← Cloudflare Magic Transit / magic-transit / how-to

Проверка защиты от DDoS-атак

После подключения IP-префиксов к Magic Transit убедитесь, что уровни защиты от DDoS активны и настроены правильно. Magic Transit включает несколько взаимодействующих систем защиты. Описание каждого уровня и порядка их выполнения приведено в Защита от DDoS.

Перед началом убедитесь, что выполнены следующие шаги:

• Подключили свои IP-префиксы в Magic Transit.
• Префиксы анонсированы в Cloudflare.

управляемый набор правил защиты от DDoS-атак на сетевом уровне всегда включена для IP-префиксов, подключённых к Magic Transit. Отключить её нельзя, но можно настроить уровень чувствительности и действие для отдельных правил.

Чтобы просмотреть текущую конфигурацию:

1. На панели управления Cloudflare перейдите к разделу защита от L3/4 DDoS-атак страницу.

   Перейдите в DDoS Managed Rules ↗

2. Выберите Network-layer DDoS Protection на вкладке.

Если переопределения не заданы, управляемый набор правил работает с настройками по умолчанию (High sensitivity, DDoS Dynamic action). Такая конфигурация рекомендуется для большинства случаев.

Advanced TCP Protection и Advanced DNS Protection автоматически включаются в режиме мониторинга для новых клиентов Magic Transit. В этом режиме системы изучают характер вашего трафика и показывают, что они заблокировали бы, не влияя на реальный трафик.

Чтобы проверить состояние систем Advanced DDoS:

1. На панели управления Cloudflare перейдите к разделу защита от L3/4 DDoS-атак страницу.

   Перейдите в DDoS Managed Rules ↗

2. Перейдите в Расширенная защита > Общие настройки.

3. Убедитесь, что система включена и что ваши префиксы отображаются в списке.

Чтобы просмотреть отдельные правила защиты:

• Для Advanced TCP Protection перейдите в Расширенная защита > Advanced TCP Protection. Убедитесь, что правила SYN Flood Protection и Out-of-state TCP Protection существуют и настроены в ожидаемом режиме.
• Для Advanced DNS Protection перейдите в Расширенная защита > Advanced DNS Protection. Убедитесь, что правило DNS Protection существует.

После того как системы Advanced DDoS соберут данные о трафике минимум за семь дней, Cloudflare рассчитывает пороги защиты на основе 95-го процентиля трафика за этот период. Пороги пересчитываются каждые 10 минут.

Чтобы перейти от мониторинга к противодействию атакам:

1. Просмотрите свой трафик в Network Analytics чтобы убедиться, что системы верно отличают обычный трафик от аномального.
2. Перейдите к правилу, которое нужно обновить (SYN Flood, Out-of-state TCP или DNS Protection).
3. Измените режим правила с Мониторинг к Устранение (Включено).

Настройте оповещения о DDoS-атаках, чтобы получать уведомления об обнаружении и устранении атак:

1. На панели управления Cloudflare перейдите к разделу Уведомления страницу.

   Перейдите в Уведомления ↗

2. Выберите Add.

3. Выберите Layer 3/4 DDoS Attack Alert. Аккаунты Enterprise могут выбрать Advanced Layer 3/4 DDoS Attack Alert для дополнительной поддержки фильтрации.

4. Настройте способ доставки (email, webhook или PagerDuty).

Клиенты Magic Transit и Spectrum BYOIP автоматически получают еженедельный сводный отчёт о DDoS-атаках по электронной почте каждый вторник. Отчёт охватывает период с предыдущего понедельника по воскресенье и включает общее число атак, крупнейшую атаку по пакетам в секунду и битам в секунду, а также общий объём заблокированного трафика в байтах.

Network Analytics является основной панелью для мониторинга DDoS-активности на ваших префиксах Magic Transit. Она показывает трафик, входящий в сеть Cloudflare и покидающий её, включая трафик, заблокированный правилами DDoS и правилами Network Firewall.

Чтобы просмотреть активность DDoS:

1. На панели управления Cloudflare перейдите к разделу Network analytics страницу.

   Перейдите в Network analytics ↗

2. Отфильтруйте по применённым мерам защиты, чтобы выделить трафик, заблокированный управляемыми наборами правил защиты от DDoS или правилами сетевого файрвола.

Вы также можете получать аналитику DDoS программным способом с помощью GraphQL Analytics API.

Вы можете имитировать DDoS-атаки на собственные IP-префиксы, защищённые Magic Transit, чтобы убедиться в том, что обнаружение и предотвращение атак работают так, как ожидается. Разрешение Cloudflare для тестирования собственных ресурсов не требуется.

Рекомендации по тестированию смотрите в Смоделируйте тестовые DDoS-атаки.