Ограничения и недостатки CDN
Стоит отметить, что наряду с вышеперечисленными достоинствами, использование CDN может быть сопряжено с ограничениями и со сложностями.
Ориентация на HTTP, HTTPS. CDN ориентированы на использование протоколов HTTP и HTTPS. Это означает, что их возможности по защите и ускорению могут быть использованы только там, где применяются эти протоколы. К примеру, вы не сможете защитить CDN сервер телефонии или сервер удаленного доступа.
Ориентация на стандартные порты. CDN требует, чтобы трафик отдавался вашим web-сервером с определенных портов. Например, CF говорит, что кэшируемый трафик должен отдаваться только с портов 80 и 443. А весь список разрешенных портов приведен на специальной странице.
Таким образом, например, вы не можете направить трафик с порта CF 443 на произвольный порт вашего сервера, только на 443. Впрочем есть такая штука как CF Spectrum — новый сервис CF, который работает как файрвол для серверов, которые находятся под управлением. Однако, Spectrum еще не распространен широко, поэтому мы его не обсуждаем.
Блокировка CF Роскомнадзором. Такие случаи в истории были. Сейчас РКН уже наученный и многократно битый палками за то, что он блокировал критически важные сервисы интернета, поэтому без разбора ведомство старается критическую инфраструктуру не блокировать, работая в режиме уведомления владельцев. Однако, такое может случиться. В этом случае вы должны оперативно снять ресурс с защиты CF и уже менее чем через 1 минут трафик пойдет напрямую на IP вашего сервера.
Именно для решения этой проблемы, помимо сертификата SSL, выдаваемый бесплатно CF, вам нужен свой сертификат SSL, который вы будете использовать, если вам придется выключить защиту в случае блокировки CF РКН.
Делегирование DNS на серверы CF. Это обязательное требование работы с CF. Вы должны делегировать обслуживание доменного имени, которое использоваться совместно с CF на DNS-серверы компании. Впрочем, этот фактор может быть как преимуществом, поскольку DNS-серверы CF являются одними из лучших в своем классе, так и недостатком, если требуется «хитрое» управление зоной.
Перенастройка HTTP-сервера и самого движка сайта. Когда сайт размещается за CDN, IP-адреса клиентов сайта уже не доступны непосредственно, поскольку источником запросов становится CDN. При этом CDN передает информацию о реальных источниках запросов посредством HTTP-заголовков X-Forwarded-For и CF-Connecting-IP. Если сайту требуется обрабатывать IP-адреса клиентов, он должен уметь извлекать информацию как в режиме без CDN, так и в режиме с CDN. К примеру, как делает приведенный ниже фрагмент кода на Python:
x_real_ip = request.headers.get("X-Real-IP")
x_forwarded_for = request.headers.get("X-Forwarded-For", "")
x_forwarded_for = x_forwarded_for.split(',')
self.remote_ip = x_forwarded_for or x_real_ip or request.remote_ip
Когда проксирование через Cloudflare оправдано
Скрытие реального IP адреса сервера
Одна из важных для некоторых причин. Но не забывайте, что есть масса способов найти реальный IP сервера.
Еще часто бывает, что на shared-хостингах на одном IP висит по несколько десятков сайтов (а то и больше), часть из которых с не очень хорошей репутацией и частично портят репутацию сайта в глазах поисковиков и почтовых сервисов. При проксировании через Cloudflare подменяется IP сайта и экономит средства на приобретение выделенного IP.
Shared-хостинг и необслуживаемые сервера
В этом случае в основном одни плюсы, т.к. Cloudflare частично решает проблемы с защитой и паразитной нагрузкой. Лучше уж так, чем вообще никак.
Неоптимизированные говносайты
Если у Вас есть такой сайт, который никак не кешируется и без всякой оптимизации, то теоретически подключение проксирования исправит некоторые проблемы за счет кэширования некоторой статики, сжатия скриптов и стилей и прочего.
Использование платных тарифов
Здесь и так все ясно. За определенную плату у Вас уже будет хоть какая-то фильтрация трафика и всякие интересные плюшки. Любая коммерческая организация заинтересована в зарабатывании денег.
