Lorsque j'ai rejoint l'industrie pour la premi\u00e8re fois, je pensais \u00e9galement que la documentation de l'API du CDN de haute d\u00e9fense \u00e9tait plac\u00e9e \u00e0 la surface comme les marchandises dans le supermarch\u00e9, et en cons\u00e9quence, j'ai march\u00e9 sur la fosse et j'ai march\u00e9 sur la fosse pour douter de ma vie. Une fois, afin de trouver une interface de statistiques de trafic en temps r\u00e9el, j'ai fouill\u00e9 dans tous les coins du site Web officiel du fournisseur de services, et j'ai finalement trouv\u00e9 une entr\u00e9e cach\u00e9e dans l'ancien message du forum de la communaut\u00e9 en 2016 - cette chose est cach\u00e9e plus profond\u00e9ment que les espions de la guerre froide.<\/p>\n
La distribution des documents API des principaux fournisseurs de services CDN haute d\u00e9finition sur le march\u00e9 est extr\u00eamement fragment\u00e9e. Certains placent directement l'entr\u00e9e sur la page d'accueil de la console, d'autres doivent demander une cl\u00e9 API avant de d\u00e9bloquer les autorisations du document, et le plus scandaleux est que certains fournisseurs dispersent en fait le document sous trois sous-domaines diff\u00e9rents. J'ai constat\u00e9 que des fournisseurs comme CDN5 sont plus intelligents, et qu'il y a une entr\u00e9e permanente \"Developer Centre\" dans le coin sup\u00e9rieur droit apr\u00e8s s'\u00eatre connect\u00e9 \u00e0 la console, tandis que CDN07 doit activer l'acc\u00e8s API dans \"Account Security\" avant que le lien du document n'apparaisse dans le centre d'aide dans le coin inf\u00e9rieur gauche.<\/p>\n
Ne jamais faire confiance \u00e0 ces soi-disant \"collection de documentation API la plus compl\u00e8te du r\u00e9seau\" de sites web tiers, l'ann\u00e9e derni\u00e8re, j'ai vu quelqu'un utiliser des documents d'interface obsol\u00e8tes comme un b\u00e9b\u00e9 pour les r\u00e9sultats du param\u00e8tre de limite de fr\u00e9quence d'appel a longtemps \u00e9t\u00e9 modifi\u00e9 de 200 fois par minute \u00e0 50 fois, conduisant directement \u00e0 l'entreprise en ligne des erreurs de rapport fr\u00e9quentes. Le plus fiable ou directement grignoter sur les documents officiels, bien que parfois il faut un peu d'effort pour trouver.<\/p>\n
Documentation g\u00e9n\u00e9rale du fournisseur de services pour obtenir la bataille r\u00e9elle<\/strong><\/p>\n Tout d'abord, parlons de CDN5, ce document est consid\u00e9r\u00e9 comme plus convivial pour les d\u00e9veloppeurs. Apr\u00e8s vous \u00eatre connect\u00e9 \u00e0 la console, vous n'avez pas besoin de demander des autorisations suppl\u00e9mentaires, et vous pouvez voir la documentation en temps r\u00e9el directement dans la page \"Outils et int\u00e9gration\" - \"Gestion de l'API\". L'essentiel est qu'ils fournissent le t\u00e9l\u00e9chargement du SDK et des outils de d\u00e9bogage en ligne, une nouvelle cl\u00e9 API ne n\u00e9cessitant que deux \u00e9tapes :<\/p>\n CDN07 est un peu un d\u00e9tour, vous devez trouver l'onglet \"Advanced Features\" dans les param\u00e8tres de s\u00e9curit\u00e9 du compte, et vous devez v\u00e9rifier votre t\u00e9l\u00e9phone portable apr\u00e8s avoir ouvert l'acc\u00e8s \u00e0 l'API. Leurs documents sont distribu\u00e9s en deux endroits : l'interface de configuration de base se trouve dans le \"Guide du d\u00e9veloppeur\" du Centre d'aide, tandis que les API li\u00e9es \u00e0 la politique de s\u00e9curit\u00e9 sont en fait plac\u00e9es s\u00e9par\u00e9ment dans la section \"Open Interface\" de la console de protection contre les attaques DDoS - la logique de conception ressemble \u00e0 un labyrinthe.<\/p>\n 08Host encore plus d\u00e9sesp\u00e9r\u00e9, le document n'est pas ouvert au public du tout, vous devez contacter le service client pour demander des \"autorisations API partenaire\", apr\u00e8s avoir re\u00e7u le paquet zip crypt\u00e9, mais aussi d'utiliser la cl\u00e9 GPG fournie pour d\u00e9crypter. J'ai aid\u00e9 \u00e0 l'int\u00e9gration du client l'ann\u00e9e derni\u00e8re quand j'ai attendu pendant trois jours entiers, apr\u00e8s d\u00e9compression trouv\u00e9 que le document a \u00e9galement 2018 sur les param\u00e8tres de l'interface abandonn\u00e9e ...... Donc, si vous voulez utiliser son API, il est recommand\u00e9 de trouver directement le service client technique pour demander la derni\u00e8re version, n'utilisez pas ces versions qui circulent sur Internet.