prendre effet\" ? Utilisez la commande dig pour v\u00e9rifier, peut-\u00eatre que votre site web tourne \u00e0 vide en ce moment !<\/p>","protected":false},"excerpt":{"rendered":" R\u00e9cemment, pour aider des amis \u00e0 faire face aux probl\u00e8mes d'accrochage d'un site web frapp\u00e9 par un DDoS, j'ai d\u00e9couvert que beaucoup de CDN de haute s\u00e9curit\u00e9 sont mal configur\u00e9s, en particulier la r\u00e9solution CNAME de ce lien - vous pensez qu'apr\u00e8s la r\u00e9solution du lien de haute s\u00e9curit\u00e9, vous aurez l'esprit tranquille ? Ce n'est pas le cas ! Le mois dernier, un client m'a jur\u00e9 que \"les fournisseurs de CDN ont dit que la r\u00e9solution de cinq minutes pour prendre effet\", les r\u00e9sultats de l'attente d'une demi-journ\u00e9e ou l'utilisateur directement connect\u00e9 \u00e0 sa station source, le flux de trafic s'est pr\u00e9cipit\u00e9 dans le serveur directement paralys\u00e9. Je suis all\u00e9 jeter un coup d'\u0153il, bon gars, la valeur de l'enregistrement CNAME \u00e0 la fin de la valeur est manquant un point, l'analyse syntaxique n'est pas entr\u00e9 en vigueur. De nos jours, m\u00eame le CDN doit emp\u00eacher les co\u00e9quipiers, certains fournisseurs \u00e9crivent des documents comme des livres, le support technique ne fera que copier et coller la rh\u00e9torique officielle. Aujourd'hui, je vais utiliser l'exp\u00e9rience du monde r\u00e9el pour vous dire comment r\u00e9soudre le CNAME d'un CDN de haute d\u00e9fense.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-986","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/986","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=986"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/986\/revisions"}],"predecessor-version":[{"id":1139,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/986\/revisions\/1139"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=986"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=986"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=986"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=986"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}