Необходимость CDN
Если у Вас обширная аудитория по всему миру, то толк конечно же будет. Но чаще всего сервер с сайтом близко расположен с основной узкой аудиторией, и надобность в CDN отпадает.
Что такое Cloudflare 1.1.1.1 Warp +
1.1.1.1 Cloudflare с WARP + заменяет соединение между вашим телефоном и Интернетом новым протоколом, который шифрует данные, покидающие ваш телефон. Warp происходит из приложения Cloudflare 1.1.1.1, которое на момент выпуска было альтернативной службой DNS вместо той, которая была назначена вашим интернет-провайдером. WARP и WARP + — это функция внутри приложения 1.1.1.1, которая действует как VPN, но не похожа ни на какие другие службы VPN, доступные до сих пор.
Хотя WARP не маскирует ваш IP-адрес, как это делает VPN, он шифрует данные, отправляемые с вашего смартфона. WARP + делает все, что делает WARP, но с дополнительной функцией — Argo Smart Routing. Эта технология перенаправляет ваш интернет-трафик через сеть Cloudflare, чтобы уменьшить перегрузку сети. Чтобы лучше понять это, вам нужно знать, что именно делают DNS и VPN.
Что такое DNS
DNS или система доменных имен преобразует доменные имена в IP-адреса, которые позволяют браузерам загружать веб-страницы и контент. По сути, DNS — это телефонная книга в Интернете, которая преобразует имя хоста в IP-адрес. Если вы ввели веб-адрес и ждали загрузки страницы, то время, в течение которого вы ждете загрузки страницы, — это время, в течение которого системы обрабатывают множество записей DNS.
Что такое VPN
VPN или виртуальная частная сеть отправляет или получает данные между двумя точками в зашифрованном виде. Это услуга, с помощью которой устройства могут перенаправлять Интернет через другой компьютер или сервер, расположенный в другой части мира. Если этот параметр включен, VPN не позволит злоумышленникам проникнуть в сеть и получить доступ к вашему интернет-трафику.
Таким образом, Warp + — это VPN для нетехнических специалистов, которая предоставляет зашифрованный DNS, зашифрованный туннель, который соединяет вас с серверами Cloudflare, ближайшими к веб-сайту, к которому вы обращаетесь.
Связанный → 11 лучших VPN-приложений для Android
Как посмотреть сайт на IP вашего хостинга
Иногда требуется «увидеть» сайт на IP вашего хостинга, а не на IP Cloudflare, в этом случае откройте на своём компьютере в режиме администратора файл hosts и добавьте такую запись: . Где IP — это IP вашего хостинга и ваш домен. Путь к файлу hosts в Windows — .
И еще один момент. Для выпуска бесплатного сертификата обычному хостингу требуется, чтобы домен был на его NS. Если SSL на хостинге не установлен, то открыв страницу через его IP, сайт будет считаться небезопасным. Т.е. зашифрованное соединение будет только через IP Cloudflare. Поэтому установите также сертификат SSL на хостинг вручную.
Возможности Cloudflare
В настоящее время количество DDoS-атак на сайты увеличивается, и от них нужно защищаться. Веб-сайты, приложения и сети — все это защищено глобальной облачной сетью компании со скоростью передачи данных несколько десятков Тбит/с. Размер и частота атак технически не ограничивается, а сеть Cloudflare блокирует до сотни миллиардов угроз в день.
Чтобы воспользоваться услугой защиты от DDoS-атак, включите проксирование (Proxied) для своего сайта в разделе «DNS». В результате все запросы к вашему сайту будут поступать сначала на сервер Cloudflare, а он в свою очередь будет отправлять проверенные запросы на сервер, откуда фактически работает сайт.
WAF — это правила, благодаря которым вы можете настроить дополнительную защиту для своего сайта. Правила настраиваются в разделе «Firewall» личного кабинета Cloudflare. Они позволяют блокировать запросы от нежелательных роботов, разрешать доступ к сайту для проверенных сервисов, настроить дополнительные проверки для роботов, и многое другое. Более подробно можно почитать об этом в инструкции на сайте компании.
Каждый запрос в WAF проверяется списком правил и специальным интеллектом. Подозрительные запросы могут быть заблокированы, дополнительно проверены или занесены в журнал в зависимости от настроек пользователя, в то время как легитимные запросы успешно направляются к вашему сайту.