<\/p>\n L'API appelle ces pi\u00e8ges<\/strong><\/p>\n Trouver la documentation n'est que la premi\u00e8re \u00e9tape, et il y a d'autres pi\u00e8ges dans l'invocation elle-m\u00eame. La plupart des fournisseurs de services CDN de haut niveau exigent d\u00e9sormais une double authentification : en plus de la cl\u00e9 API, il faut \u00e9galement ajouter le jeton dynamique. L'algorithme de signature de 08Host est particuli\u00e8rement pervers : il faut effectuer trois fois le hachage SHA256 apr\u00e8s l'\u00e9pissage de l'horodatage, de la cl\u00e9 et du param\u00e8tre non-ce :<\/p>\n L'interface des statistiques de trafic est la plus sujette aux probl\u00e8mes. Une fois que j'ai appel\u00e9 l'interface d'interrogation de la bande passante de CDN07 selon l'exemple du document, le r\u00e9sultat de l'unit\u00e9 de donn\u00e9es de retour pendant un certain temps est Mbps pendant un certain temps est Kbps, et plus tard j'ai d\u00e9couvert que selon la p\u00e9riode de temps pour changer automatiquement l'unit\u00e9 - ce genre de puits sombre dans le document ne sera pas \u00e9crit, on ne peut compter que sur le d\u00e9bogage des paquets.<\/p>\n L'interface d'interrogation sur l'\u00e9tat du nettoyage est \u00e9galement une zone sinistr\u00e9e. Lorsqu'une attaque DDoS se produit, le CDN de haute d\u00e9fense passe automatiquement en mode nettoyage, mais le statut de chaque valeur de retour est extr\u00eamement diff\u00e9rent. CDN5 utilise les chiffres 0-4 pour indiquer l'intensit\u00e9 du nettoyage, 08Host utilise directement la cha\u00eene \"light\/heavy\/excessive\", et CDN07 est encore plus scandaleux - le retour du code hexad\u00e9cimal doit \u00eatre recherch\u00e9 dans la base de donn\u00e9es de CDN5, ce qui n'est pas le cas de CDN07. Je sugg\u00e8re d'int\u00e9grer un analyseur d'\u00e9tat unifi\u00e9. Je sugg\u00e8re d'int\u00e9grer un analyseur d'\u00e9tat unifi\u00e9 :<\/p>\n La politique de s\u00e9curit\u00e9 doit \u00eatre tir\u00e9e au complet<\/strong><\/p>\n De nos jours, m\u00eame les CDN doivent \u00eatre \u00e0 l'\u00e9preuve des co\u00e9quipiers. L'ann\u00e9e derni\u00e8re, un attaquant a pu s'approprier des centaines de t\u00e9raoctets de trafic par le biais d'une interface gr\u00e2ce \u00e0 la fuite d'une cl\u00e9 API. Veillez \u00e0 respecter le principe du moindre privil\u00e8ge :<\/p>\n Par exemple, dans un sc\u00e9nario de surveillance pure, seules les autorisations report_read sont donn\u00e9es, et une cl\u00e9 s\u00e9par\u00e9e avec uniquement les autorisations cache_purge est cr\u00e9\u00e9e pour les op\u00e9rations de rafra\u00eechissement du cache.CDN5 prend en charge la liste blanche bas\u00e9e sur l'IP des restrictions d'acc\u00e8s \u00e0 l'API, et il est recommand\u00e9 que les IP des serveurs d'appel de l'API dans l'environnement de production soient toutes li\u00e9es :<\/p>\n Ne jamais coder en dur les cl\u00e9s d'API dans le code c\u00f4t\u00e9 client ! J'ai vu des gens \u00e9crire la cl\u00e9 dans un fichier JavaScript, et se faire rep\u00e9rer par un crawler. La bonne fa\u00e7on de proc\u00e9der est de relayer l'appel par un service backend, ou d'utiliser un jeton \u00e0 court terme (tel que le jeton temporaire valide pendant 2 heures pris en charge par 08Host).<\/p>\n Comment suivre les mises \u00e0 jour des documents<\/strong><\/p>\n Les it\u00e9rations de l'API pour les CDN \u00e0 haute d\u00e9fense sont beaucoup plus rapides que pr\u00e9vu, en particulier lorsqu'il s'agit de nouvelles techniques d'attaque DDoS, o\u00f9 plusieurs nouveaux param\u00e8tres de protection peuvent \u00eatre ajout\u00e9s en une semaine. J'ai trois m\u00e9thodes fiables :<\/p>\n Abonnez-vous au RSS du changelog officiel (CDN5 et CDN07 le fournissent tous les deux), surveillez leur d\u00e9p\u00f4t SDK sur GitHub (les mises \u00e0 jour du SDK de 08Host sont plus r\u00e9centes que la documentation), et le plus rustique mais le plus efficace est d'ajouter quelques groupes techniques de vendeurs - leur service client envoie souvent les notifications de mises \u00e0 jour en premier dans les groupes ! La solution la plus rustique mais la plus efficace est d'ajouter quelques groupes d'\u00e9change technique des fournisseurs - leur service client\u00e8le envoie souvent les notifications de mise \u00e0 jour dans les groupes en premier, et ne met \u00e0 jour la documentation que tous les deux jours.<\/p>\n L'ann\u00e9e derni\u00e8re, lorsque CDN07 a soudainement chang\u00e9 le nom du param\u00e8tre \"CC Protection Threshold\" de cc_level \u00e0 cc_protection_level, si quelqu'un dans le groupe ne nous avait pas pr\u00e9venus \u00e0 l'avance, tous nos scripts d'automatisation auraient plant\u00e9. Maintenant, j'ai pris l'habitude de v\u00e9rifier le num\u00e9ro de version de l'interface avant chaque appel \u00e0 l'API :<\/p>\n en derni\u00e8re analyse<\/strong><\/p>\n Trouver des documents d'API pour les CDN \u00e0 haute d\u00e9fense s'apparente \u00e0 une chasse au tr\u00e9sor, et l'emplacement de la carte au tr\u00e9sor et la mani\u00e8re de la d\u00e9crypter varient consid\u00e9rablement d'un fournisseur de services \u00e0 l'autre. Mais une fois que vous ma\u00eetrisez chaque s\u00e9rie de moyens, vous pouvez int\u00e9grer en profondeur les capacit\u00e9s de haute d\u00e9fense dans votre propre syst\u00e8me d'exploitation et de maintenance - de l'expansion automatique de la capacit\u00e9 \u00e0 la r\u00e9ponse d'urgence aux attaques, l'ensemble de la cha\u00eene d'automatisation est l'objectif ultime.<\/p>\n R\u00e9cemment, j'ai aid\u00e9 un client e-commerce \u00e0 utiliser l'API CDN5 pour mettre en place un syst\u00e8me de planification intelligent : surveillance en temps r\u00e9el de l'\u00e9tat de nettoyage, et basculement automatique des ressources statiques centrales vers le n\u0153ud de secours de 08Host en cas d'attaque sur le m\u00e9ga-trafic. Ce syst\u00e8me peut vraiment vous sauver la vie dans les moments critiques, et le mois dernier, il a \u00e9t\u00e9 capable de r\u00e9sister \u00e0 une attaque hybride de 800Gbps sans aucune interruption d'activit\u00e9.<\/p>\n Si vous d\u00e9butez, il est recommand\u00e9 de commencer par l'environnement sandbox de CDN5, qui contient les messages d'erreur les plus d\u00e9taill\u00e9s et qui est relativement convivial pour le d\u00e9bogage. Rappelez-vous : la documentation de l'API n'est pas une bible, elle est toujours en retard par rapport \u00e0 la fonction r\u00e9elle, les probl\u00e8mes r\u00e9ellement rencontr\u00e9s directement par le support technique sont plus efficaces que la recherche dans les documents - bien s\u00fbr, \u00e0 condition que vous achetiez un paquet de services comprenant des droits de support technique.<\/p>","protected":false},"excerpt":{"rendered":" Lorsque j'ai rejoint l'industrie pour la premi\u00e8re fois, je pensais \u00e9galement que la documentation de l'API du CDN de haute d\u00e9fense \u00e9tait plac\u00e9e \u00e0 la surface comme les marchandises dans le supermarch\u00e9, et en cons\u00e9quence, j'ai march\u00e9 sur la fosse et j'ai march\u00e9 sur la fosse pour douter de ma vie. Une fois pour trouver une interface de statistiques de trafic en temps r\u00e9el, j'ai fouill\u00e9 dans tous les coins du site web officiel du fournisseur de services, et j'ai finalement trouv\u00e9 une entr\u00e9e cach\u00e9e dans le forum de la communaut\u00e9 dans un vieux post de 2016 - cette chose est cach\u00e9e plus profond\u00e9ment que les espions de la guerre froide. Aujourd'hui, la distribution des documents API des principaux fournisseurs de services CDN de haute d\u00e9fense sur le march\u00e9 est extr\u00eamement divis\u00e9e. Certains placent directement l'entr\u00e9e sur la page d'accueil de la console, d'autres doivent demander une cl\u00e9 API avant de d\u00e9verrouiller les autorisations du document, le plus scandaleux \u00e9tant que certains fournisseurs dispersent en fait le document sous trois sous-domaines diff\u00e9rents. J'ai constat\u00e9 que des fournisseurs comme CDN5 sont plus intelligents, il y a une entr\u00e9e permanente \"Developer Centre\" dans le coin sup\u00e9rieur droit de la console apr\u00e8s s'\u00eatre connect\u00e9, et CDN5 a un \"developer centre\" dans le coin sup\u00e9rieur droit de la console apr\u00e8s s'\u00eatre connect\u00e9.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-990","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=990"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/990\/revisions"}],"predecessor-version":[{"id":1135,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/990\/revisions\/1135"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=990"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}