Запросы к сайту в обход Cloudflare?

Question

[zirdya]

Добрый вечер!
Подключили cloudflare для домена, но в access_log идут и ip cloudflare и ip настоящие.
Вопрос: как они попадают на сайт? Разве не весь трафик направляется через cloudflare?

Answer 1

[SagePtr]

Если подключили недавно, то не у всех успели DNS-записи обновиться. Если злоумышленник знает ваш IP за Cloudflare, он может задудосить вас напрямую в любом случае, потому если поставили Cloudflare перед вами ради защиты от DDoS - рекомендуется поменять IP'шник вашего сервера на тот, о котором злоумышленник ничего не знает. Ну и дополнительно - запретить к веб-серверу доступ напрямую, разрешить только с IP-адресов Cloudflare.
Ну и напоследок, настроить nginx так, чтобы он доверял Cloudflare и подставлял IP-адрес в remote_addr: nginx.org/ru/docs/http/ngx_http_realip_module.html

Comments

[Станислав Бодро́в]

Ну и напоследок, настроить nginx так, чтобы он доверял Cloudflare и подставлял IP-адрес в remote_addr

Не стоит из вэб сервера делать пакетный фильтр. Какой бы он не был быстрый ему не угнаться за системным пакетный фильтром. Эта задача решается одной строкой в iptables, где в source address для правила ACCEPT указываются адреса Cloudflare. Всё остальное DROP.

[SagePtr]

Станислав Бодро́в, причём тут пакетный фильтр и mod_realip? Задача mod_realip - не фильтрация пакетов, а подстановка IP-адреса из заголовка в переменную remote_addr и всё. Читать логи, где везде стоит один и тот же IP-адрес лоадбалансера вместо IP-адресов посетителей - то ещё удовольствие, если в этих логах нужно что-нибудь выцепить. Я уже не говорю о том, что само веб-приложение может адреса пользователей как-нибудь использовать, например, выдавать капчу при большом кол-ве запросов с одного и того же IP.

Answer 2

[Станислав Бодро́в]

Вопрос: как они попадают на сайт? Разве не весь трафик направляется через cloudflare?

Выбрана защита доменного имени сайта или некого диапазона сетевых адресов?
Сетевой адрес, к которому привязан домен из пула адресов Cloudflare?
Инженеры Cloudflare вроде как дают рекомендацию по закрытию доступа со сторонних адресов к на твой ip, кроме их подсети. Эта рекомендация выполнена?