При использовании проксирования от Cloudflare доступна настройка защищенного соединения для сайта в разных режимах: Flexible, Full или Full (Strict).
Режим «Flexible» шифрует трафик только между браузером и сервером Cloudflare
По мнению сервиса, эта настройка может помочь личным сайтам и блогам в продвижении, поскольку Google и другие поисковики обращают внимание на HTTPS
Режимы Full и Full (Strict) устанавливают сквозное шифрование трафика с помощью SSL и гарантируют, что никто не сможет отслеживать передаваемые данные. Отличаются режимы тем, что при Full можно использовать самоподписанный сертификат, созданный на своем компьютере, а Full (Strict) требует сертификат от доверенного центра сертификации, например, Let’s Encrypt, Comodo или другой. Также можно установить Cloudflare Origin сертификат, который выдается на срок от 7 дней до 15 лет в разделе «SSL/TLS» → «Origin Server».
В разделе «SSL/TLS» → «Edge Certificates» вы можете включить настройку «Always Use HTTPS». В таком случае запросы к сайту будут автоматически перенаправлены с «http://» на «https://». Активируйте «Automatic HTTPS Rewrites», после чего все ссылки на сайте у подключаемых файлов и картинок будут заменены на «https://», и на сайте не будет смешанного контента.
При защите вашего сайта с помощью Cloudflare не рекомендуется иметь настроенные перенаправления на хостинге.
В Cloudflare доступны для использования CDN-серверы, или серверы сети доставки контента. Они позволяют быстрее получать картинки, документы, шрифты и другие статические файлы, кешируя их на серверах Cloudflare. Кеширование позволит снизить нагрузку на сайт, если на нем много посетителей и статических файлов.
Кеширование настраивается в разделе «Caching» → «Configuration» → «Caching Level» или в разделе «Page Rules», с помощью которого можно создать правила для файлов по определенному адресу сайта.
Есть три настройки кеширования:
- No query string — доставляет файлы из кеша только при отсутствии строки запроса. Например: domain.com/pic.jpg
- Ignore query string — доставляет один и тот же файл независимо от строки запроса. Например: domain.com/pic.jpg?ignore=this-query-string
- Standart — рекомендуемая настройка. Доставляет обновленную версию каждый раз, когда изменяется строка запроса. Например: domain.com/pic.jpg?with=query
Можно настроить кеширование в браузере у посетителей сайта, пункт «Browser Cache TTL». Время жизни кеша будет установлено Cloudflare, если на веб-сервере не указаны более длительные периоды времени.
HTTP Strict Transport Security (HSTS)
Cloudflare — SSL/TLS — Edge Certificates — HSTS
Из раздела Help Cloudflare:
HTTP Strict Transport Security (HSTS, RFC 6797) — это заголовок, который позволяет сайту определять и применять политику безопасности в клиентских браузерах. Это принудительное применение политики защиты защищает сайты от атак с использованием более ранних версий протокола, взлома SSL и захвата файлов cookie.
Он позволяет серверу объявлять политику, согласно которой браузеры будут подключаться только с использованием безопасных HTTPS-соединений, и гарантирует, что конечные пользователи не пропустят критические предупреждения безопасности.
HSTS является важным механизмом безопасности для сайтов с высоким уровнем безопасности. Заголовки HSTS учитываются только при обслуживании через HTTPS-соединения, а не HTTP.
Обычно HSTS проявляет себя так:
- Небезопасные ссылки HTTP становятся безопасными ссылками HTTPS
- Предупреждения SSL сертификата или другие ошибки показывают сообщения об ошибке, которые пользователи не могут обойти
Примите во внимание
Одним из важнейших соображений при использовании HSTS в Cloudflare является то, что после включения HSTS ваш сайт должен по-прежнему иметь действительную конфигурацию HTTPS, соответствующую заголовку HSTS, чтобы избежать недоступности сайта для пользователей.
Если SSL отключен с помощью других средств («серое облако» сайта с Flexible SSL, или перенос сайта из Cloudflare), то сайт будет недоступен для пользователей в течение срока действия кэшированных заголовков Max-Age или до тех пор, пока не будет восстановлен HTTPS c заголовком HSTS со значением 0. Поэтому перед применением HSTS внимательно прочитайте предупреждающие сообщения.
