← Cloudflare Spectrum / spectrum / about

Защита от DDoS-атак для Spectrum

Spectrum обеспечивает защиту от DDoS-атак на уровнях 3 и 4 Модель OSI ↗, то есть от DDoS атак на основе TCP и UDP.

Spectrum работает как обратный прокси уровня L4, поэтому перед проксированием трафика на источник сначала должно быть установлено полноценное TCP-соединение. Благодаря этому воздействие атак с отражением SYN и SYN-ACK принимает на себя глобальная сеть Cloudflare. Кроме того, при использовании Spectrum перед приложением IP-адрес источника остаётся скрытым, и злоумышленники не могут атаковать исходный сервер напрямую. После перехода на Cloudflare также рекомендуется сменить IP-адрес источника и ограничить его так, чтобы он принимал трафик только от Диапазон IP-адресов Cloudflare ↗.

Случайные TCP-пакеты или пакеты, не соответствующие состоянию соединения, не должны передаваться на источник, если между клиентом и Cloudflare еще не установлено законное TCP-соединение. Spectrum также использует проверки SYN cookie, встроенные в сетевой стек Linux ↗ для защиты от флуд-атак.

Кроме того, если на ваше приложение обрушивается поток пакетов протокола, который не указан (например, приложение Spectrum настроено для трафика TCP, а атака идёт потоком UDP), такие пакеты будут отброшены. Аналогично, если пакеты направлены на порт или диапазон портов, которые вы не указали, они также будут отброшены.

Атаки DDoS уровня L3/4 должны обнаруживаться и блокироваться с помощью Управляемый набор правил Network-layer DDoS Attack Protection который включён по умолчанию. Этот набор правил обнаруживает DDoS атаки и противодействует им, динамически определяя их сигнатуру по полям заголовков пакетов.

Чтобы защитить приложения HTTP/S от DDoS-атак уровня L7 и воспользоваться кэшированием и другими возможностями, подключите приложение к сервису Cloudflare Web Application Firewall/Content Delivery Network, который работает совместно с Cloudflare Spectrum.

См. Cloudflare DDoS Protection чтобы узнать больше.

Причина устранения поле, показанное в Управляемые правила защиты от DDoS вкладке Network Analytics (Сеть > Insights > Network Analytics в панели управления) будет содержать дополнительные сведения о том, почему тот или иной пакет был отброшен системой Spectrum.

Причины применения мер защиты следующие: