👨🏾‍🤝‍👨🏼 👩🏻‍🌾 ⛹️ डीएनएस-रिकॉर्ड्स को बदले बिना रिमोट प्रोटेक्शन और साइट ऑप्टिमाइज़ेशन के लिए रिवर्स प्रॉक्सी

पिछले एक महीने में, इंटरनेट संसाधनों पर औसत भार दूरस्थ कार्य और प्रशिक्षण के लिए व्यापक संक्रमण के कारण काफी बढ़ गया है (देखें कि हमारे लेख "पांडेमिक और ट्रैफ़िक को कैसे पढ़ें - दूरसंचार ऑपरेटर से एक दृश्य । " ऑनलाइन सिनेमा और गेम, ऑनलाइन प्लेटफ़ॉर्म बहुत मांग में हैं। ऐसी परिस्थितियों में खाद्य वितरण के लिए अनुरोध पर प्रशिक्षण सेवाएं, संसाधन की अनुपलब्धता के कारण होने वाली संभावित आर्थिक क्षति, जिसमें DDoS- हमले, विशेष रूप से उच्च समाधान जो

आपको मिलेंगे सामग्री में अपनी परियोजना का बचाव करने के लिए चुनते हैं:

DNS ए-रिकॉर्ड्स के परिवर्तन के साथ क्लासिक रिवर्स प्रॉक्सी के माध्यम से सुरक्षा की सीमाएं, जिसके बारे में प्रदाता अक्सर चुप रहते हैं।
इन सीमाओं से जुड़े जोखिमों से बचने के लिए आपको कौन सा समाधान चुनना चाहिए?
एक बड़े प्रोजेक्ट की सुरक्षा के साथ एक वास्तविक मामला, ए-रिकॉर्ड को स्थानांतरित करने और बदलने के बिना।
इंटरनेट संसाधन के संरक्षण के आयोजन के लिए सामान्य सिफारिशें।

तो, पहले चीजें पहले। आपने अपने बढ़ते प्रोजेक्ट को DDoS हमलों से बचाने का फैसला किया। किसी भी सुरक्षा का आधार आने वाले ट्रैफ़िक का विश्लेषण और फ़िल्टरिंग है। लेकिन यातायात को साफ करने के लिए, इसे पहले सफाई केंद्र तक पहुंचाना होगा। इसके बाद, "सुरक्षा निर्णय" के तहत हम यातायात की सुपुर्दगी और शुद्धि के लिए प्रौद्योगिकियों के संयोजन का अर्थ करेंगे।

सबसे अधिक संभावना है, आपके सामने आने वाला पहला समाधान डीएनएस-रिकॉर्ड्स के बदलाव के साथ रिवर्स प्रॉक्सी तकनीक पर आधारित होगा। इसलिए, पहले हम प्रौद्योगिकी के सिद्धांत, इसकी क्षमताओं (यदि आप रिवर्स प्रॉक्सी से परिचित हैं - इन दो वर्गों को छोड़ने के लिए स्वतंत्र महसूस करेंगे) और यातायात के वितरण से जुड़े प्रतिबंध (इसे छोड़ नहीं दिया जाना चाहिए) पर विचार करेंगे। फिर हम दिखाएंगे कि वास्तविक मामले के उदाहरण से इन प्रतिबंधों को कैसे दरकिनार किया जा सकता है। अंत में, हम इंटरनेट संसाधन की सुरक्षा के बारे में कुछ सामान्य सिफारिशें देंगे।

प्रॉक्सी को उल्टा करें - यह कैसे काम करता है

यहां हम ट्रैफ़िक पहुंचाने के साधन के रूप में रिवर्स प्रॉक्सी को देखते हैं। उसके काम की योजना सभी को अच्छी तरह से पता है, लेकिन यहां इसका उल्लेख करना मुश्किल नहीं है।

DNS ए-रिकॉर्ड्स को बदलना - वेब सर्वर के आईपी पते के बजाय, प्रॉक्सी सर्वर के आईपी पते को इंगित किया जाता है। दुनिया भर में परिवर्तन का वितरण (डीएनएस प्रचार)।
आगंतुक OS साइट के डोमेन नाम (DNS रिज़ॉल्यूशन) के अनुरूप आईपी पते का अनुरोध करता है।
DNS सर्वर प्रॉक्सी सर्वर के आईपी पते की रिपोर्ट करके अनुरोध का जवाब देता है।
विज़िटर ब्राउज़र एक HTTP (एस) सत्र खोलता है और प्रॉक्सी सर्वर को अनुरोध भेजता है, जो लक्ष्य वेब सर्वर से एक कनेक्शन को फिर से स्थापित करता है और अनुरोधों को पास करता है।

प्रॉक्सी सुविधाओं को उलट दें

ए-रिकॉर्ड परिवर्तन के साथ रिवर्स प्रॉक्सी के माध्यम से काम करने के क्या अवसर प्रदान करते हैं?

अनुरोधों की निगरानी करना और आवेदन स्तर पर हमलों से साइट की रक्षा करना। प्रौद्योगिकी आपको लक्ष्य सर्वर पर पहुंचने वाले प्रत्येक एप्लिकेशन-स्तरीय अनुरोध को संसाधित करने की अनुमति देती है।
लक्ष्य वेब सर्वर पर लोड कम करें और साइट को गति दें। प्रॉक्सी सर्वर पर, आप डेटा को संपीड़ित और कैश कर सकते हैं - यह सामग्री वितरण नेटवर्क (सीडीएन) के काम का आधार है।
कई लक्ष्य वेब सर्वरों के बीच लचीला लोड संतुलन। प्रौद्योगिकी आपको कई मशीनों के बीच प्रसंस्करण अनुरोधों के भार को वितरित करने की अनुमति देती है। इससे सिस्टम की रिस्पांसिबिलिटी और परफॉर्मेंस बेहतर होती है।
कनेक्ट करने में आसान। सुरक्षा को सक्षम करने के लिए, बस DNS ए-रिकॉर्ड को बदलें और परिवर्तनों के प्रभावी होने की प्रतीक्षा करें। स्थानांतरण, नए हार्डवेयर और सॉफ्टवेयर की आवश्यकता नहीं है।
लक्ष्य वेब सर्वर का वास्तविक आईपी पता छिपाना। आगंतुक संपर्क के लिए प्रॉक्सी सर्वर के आईपी पते का उपयोग करता है, और वे इसके उत्तर भी प्राप्त करते हैं, जो लक्ष्य वेब संसाधन की गुमनामी सुनिश्चित करता है।

प्रॉक्सी प्रतिबंध उल्टा

इस तकनीक में कई नुकसान हैं, जिनके बारे में बात करने के लिए बहुत प्रथागत नहीं हैं। इसकी सीमाओं में शामिल हैं:

DDoS- - . IP- -, , DNS-. DDoS- .
IP-, . , IP- . IP- , IP .
/ . DNS (DNS propagation). , . DNS propagation TTL (Time to Live) DNS-, .
-, TCP-, 80 443. - , , UDP-, . .

"क्लासिक" पर आधारित DDoS के हमलों के खिलाफ सुरक्षा के लिए समाधान के नुकसान रिवर्स प्रॉक्सी को एक बढ़ती परियोजना प्रौद्योगिकी सीमाओं के खिलाफ बढ़ती परियोजना के रूप में महसूस किया जा रहा है। सूचीबद्ध नुकसानों के कारण साइट की दुर्गमता के जोखिमों को कौन से तकनीकी समाधान स्तर या महत्वपूर्ण रूप से कम कर सकते हैं? - नीचे दिया गया पढ़ें।

रिवर्स प्रॉक्सी को बढ़ाना

आइए समस्या को हमारे अभ्यास से एक वास्तविक उदाहरण के साथ देखें। पिछले साल, एक बड़े ग्राहक ने सुरक्षा सेवाओं के लिए आवश्यकताओं की एक विशिष्ट सूची के साथ हमसे संपर्क किया। हम स्पष्ट कारणों के लिए कंपनी के नाम का खुलासा नहीं कर सकते, लेकिन ग्राहक की आवश्यकताएं - कृपया:

साइटों को एप्लिकेशन-स्तरीय हमलों से सुरक्षित रखें।
लक्ष्य वेब सर्वर से लोड का हिस्सा निकालने के लिए और साइटों को लोड करने में तेजी लाने के लिए - क्लाइंट के पास बहुत अधिक स्थिर सामग्री है, और वह सीडीएन नोड्स पर डेटा को कैशिंग और संपीड़ित करने में रुचि रखता है।
आईपी पते / नेटवर्क पर प्रत्यक्ष हमलों के खिलाफ सुरक्षा प्रदान करें (L3-L4 OSI स्तरों पर DDoS हमलों के खिलाफ सुरक्षा)।
संसाधनों के बाहरी IP पते को बदले बिना सेवाओं को कनेक्ट करना होगा। क्लाइंट का अपना AS और एड्रेस ब्लॉक है।
ट्रैफ़िक प्रोसेसिंग सेवाओं का प्रबंधन और बैकअप चैनलों पर स्विच करना वास्तविक समय में होना चाहिए - क्लाइंट के लिए संसाधन उपलब्धता का स्तर महत्वपूर्ण है।

DNS ए-रिकॉर्ड को बदलने के साथ "क्लासिक" रिवर्स प्रॉक्सी के आधार पर समाधान आपको सूची से पहले दो आइटमों को बंद करने की अनुमति देता है।

सुरक्षित होस्टिंग, वर्चुअल और समर्पित सर्वर जैसी सेवाएं आपको L3-L7 OSI स्तरों पर खुद को हमलों से बचाने की अनुमति देती हैं, लेकिन एकल सुरक्षा प्रदाता का उपयोग करके स्थानांतरण और मतलब की आवश्यकता होती है। क्या करें?

संरक्षित सेवाओं के साथ नेटवर्क के भीतर DDoS सुरक्षा

अपने नेटवर्क में फ़िल्टरिंग उपकरण स्थापित करने से आप L3-L7 OSI स्तरों पर सेवाओं की सुरक्षा कर सकते हैं और फ़िल्टरिंग नियमों का स्वतंत्र रूप से प्रबंधन कर सकते हैं। आप इस समाधान को चुनकर पर्याप्त पूंजी (CaPex) और परिचालन व्यय (OpEx) खर्च करते हैं। इसके लिए ये खर्च हैं:

ट्रैफ़िक फ़िल्टरिंग उपकरण + सॉफ़्टवेयर लाइसेंस (CapEx);
सॉफ्टवेयर लाइसेंस का नवीनीकरण (OpEx);
उपकरण स्थापित करने और इसके संचालन की निगरानी के लिए पूर्णकालिक विशेषज्ञ (OpEx);
हमलों तक पहुंचने के लिए इंटरनेट एक्सेस चैनल पर्याप्त हैं (CapEx + OpEx);
आने वाले "कबाड़" ट्रैफ़िक (OpEx) का भुगतान।

नतीजतन, अनुपचारित यातायात के प्रति मेगाबिट का प्रभावी मूल्य अनुचित रूप से उच्च हो जाता है। किसी भी मामले में, इस तरह के समाधान के लिए ट्रैफ़िक को फ़िल्टर करने की क्षमता विशेष प्रदाताओं की तुलना में कम होगी। इसके अलावा, साइट की गति बढ़ाने के लिए, एक या दूसरे तरीके से सीडीएन प्रदाताओं की सेवाओं का सहारा लेना होगा। समाधान के फायदों में से, यह ध्यान देने योग्य है कि डिक्रिप्टेड ट्रैफ़िक संरक्षित नेटवर्क की परिधि को नहीं छोड़ता है। हम बाद में इस मुद्दे पर अधिक विस्तार से चर्चा करेंगे।

यहां तक कि बड़ी कंपनियों के लिए, इस तरह का समाधान अक्सर आर्थिक रूप से संभव नहीं है, मध्यम और छोटे व्यवसायों का उल्लेख नहीं करने के लिए। यह भी हमारे ग्राहक के अनुरूप नहीं था।

एक रिकॉर्ड को बदलने के बिना निकटता।

ऐसे ग्राहकों की जरूरतों को पूरा करने के लिए, हमने वेब ट्रैफिक को बाधित करने के लिए एक तकनीक विकसित की और इसे A रिकॉर्ड्स को बदले बिना रिमोट प्रोटेक्शन सर्विस के हिस्से के रूप में लागू किया। समाधान सिद्धांत पर आधारित है: ग्राहक के एएस और सार्वजनिक नेटवर्क के बीच सभी कनेक्शन सुरक्षित होने चाहिए। ग्राहक हमें अपने आईपी पते / नेटवर्क की घोषणाएं बीजीपी के माध्यम से भेजता है, और हम उन्हें इंटरनेट पर घोषित करते हैं।