Заголовок Max-Age
HSTS включает параметр «max-age», который указывает продолжительность, в течение которой HSTS будет продолжать кэшироваться и применяться браузером. Этот параметр обычно устанавливается по умолчанию на 6 месяцев, однако вы должны использовать как минимум 12 месяцев, если хотите включить его в список предварительной загрузки HSTS (см. ниже).
Специальное значение «0» означает, что HSTS отключен и больше не будет кэшироваться клиентским браузером. В течение периода времени, указанного в заголовке max-age, после успешного доступа к сайту через HTTPS, браузер будет применять эту политику HSTS, требуя HTTPS с правильно настроенными сертификатами.
Включение субдоменов с HSTS
Cloudflare поддерживает параметр includeSubDomains в заголовках HSTS. Этот параметр применяет политику HSTS от родительского домена (например, example.com) к поддоменам (например, www.development.example.com или api.example.com)
Соблюдайте осторожность с этим заголовком, потому что если какие-то субдомены не работают с HTTPS, они станут недоступными
Предварительная загрузка HSTS
Cloudflare поддерживает предварительную загрузку HSTS. Этот флаг сигнализирует браузерам, что конфигурация HSTS сайта может быть предварительно загружена, то есть включена в базовую конфигурацию браузера.
Без предварительной загрузки HSTS устанавливается только после первоначального успешного запроса HTTPS, поэтому, если злоумышленник может перехватить первый запрос и пройти по HTTP, то HSTS можно обойти. С предварительной загрузкой эта атака предотвращается.
Как только HSTS настроен, вы должны посетить URL-адрес предварительной загрузки для каждого браузера вручную. Для Chrome, Firefox и Safari используйте список предварительной загрузки Chrome. Поддержка Microsoft IE HSTS обновляется.
Используйте, если вы знаете, что у вас всегда будет действительный SSL сертификат, и сайт проксирован через Cloudflare.
Что такое CloudFlare?
Это облачные технологии, которые выполняют роль дополнительного сервера и защитника для вашего веб-ресурса от Ddos-атак. Суть этих атак — «завалить» ваш сайт огромным объемом «некачественного» трафика, чтобы серверы, где он расположен, перестали работать. Иногда из-за некачественного трафика сама хостинг-компания может отключить ваш сайт, чтобы он не испортил их оборудование и не навредил другим соседним сайтам, расположенным на одном сервере с вашим.
CloudFlare как раз «фильтрует» трафик и уменьшает количество «некачественного» путем его блокировки. Именно это является основной причиной, почему CloudFlare используют на своих сайтах. Подкрепляется это еще тем, что большинство хостинг-компаний имеют слабую защиту от Ddos-атак.
Также CloudFlare предоставляет возможность использовать бесплатный SSL, но для этого необходимо будет добавить ваш сайт в саму платформу. При этом за настройку и обновление SSL-сертификата будет отвечать сама платформа, с вашей стороны не нужно будет никаких дополнительных действий.
Еще одной отличительной «фишкой» CloudFlare является возможность организовать кэширование вашего ресурса или использовать CDN-серверы. Оба этих инструмента ускорят работу вашего сайта для его пользователей.
Что самое интересное — все эти инструменты доступны в бесплатном пакете опций CloudFlare. То есть совсем бесплатно вы сможете ускорить собственный сайт и придать ему дополнительную защищенность. CloudFlare располагает еще 3-мя платными тарифами, которые будут отличаться дополнительными опциями к бесплатному пакету опций.
Сжатие видео
Мы начали анализировать, что можно сделать с видео и как оно работает сейчас. Выяснили, что видео все загружены с аудиодорожкой, но при этом они везде воспроизводятся без аудио, то есть с тегом muted. Поэтому решили удалить аудиотреки и тем самым уменьшили размер на 15% в среднем.
Запросили все видео у клиента в исходном качестве и поигрались с настройками кодирования. В итоге большинство видео конвертировали в WebM со значением 40 в настройках сжатия. Некоторые видео, где было много динамических сцен с мелкими деталями, пришлось кодировать с настройкой сжатия 30.
