سرویس فعال — فیلتر در لبه، رایگان

محافظ ربات: حمله‌های وب را در لبه متوقف کنید

هر دامنهٔ پشت CDN ایران‌کلاد با فهرست همیشه به‌روز IP‌های مخرب، فایروال وب با قوانین OWASP و محدودیت نرخ هر IP محافظت می‌شود؛ درخواست‌های مخرب روی لبهٔ داخل ایران رد می‌شوند و به سرور شما نمی‌رسند. بدون هزینهٔ جداگانه.

  • کاربر واقعیعبور
  • IP در فهرست مخربمسدود
  • تلاش SQL Injectionمسدود
  • درخواست بیش از سقف نرخ429
فهرست IP مخرب · فایروال وب · محدودیت نرخ

معرفی

محافظ ربات و حمله در لبه

اسکنرهای آسیب‌پذیری، ربات‌های حدس رمز و درخواست‌های حاوی SQL Injection یا XSS روی لبهٔ داخل ایران شناسایی و رد می‌شوند، پیش از آنکه به سرور شما برسند. IP‌های شناخته‌شده برای حمله از فهرستی که مدام به‌روز می‌شود مسدودند و فایروال وب محتوای درخواست را با قوانین OWASP بررسی می‌کند.

محدودیت نرخ هر IP جلوی اسکریپت‌های پرتکرار را می‌گیرد و با فهرست‌های IP مجاز و مسدود، دسترسی را دقیق‌تر کنترل می‌کنید. همهٔ این لایه‌ها بخشی از CDN هستند و هزینهٔ جداگانه ندارند.

همیشه مسدود
IP مخرب
فهرست به‌روز
فایروال وب
OWASP
SQLi‏، XSS، اسکنر
هر IP
محدودیت نرخ
ثانیه و دقیقه
همراه CDN
بدون هزینهٔ جدا
از پنل یا API

قابلیت‌ها

از چه چیزی محافظت می‌کند؟

تهدیدهای لایهٔ وب در لبه متوقف می‌شوند، قبل از مصرف منابع سرور شما.

IP‌های شناخته‌شدهٔ مخرب

آدرس‌هایی که در شبکهٔ اشتراک تهدید یا روی لبه به حمله شناخته شده‌اند، خودکار رد می‌شوند.

حمله‌های وب

SQL Injection‏، XSS، پیمایش مسیر و اجرای فرمان با قوانین OWASP نسخهٔ ۴.

حدس رمز و اسکرپ سریع

سقف درخواست هر IP در ثانیه و دقیقه؛ درخواست اضافه با کد ۴۲۹ رد می‌شود.

اسکنرهای آسیب‌پذیری

ابزارهای اسکن خودکار که دنبال فایل و افزونهٔ آسیب‌پذیر می‌گردند شناسایی می‌شوند.

فهرست مجاز و مسدود

IP یا رنج CIDR را مسدود کنید یا بخشی از سایت را فقط برای IP‌های خودتان باز بگذارید.

پنهان ماندن سرور اصلی

DNS به لبه اشاره می‌کند و IP واقعی سرور شما در دسترس عموم نیست.

قیمت

هزینهٔ محافظ ربات و فایروال وب

حفاظت بخشی از CDN است و اشتراک جداگانه ندارد. فقط مصرف بیش از سهمیهٔ رایگان ماهانه محاسبه می‌شود.

فهرست IP مخرب، فایروال وب، محدودیت نرخ

رایگان

برای هر دامنه‌ای که CDN روی آن روشن است

درخواست‌ها

۱ میلیارد رایگان در ماه

سپس ۱۰۶ تومان هر ۱۰٬۰۰۰ درخواست، مبدأ داخل ایران (خارج از ایران: ۱۵۸ تومان)

ترافیک خروجی

رایگان

ترافیک ورودی: ۱۰ گیگابایت رایگان، سپس ۱٬۶۵۰ تومان هر گیگابایت

تنظیمات حفاظت را از بخش CDN پنل یا با API ایران‌کلاد برای هر دامنه تغییر دهید.