संरक्षित संसाधनों के लिए नियत सारा ट्रैफ़िक हमारे नेटवर्क से होकर गुजरता है। क्लाइंट कई बैकअप कनेक्शनों को छोड़ सकता है और अप्रत्याशित परिस्थितियों के मामले में DDoS-GUARD नेटवर्क से घोषणाओं को हटाकर उनका उपयोग कर सकता है। सामान्य मोड में, हम इंटरनेट तक पहुंचने के लिए केवल हमारे कनेक्शन का उपयोग करने की सलाह देते हैं, ताकि हम ग्राहक सेवाओं के संरक्षण की गारंटी दे सकें।

नीचे दिए गए आरेख से पता चलता है कि वेब ट्रैफ़िक के उदाहरण का उपयोग करके हमारे नेटवर्क में ट्रैफ़िक प्रसंस्करण कैसे व्यवस्थित किया जाता है।

IP-, , L7. API
. «» L3-4 OSI.
. TCP 80 443 , HTTP , -, .
- . .
क्लाइंट IP पते / डोमेन द्वारा निर्दिष्ट सभी ट्रैफ़िक को L7 स्तर पर संसाधित किया जाता है। प्रॉक्सी सर्वर ट्रैफ़िक को फ़िल्टर करते हैं, सामग्री का अनुकूलन करते हैं और इसे कैश करते हैं।

नेटवर्क और डोमेन के लिए नियम एक दूसरे से स्वतंत्र रूप से बनाए जा सकते हैं। एक डोमेन के लिए एक नियम बनाते समय, आपको इसके वेब सर्वर के आईपी पते को निर्दिष्ट करने की आवश्यकता नहीं होती है। यह दृष्टिकोण संरक्षित नेटवर्क के भीतर वेब सर्वर के बीच डोमेन को स्थानांतरित करते समय फ़िल्टरिंग नियमों में बदलाव नहीं करने देता है। ग्राहक के अनुरोध पर, हम प्रसंस्करण नियमों को इस तरह से बदल सकते हैं जैसे कि किसी भी अन्य बंदरगाहों पर यातायात को रोक सकते हैं।

निष्कर्ष

अब देखते हैं कि अगर विकसित DDoS-GUARD समाधान "ओवरग्राउंडिंग रिवर्स प्रॉक्सी" खंड से आवश्यकताओं की सूची को संतुष्ट करता है।

क्लाइंट को L3-L7 OSI स्तरों पर हमलों से सुरक्षा मिलती है।
सामग्री हमारे CDN के नोड्स पर संपीड़ित और कैश की गई है, जो लक्ष्य वेब सर्वर पर लोड को कम करता है।
संरक्षण प्रबंधन वास्तविक समय में होता है। ग्राहक एक व्यक्तिगत खाते या एपीआई के माध्यम से सबनेट, आईपी पते और व्यक्तिगत डोमेन के लिए ट्रैफ़िक फ़िल्टरिंग नियमों का प्रबंधन करता है। परिवर्तन 1 मिनट के भीतर प्रभावी हो जाते हैं। एक आपात स्थिति में, ग्राहक DDoS-GUARD नेटवर्क को बाईपास करने के लिए सभी ट्रैफ़िक को पुनर्निर्देशित कर सकता है बस BGP घोषणाओं को हटाकर।
कंपनी के स्वामित्व वाले आईपी पते अपरिवर्तित रहे हैं। ग्राहक को नए उपकरण खरीदने, सॉफ्टवेयर खरीदने, अतिरिक्त कर्मचारी रखने और अनुपचारित यातायात के लिए भुगतान करने की आवश्यकता नहीं है।

इसके अलावा, गैर-मानक बंदरगाहों पर चलने वाली सेवाओं और अनुप्रयोगों की सुरक्षा करना संभव है।

पुनश्च

अपनी परियोजना की सुरक्षा के बारे में सामान्य सिफारिशें:

, .. — MTU (Maximum Transmission Unit). MTU, , .. , ) .
— — , .
(), , , . DDoS «-», . , 100% , I II .
-, . , 100% , I II .