Режим «Under Attack» у Cloudflare фейк?

Question

[djok2142]

Сайт ддосят с нескольких тысяч ip адресов из разных стран, делая по несколько десятков запросов в секунду с каждого ip
После включения режима "Under Attack" у Cloudflare, эти запросы все так же продолжают поступать на сервер. Я думал что режим "Under Attack" должен абсолютно для всех ip адресов выдавать так называемый "JS Chalenge", но это не так, большую часть вредоносного трафика Cloudflare все равно проксирует на сервер.
И нет, ддос не идет напрямую на ip адрес сервера. у сервера полностью закрыл доступ со всех ip адресов кроме ip адресов Cloudflare.

iptables -I INPUT -p tcp -m multiport --dports 80,443 -j DROP
ip6tables -I INPUT -p tcp -m multiport --dports 80,443 -j DROP
wget -O - https://www.cloudflare.com/ips-v4 | while read subnet; do iptables -I INPUT -s $subnet -j ACCEPT; done
wget -O - https://www.cloudflare.com/ips-v6 | while read subnet; do ip6tables -I INPUT -s $subnet -j ACCEPT; done

Если в настройках DNS домена у Cloudflare, прописать другой ip сервера, то нагрузка на сервер сразу исчезает, это говорит о том что все запросы ддосеров приходят именно через Cloudflare. Почему же он их не отфильтровывает?

Сложилось такое впечатление, что на начальном тарифе Cloudflare намеренно фильтрует только небольшое количество поступающих запросов, а все остальные пропускает. Вынуждая тем самым пользователя покупать дорогой тариф Bussines

Comments

[Roman]

WAF клаудфлеера настроили ?

[djok2142]

Роман Страх,
Да, добавил правило что бы пускало только ботов поисковиков (not cf.client.bot) а для всех остальных выдавало "JS Challenge" , но это так же не дает никакого эффекта как и режим "Under Attack".
В статистике видно что это правило что то все же фильтрует, но тех запросов что пропускаются достаточно что бы нагрузить сервер.

[Roman]

djok2142, user agent ddos атак может одинаковый ?
Покажите ваши правила waf через Edit expression для ботов верифицированных (возможно вы перепутали логику)