فهرست IP مخرب با روشن‌شدن CDN خودکار فعال است؛ فایروال وب، سقف نرخ و فهرست‌های IP را در تنظیمات CDN هر دامنه تنظیم کنید.

ثبت‌نام و فعال‌سازی

حساب دارید؟ وارد شوید تا مستقیم به تنظیمات CDN بروید.

۵ گام تا شروع

مراحل فعال‌سازی

  1. گام ۱: افزودن دامنه به DNS

    دامنه را در بخش DNS پنل اضافه کنید و نیم‌سرورها را به ایران‌کلاد تغییر دهید.

  2. گام ۲: روشن‌کردن CDN

    برای رکورد A‏، AAAA یا CNAME سایت، پروکسی لبه را روشن کنید؛ فهرست IP مخرب از همین لحظه فعال است.

  3. گام ۳: بررسی فایروال وب

    در تنظیمات CDN دامنه، گزینهٔ حفاظت در برابر حمله و ربات را روشن نگه دارید (پیش‌فرض روشن است).

  4. گام ۴: تنظیم محدودیت نرخ

    سقف درخواست هر IP در ثانیه و دقیقه را متناسب با سایت خود تنظیم کنید.

  5. گام ۵: پایش

    در تحلیل ترافیک CDN تعداد درخواست‌های مسدودشده را دنبال کنید و در صورت نیاز IP یا کشور را مسدود کنید.

راهنمای کامل

راهنمای کامل محافظ ربات و حمله در CDN ایران‌کلاد

سایتی که روی اینترنت باشد، چند دقیقه بعد از راه‌اندازی هدف اسکنرها، ربات‌های حدس رمز و اسکریپت‌های خودکار قرار می‌گیرد. محافظ ربات و حملهٔ ایران‌کلاد این ترافیک را روی لبهٔ داخل ایران، پیش از رسیدن به سرور شما، متوقف می‌کند. این راهنما توضیح می‌دهد هر لایهٔ حفاظت دقیقاً چه کاری می‌کند، چطور تنظیمش کنید، با یک سرور بدون لبه چه فرقی دارد و چه چیزهایی را پوشش نمی‌دهد. این قابلیت روی Edge Proxy ساخته شده است.

۱۱ بخش حدود ۶ دقیقه مطالعه

فهرست مطالب

محافظ ربات و حمله چیست و چه کسی به آن نیاز دارد؟

بخش قابل‌توجهی از درخواست‌هایی که به یک سایت معمولی می‌رسد از انسان نیست: اسکنرهایی که دنبال فایل پیکربندی جاافتاده یا افزونهٔ آسیب‌پذیر می‌گردند، ربات‌هایی که رمزهای رایج را روی صفحهٔ ورود امتحان می‌کنند و اسکریپت‌هایی که فرم‌ها را با اسپم پر می‌کنند. این ترافیک هم پردازنده و پهنای باند سرور را مصرف می‌کند و هم خطر نفوذ دارد.

محافظ ربات و حمله برای فروشگاه‌های اینترنتی، سایت‌های وردپرسی، پنل‌های مدیریت، API‌های عمومی و هر سرویسی مناسب است که نمی‌خواهد خودش فایروال وب نصب و نگه‌داری کند. چون حفاظت روی لبه انجام می‌شود، درخواست مسدودشده هیچ منبعی از سرور شما مصرف نمی‌کند.

هیچ نرم‌افزاری روی سرور نصب نمی‌شود و کد سایت تغییر نمی‌کند. کافی است دامنه پشت لبه قرار بگیرد؛ اگر وب‌سایت وردپرسی دارید، وردپرس آماده ایران‌کلاد را هم می‌توانید مستقیم پشت همین لبه ببرید.