Настройки сжатия WebM варьируются от 1 до 65, где 1 — это самое лучшее качество. С выбранными нами настройками мы не потеряли в качестве в сравнении с mp4-видео, которые уже были на сайте. При этом нам удалось уменьшить размер в среднем на 50% относительно изначальных mp4 со звуком.
Потом в коде страницы мы добавили ссылку на видео в двух форматах, и теперь браузер сам решает, какой формат он может воспроизвести. Также дописали тег playsinline, чтобы в Safari работало автовоспроизведение. В итоге коды видео получились в таком формате:
<video autoplay playsinline muted loop> <source src="https://static.sybaritejewellery.com/video/home_page.webm" type="video/webm"> <source src="https://static.sybaritejewellery.com/video/home_page.mp4" type="video/mp4"> </video>
Подключение и знакомство
Для создания аккаунта вам нужно:
- Перейти на страницу «Sign Up».
- Ввести свою почту и придумать пароль. Он должен содержать не меньше 8 символов, цифру, а также специальные символы (например, !%@#*_-).
- Нажать на кнопку «Create Account».
Аккаунт будет создан после подтверждения по почте.
Следующим действием Cloudflare предложит вам добавить доменное имя. Введите зарегистрированный домен и нажмите кнопку «Add Site». Выберите тарифный план и нажмите «Confirm plan».
Cloudflare просканирует DNS-записи у вашего домена. Проверьте, все ли записи указаны и добавьте недостающие, если такие есть. В этом пункте вы сразу можете включить проксирование для всех записей.
Чтобы применить все настройки, измените NS-серверы у регистратора домена на те, которые вам предложит Cloudflare. Компания имеет больше сотни NS-серверов, поэтому не указывайте их заранее, вам попадутся другие.
Проверьте настройки и нажмите кнопку «Done». Домен добавлен на аккаунт.
После изменения NS-серверов и обновления DNS-кеша вам придет уведомление на почту, что домен успешно подтвержден и работает через Cloudflare.
Изменять, добавлять и редактировать ресурсные записи можно в разделе «DNS». Для записей вы можете выбрать один из статусов проксирования:
- Настройка «Proxied» (оранжевое облако) говорит о том, что вместо вашего IP-адреса будет указан адрес Cloudflare. Все запросы проксируются, то есть поступают сначала на сервера компании, а после отправляются на сервер, где сайт фактически размещен.
- «DNS only» (серое облако) означает, что при обращении к домену Cloudflare будет отдавать IP-адрес вашего сервера. Настройки кеширования, Firewall и другие не будут применяться.
Чтобы изменить статус, нажмите на запись для перехода в режим редактирования, кликните на облако для изменения и нажмите «Save».
При использовании «Proxied» на бесплатном тарифе, подключиться по проксируемому домену к почте, FTP и SSH на хостинге не получится. Cloudflare пропускает запросы к вашему сайту только по 80 и 443 порту, поэтому используйте для подключения к почте и другим сервисам IP-адрес сервера, на котором находится ваш аккаунт (указан в Панели управления, раздел «Сайты и домены» → «IP-адреса»).
На платных тарифах вы можете воспользоваться специальным инструментом Spectrum, узнать подробнее можно в инструкции.
Сравнение теста скорости
Нам удалось запустить несколько тестов с разными сетями на нашем Xiaomi Pocophone F1 с последней прошивкой — Android 9 Pie и MIUI 11. Результаты, перечисленные ниже, были сопоставлены со средней скоростью, которую устройство достигло в разных сетях.
При подключении к Wi-Fi (широкополосной) сети
Первый этап испытаний был проведен, когда устройство было подключено к оптоволоконной широкополосной сети.
Оставили: Без WARP; Центр: С WARP; Правильно: С WARP Plus
Как ясно видно на рисунке, устройству при подключении к обычной широкополосной сети удалось достичь самых низких скоростей загрузки, когда WARP или WARP + не включены. Однако без WARP соединение смогло достичь максимальной скорости загрузки из трех сценариев и лучшего ping (111 мс) без потери пакетов. Вызванная ошибками при передаче данных, потеря пакетов происходит, когда один или несколько пакетов данных, перемещающихся по сети, не достигают места назначения.
С WARP (не платной версией) устройство смогло получить немного более высокую скорость (до 15 процентов) при загрузке, в то время как загрузка снизилась с 90 Мбит / с до 38,2 Мбит / с. Задержка соединения осталась почти такой же, так как разница в пинге в 3 мс незначительна.
