Как эффективно настроить cloudflare чтобы защитить сайт?

Question

[Dextore23]

Подскажите пожалуйста.
Идет атака на сайт, сайт полностью проксируется у CloudFlare, тариф PRO.
Злоумышленник пробивают защиту клауда, когда стоит HIGH и ниже, когда включаю Under Attack тогда нормально помогает.
Но постоянный режим Under Attack не удобный, сильно много режет, и доставляет напряги пользователям.

Пробую блокировать старны с которых идет атака, но прорываются и страны СНГ, что блочить бы не хотелось.
Также часть клиентов сидит под VPNнами.

Вопрос, что можно оптимальное предпринять с учетом описанных условий выше? Как эффективней борооться с атакой?

кусок лога с веб сервера

191.85.6.138 - - [09/Jun/2022:07:14:07 +0300] "POST / HTTP/1.1" 200 16239 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.99 Safari/537.36"
59.120.62.85 - - [09/Jun/2022:07:13:47 +0300] "POST / HTTP/1.1" 200 15989 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36"
201.191.51.67 - - [09/Jun/2022:07:14:07 +0300] "POST / HTTP/1.1" 200 16244 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.0.0 Safari/537.36"
70.31.46.244 - - [09/Jun/2022:07:14:04 +0300] "POST / HTTP/1.1" 200 16243 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36 OPR/86.0.4363.70"
73.180.163.66 - - [09/Jun/2022:07:14:07 +0300] "POST / HTTP/1.1" 200 16263 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36"

Comments

[alex1478]

Если у вас нет форм на главной странице, которые делают POST запрос в /, можете попробовать создать подобное правило:

spoiler

[Рамис]

Забавное совпадение) Решение обхода CloudFlare при POST-запросах

spoiler

[Vitaly Karasik]

Два совета
1) Технический - во-первых присоединяюсь к совету alex1478. А еще лучше посмотреть в логе на top 10 URLs и подумать - если есть отличие таких запросов от настоящих, то можно придумывать правила
2) В плане PRO есть поддержка по почте, спросите ее

[Dextore23]

alex1478, хорошее решение, скажите пожалуйста, а по типу HTTP/1, есть ли смысл в нем?
Что если убрать его, чтобы все запросы проверяло, а не только HTTP/1 ?

[alex1478]

Dextore23, "HTTP/1.1" я добавил в условие исходя из вашего лога, что бы конкретно атакующих вас ботов фильтровать. Можно и без этого условия. Если у вас нет форм, которые делают POST запрос в /, то никто из реальных пользователей даже не столкнется с проверкой

Answer 1

[my_drone]

Мне кажется, что хакеры знают IP сайта, а клауд только через домен ведёт свою защиту.
Почитайте про ДДос..