لایه‌های حفاظت دقیقاً چه کار می‌کنند؟

هر درخواست پیش از رسیدن به سرور شما از این لایه‌ها عبور می‌کند. جدول زیر نشان می‌دهد هر لایه چه چیزی را می‌گیرد و آیا قابل تنظیم است:

لایهچه چیزی را متوقف می‌کندوضعیت پیش‌فرض
فهرست IP مخربIP‌هایی که در گزارش‌های جمعی یا تشخیص لبه به حمله شناخته شده‌اندهمیشه روشن
فایروال وب (OWASP)SQL Injection‏، XSS، پیمایش مسیر، اجرای فرمان، اسکنرهاروشن، قابل خاموش‌کردن
محدودیت نرخ هر IPدرخواست‌های پرتکرار، حدس رمز، اسکرپ سریع۱۰۰ در ثانیه و ۱۰۰۰ در دقیقه
فهرست مسدودی IPآدرس‌ها و رنج‌هایی که خودتان وارد می‌کنیدخالی
فهرست مجاز IPهمهٔ IP‌ها جز آدرس‌هایی که اجازه داده‌ایدخالی (همه مجاز)
محدودیت کشوریدرخواست‌های کشورهای انتخاب‌شدهخاموش

محدودیت کشوری در صفحهٔ محدودیت جغرافیایی جداگانه توضیح داده شده است.

بازگشت به فهرست مطالب

فهرست IP مخرب چطور به‌روز می‌ماند؟

لبه به یک سرویس شهرت IP متصل است که از دو منبع تغذیه می‌شود: گزارش‌های جمعی یک شبکهٔ اشتراک تهدید دربارهٔ IP‌هایی که اسکن یا حمله انجام داده‌اند، و تشخیص‌هایی که خود لبه از رفتار مشکوک روی دامنه‌های ایران‌کلاد ثبت می‌کند. فهرست هر چند ثانیه یک بار تازه می‌شود.

این لایه برای هر دامنه‌ای که پشت CDN باشد خودکار فعال است و خاموش‌کردن آن لازم نیست، چون تقریباً هیچ‌وقت کاربر واقعی را هدف نمی‌گیرد. نتیجهٔ آن در عدد «درخواست‌های مسدودشده» تحلیل ترافیک CDN دیده می‌شود.

بازگشت به فهرست مطالب

فایروال وب با قوانین OWASP

فایروال وب برنامه (WAF) محتوای هر درخواست، شامل آدرس، پارامترها، هدرها و بدنه، را با مجموعه‌قوانین OWASP نسخهٔ ۴ مقایسه می‌کند. هر الگوی مشکوک امتیاز خطر می‌گیرد و درخواستی که مجموع امتیازش به آستانهٔ ۵ برسد رد می‌شود. این روش امتیازی، خطای مسدودی درخواست‌های سالم را نسبت به قوانین تک‌مرحله‌ای کمتر می‌کند.

برای سایت‌هایی که از CMS‌های رایج یا افزونه‌های قدیمی استفاده می‌کنند، فایروال وب یک لایهٔ محافظ موقت هم هست: اگر آسیب‌پذیری تازه‌ای کشف شود، بسیاری از تلاش‌های بهره‌برداری عمومی پیش از اینکه فرصت به‌روزرسانی پیدا کنید در لبه متوقف می‌شوند.

وقتی فایروال وب روشن است، بدنهٔ درخواست تا حدود ۱۲٫۵ مگابایت پذیرفته می‌شود. اگر مسیر آپلود فایل بزرگ دارید یا ویرایشگری که کد HTML خام می‌فرستد، آن را روی زیردامنهٔ جدا با فایروال خاموش قرار دهید.

بازگشت به فهرست مطالب

محدودیت نرخ: سد ربات‌های پرتکرار

محدودیت نرخ برای هر IP دو سقف دارد: در ثانیه و در دقیقه. پیش‌فرض ۱۰۰ و ۱۰۰۰ است که برای بیشتر سایت‌ها هیچ کاربر واقعی را محدود نمی‌کند ولی جلوی اسکریپت‌هایی که صدها درخواست در ثانیه می‌فرستند را می‌گیرد. درخواست اضافه با کد ۴۲۹ پاسخ داده می‌شود.

