INTEGRITY Dokumentace

← Cloudflare Magic Transit / magic-transit / how-to

Ověřte ochranu DDoS

Po onboardingu IP prefixů do Magic Transit ověřte, že jsou vrstvy ochrany proti DDoS aktivní a správně nakonfigurované. Magic Transit obsahuje více systémů mitigace, které fungují společně. Popis jednotlivých vrstev a pořadí jejich vykonávání najdete v Ochrana před DDoS.

Předpoklady

Než začnete, ujistěte se, že jste dokončili následující:

Ověřte spravované sady pravidel DDoS

spravovaná sada pravidel proti DDoS útokům na síťové vrstvě je u prefixů IP zapojených do Magic Transit vždy povoleno. Nelze je vypnout, ale u jednotlivých pravidel lze upravit úroveň citlivosti a akci.

Kontrola aktuální konfigurace:

  1. V dashboardu Cloudflare přejděte na Ochrana před DDoS na vrstvě L3/4 stránce.

    Přejděte na DDoS Managed Rules ↗

  2. Vyberte Network-layer DDoS Protection kartě.

Pokud jste nenasadili žádné přepisy, spravovaná sada pravidel běží s výchozím nastavením (High sensitivity, DDoS Dynamic action). Pro většinu nasazení jde o doporučenou konfiguraci.

Ověřte pokročilou ochranu TCP a DNS

Advanced TCP Protection a Advanced DNS Protection se u nových zákazníků Magic Transit automaticky zapínají v monitorovacím režimu. V tomto režimu si systémy osvojí vzorce vašeho provozu a ukazují, co by zmírnily, aniž by ovlivnily živý provoz.

Kontrola stavu systémů Advanced DDoS:

  1. V dashboardu Cloudflare přejděte na Ochrana před DDoS na vrstvě L3/4 stránce.

    Přejděte na DDoS Managed Rules ↗

  2. Přejděte na Advanced Protection > Obecná nastavení.

  3. Ověřte, že je systém zapnutý a že jsou vaše prefixy uvedeny v seznamu.

Kontrola jednotlivých ochranných pravidel:

Přepněte z režimu monitorování do režimu zmírňování

Jakmile vaše systémy Advanced DDoS shromáždí data o provozu alespoň za sedm dní, Cloudflare vypočítá ochranné prahy na základě 95. percentilu vašeho provozu za toto období. Prahy se přepočítávají každých 10 minut.

Přechod z monitorování na mitigaci:

  1. Zkontrolujte svůj provoz v Network Analytics abyste si ověřili, že systémy správně rozlišují normální provoz od anomálního provozu.
  2. Přejděte na pravidlo, které chcete aktualizovat (SYN Flood, Out-of-state TCP nebo DNS Protection).
  3. Změňte režim pravidla z Monitoring na Mitigation (Enabled).

Nastavte upozornění

Nakonfigurujte upozornění na útoky DDoS, abyste byli informováni o jejich zjištění a zmírnění:

  1. V dashboardu Cloudflare přejděte na Oznámení stránce.

    Přejděte na Oznámení ↗

  2. Vyberte Přidat.

  3. Vyberte Layer 3/4 DDoS Attack Alert. Účty Enterprise mohou vybrat Advanced Layer 3/4 DDoS Attack Alert pro další možnosti filtrování.

  4. Nastavte způsob doručování (e-mail, webhook nebo PagerDuty).

Zákazníci Magic Transit a Spectrum BYOIP dostávají každé úterý automaticky e-mailem týdenní souhrnnou zprávu o DDoS útocích. Zpráva se týká předchozího období od pondělí do neděle a obsahuje celkový počet útoků, největší útok podle počtu paketů za sekundu a bitů za sekundu a celkový počet zmírněných bajtů.

Sledování pomocí Network Analytics

Network Analytics je hlavní řídicí panel pro sledování aktivity DDoS u vašich prefixů Magic Transit. Zobrazuje provoz vstupující do sítě Cloudflare a vystupující z ní, včetně provozu blokovaného pravidly DDoS a pravidly Network Firewall.

Kontrola aktivity DDoS:

  1. V dashboardu Cloudflare přejděte na Network analytics stránce.

    Přejděte na Network analytics ↗

  2. Filtrováním podle použitých mitigací izolujte provoz blokovaný sadami DDoS managed rulesets nebo pravidly Network Firewall.

Analytiku DDoS můžete také získávat programově pomocí GraphQL Analytics API.

Otestujte ochranu DDoS

Proti vlastním IP prefixům chráněným službou Magic Transit můžete simulovat útoky DDoS a ověřit tak, že detekce a zmírňování fungují podle očekávání. Testování vlastních prostředků nevyžaduje souhlas ze strany Cloudflare.

Pokyny k testování najdete v Simulujte testovací útoky DDoS.