CloudFlare 如何保护网站？

Question

我对 CloudFlare 提供的保护有点困惑。我www通过带有橙色云的CloudFlare和另一个direct带有灰色云的子域（假设）引导子域。但是当我tracert到www.example.com或direct.example.com路由和结束 IP 是相同的。

我期待www子域以某些 CloudFlare IP 结束。正常吗？

Answer 1

traceroute（或者tracert如果您使用的是 Windows）不是找出域映射到的 IP 地址的理想工具。也不是ping因为有些人使用它。尽管他们都将域到 IP 地址查找作为他们所做的第一件事，但这对于他们的主要功能来说是附带的。

如果您想知道域的 IP 地址，专门为此目的设计的工具是nslookup和dig。（也nslookup存在于 Windows 上。 dig如果您在 Windows 上安装 Cygwin 或使用任何 Unix 或 Linux 变体，则可用。）

为了让 CloudFlare 正常工作，您在使用时nslookup或dig在您的域中获得的 IP 地址应该是 CloudFlare 告诉您使用的 IP 地址。如果它仍然是您的 IP 地址，则您没有使用 CloudFlare。

域名系统中有很多缓存。如果您最近将域更改为指向 CloudFlare，但上述工具之一仍将其视为指向您的服务器，则可能是由于缓存。 dig还将打印出任何结果的 TTL 值，指示该结果将继续缓存多长时间。您可以告诉dig直接从权威名称服务器获取其结果，这将避免这种缓存。（这就是为什么dig是一个更合适的工具比ping或traceroute用于处理DNS）。此命令是dig @ns1.example.com www.example.com在那里ns1.example.com是你的名字服务器www.example.com是您的域。

从常见问题解答中，CloudFlare 要求您将权威名称服务器更改为他们的。此设置也可以缓存，并且通常具有很长的 TTL（多天并不少见）。

即使您仍然看到旧的、缓存的 IP 地址，只要您在使用权威名称服务器时看到 CloudFlare 的地址，有些人可能拥有正确的地址。在这种情况下，您将在来自CloudFlare 的 IP 地址的Web 服务器日志中看到命中。

如果您想在日志中包含访问者的原始 IP 地址，mod_cloudflare 可用于 Apache，并且有适用于其他平台的解决方案。

您从 CloudFlare 获得的保护来自三个不同的方面：

1. 它们充当您网站的反向代理。与所有反向代理设置一样，这意味着它们只会向源 Web 服务器发出有效请求。它们也不会人为地减慢请求，因此慢洛里斯攻击（例如）不会影响您的 Web 服务器。
2. 他们缓存您的静态内容。这意味着，如果您最终从 Slashdot 或 Reddit 的首页链接，则只有大约 1/10 的流量会到达您的服务器。其他 9/10 将直接由 CloudFlare 提供服务。这还可以帮助缓解 DDoS 攻击，具体取决于其规模和您的容量。
3. 它们过滤掉电子邮件收集机器人、博客评论垃圾邮件发送者、暴力登录尝试和已知的软件漏洞，例如您看到的那些一直在攻击 phpMyAdmin、Wordpress 和 Joomla 的漏洞。使用 Pro 帐户，他们还将过滤掉他们检测到的任何 XSS 和 SQL 注入尝试。