Как определили ip сервера спрятанного за cloudflare?

Question

[ghbdtnvbh]

Имеется сервер на который направили ддос атаку. Спрятан он был за cloudflare. Пару дней помогала защита under attack, так же с помощью логов смотрел на какой uri path бьют и блокировал его в клауде. Сегодня увидел что ддос идет на прямую по IP. Как его могли слить при ддосе если все спрятано за клауд ?

Вариант теперь только изменить ip сервера?
поможет ли если я спрячу ип еще и за прокси сервер ? в таком случае при утечки еще раз, утечка будет сервера прокси, который я смогу изменить быстрее чем IP сервера где скрипт.

Answer 1

[Надим]

Дело в том, что твой домен, который ты ранее добавлял в Cloudflare вполне себе имеет историю изменения ns-серверов и эта история вполне себе публично доступна. Вот по этой истории и можно определить хостера, а через него и IP-адрес сайта - не всегда, но в большинстве случаев.

Поможет только новый хостинг и домен, при этом добавлять их в Cloudflare надо через третьего хостера.

Answer 2

[Александр Карабанов]

"А" запись в DNS указывала на реальный IP сервера до того, как сервер был спрятан за CloudFlare и эту информацию можно отыскать (интернет помнит всё). Так и узнали.

Можно поменять IP. Можно с помощью фаирвола запретить подключаться к серверу всем, кроме CloudFlare (собственно это в любом случае надо делать иначе в чём смысл). Но лучше сделать и то и другое.

Comments

[ghbdtnvbh]

Вот это сделал. Ссылка

[Александр Карабанов]

ghbdtnvbh, тоже неплохо. Но если дропать соединения на уровне фаирвола, нагрузка будет ниже.

Answer 3

[Adler]

Легально и гарантированно никак не определить, но в принципе это возможно с некоторой вероятностью. Например, домен когда-то был не через cloudflare, а напрямую к IP прикручен или еще какие-то старые ассоциации между доменом и "оригинальным" IP. Можно нагуглить несколько таких сервисов, которые с некоторой долей вероятности могут найти старый IP домена.