Когда WARP Plus был включен, скорость загрузки увеличилась более чем в два раза, чем без подключения WARP. Это очевидно из того факта, что тест смог загрузить около 79 МБ данных, тогда как в течение того же периода тестирования устройство могло загрузить только более 38 МБ данных без включенной WARP. Платный сервис также смог достичь более высокой скорости загрузки, чем бесплатный WARP (около 69 Мбит / с), но за счет более высокого пинга (128 мс). Это был первый случай, когда мы заметили некоторую потерю пакетов, хотя и с небольшим запасом.
При подключении к сети LTE
Наш второй этап тестов включал подключение к стандартной мобильной сети 4G. Подобно тестам выше, мы разработали результаты для случаев, когда устройство было подключено без включения WARP, с WARP и с активированным WARP Plus.
Оставили: Без WARP; Центр: С WARP; Правильно: С WARP Plus
После подключения к мобильной сети результаты подтвердили оценку WiFi. Когда устройство работало без WARP, удалось достичь скорости загрузки 5,16 Мбит / с и скорости загрузки 8,28 Мбит / с.
При включенном Warp скорость загрузки подскочила до 6,13 Мбит / с, что на 15% выше, чем при использовании Wi-Fi. Точно так же пострадала скорость загрузки, когда она упала до 2,65 Мбит / с, хотя пинг был более или менее таким же.
Как и ожидалось, WARP + подтолкнул телефон к достижению скорости загрузки 6,74 Мбит / с, зафиксировав улучшение на 23%. Скорость загрузки также была хорошей, и ей даже удалось превзойти показатель без деформации, перепрыгнув с 8,28 Мбит / с до 8,68 Мбит / с. Однако, как и при подключении по Wi-Fi, время отклика сервера достигло пика в 142 мс по сравнению с 14 мс при подключении без WARP LTE. Потери данных не было, поскольку потеря пакетов оставалась равной нулю.
Что такое Cloudflare и зачем он нужен
Во вступлении я уже сказал, что этот сервис может выполнять роль защитника от DDos-атак. Цель таких атак заключается в направлении колоссально огромных объемов мусорного трафика на ваш сайт, ввиду чего оборудование перестает нормально работать. Обычно сайты просто выходят из строя (падают).
Они падают сами, либо их отключает хостер. Последний вариант особенно актуален для виртуальных хостингов, потому что из-за одного сайта могут страдать другие. Хостинг, понятное дело, не заинтересован в таких перфомансах — он просто убирает проблемный сайт.
Примечание:
Хороший хостинг должен иметь встроенную защиту от DDos-атак. Впрочем, в большинстве нормальных компаний такая защита предусмотрена. Однако особо сильные атаки она все равно не выдержит.
Обычно Cloudflare ставят как раз для того, чтобы защититься от DDos-атак. Сам сервис будет выполнять роль некого фильтра. Каждого пользователя платформа будет идентифицировать и присваивать определенные значения. Если с какого-то IP-адреса будет поступать флуд — Cloudflare просто будет блокировать этот адрес.
Помимо этого в Cloudflare есть и другие крутые фишки. Например, вы можете рассчитывать на бесплатный SSL-сертификат, если добавите свой ресурс в платформу. Вам не придется делать никаких дополнительных манипуляций, ресурс будет доступен по защищенному протоколу сразу после подключения.
Также вы можете активировать кэширование и поддержку CDN. В первом случае контент вашего проекта будет кэшироваться и сжиматься — то есть сам сайт будет быстрее открываться.
Во втором вы также сможете рассчитывать на увеличение скорости загрузки — все файлы и контент вашего ресурса будет доставляться с более быстрых CDN-серверов. Пользователям не придется каждый раз загружать файлы с сервера хостера — все будет реализовано в более быстром и удобном виде.
Подведем промежуточные итоги. С помощью Cloudflare вы сможете:
- Защитить свой ресурс от DDos-атак различного вида
- Получить бесплатный SSL-сертификат и защищенное соединение https
- Ускорить свой сайт с помощью кэширования и CDN
- Скрыть IP-адрес сервера от чужих глаз