برای سایتی که صفحهٔ ورود آن هدف حدس رمز است، سقف دقیقه‌ای پایین‌تر مؤثر است؛ اما چون سقف برای کل دامنه اعمال می‌شود، آن را طوری انتخاب کنید که بارگذاری عادی صفحه‌ها با تصویر و فایل‌های زیاد به سقف نرسد. یک راه حل تمیز، قرار دادن پنل مدیریت روی زیردامنهٔ جدا با سقف سخت‌گیرانه‌تر است.

بازگشت به فهرست مطالب

سناریوهای رایج و تنظیم پیشنهادی

چند وضعیت که مشتریان زیاد با آن روبه‌رو می‌شوند و ترکیب تنظیماتی که برایش مناسب است:

  • سایت وردپرسی زیر حملهٔ حدس رمز: فایروال وب روشن، سقف دقیقه‌ای پایین‌تر و در صورت امکان فهرست مجاز IP برای مسیر مدیریت روی زیردامنهٔ جدا
  • فروشگاه با اسکرپ قیمت: محدودیت نرخ سخت‌گیرانه‌تر و مسدودی دستی رنج‌های تکرارشونده
  • پنل داخلی سازمان: فهرست مجاز فقط با IP‌های دفتر و VPN
  • سرویس فقط برای کاربران ایران: محدودیت کشوری در حالت «فقط این کشورها مجاز» با کد IR
  • API عمومی: فایروال وب روشن و سقف نرخ متناسب با بیشترین رفتار سالم کلاینت‌ها
  • حملهٔ یک‌بارهٔ مشخص: IP یا رنج مهاجم را در فهرست مسدودی وارد کنید؛ اعمال آن چند ثانیه طول می‌کشد

بازگشت به فهرست مطالب

حفاظت در لبه یا فایروال روی سرور خودتان؟

هر دو روش جایگاه خود را دارند؛ تفاوت اصلی در جایی است که هزینهٔ پردازش ترافیک مخرب پرداخت می‌شود:

موضوعمحافظ ربات روی لبهفایروال روی سرور
مصرف منابع سرور برای حملهصفر، در لبه رد می‌شودسرور باید هر درخواست را پردازش کند
نصب و به‌روزرسانی قوانینبر عهدهٔ ایران‌کلادبر عهدهٔ شما
پنهان ماندن IP سرور اصلیبله، DNS به لبه اشاره می‌کندخیر
قوانین دلخواه و پیچیدهمحدود به تنظیمات پنلآزادی کامل
هزینهبدون هزینهٔ جداوقت تیم و منابع سرور

برای فیلتر پورت‌ها و دسترسی‌های غیر وب روی خود سرور، فایروال شبکه ایران‌کلاد را هم فعال کنید.

بازگشت به فهرست مطالب

هزینهٔ محافظ ربات و حمله

فهرست IP مخرب، فایروال وب، محدودیت نرخ و فهرست‌های IP هیچ هزینهٔ ماهانهٔ جداگانه‌ای ندارند. شما فقط مصرف CDN را می‌پردازید که خودش برای بیشتر سایت‌ها صفر است: ترافیک خروجی رایگان است و هر ماه ۱ میلیارد درخواست و ۱۰ گیگابایت ترافیک ورودی رایگان در اختیار دارید.

درخواست‌هایی که مسدود می‌شوند هم در شمار درخواست‌های CDN حساب می‌شوند، اما چون پاسخ آن‌ها بسیار کوچک است و سهمیهٔ رایگان بزرگ است، در عمل هزینه‌ای ایجاد نمی‌کنند. بالاتر از سهمیه، نرخ ۱۰۶ تومان برای هر ۱۰ هزار درخواست با مبدأ داخل ایران و ۱۵۸ تومان با مبدأ خارج از ایران است. جدول کامل در قیمت‌گذاری آمده است.

بازگشت به فهرست مطالب

فعال‌سازی در چند دقیقه

دامنه را در DNS ایران‌کلاد اضافه کنید و برای رکورد سایت پروکسی لبه را روشن کنید. از همین لحظه IP واقعی سرور شما در DNS پنهان می‌شود، گواهی SSL خودکار صادر می‌شود و فهرست IP مخرب فعال است. در تنظیمات CDN همان دامنه، فایروال وب به‌طور پیش‌فرض روشن است.

سپس سقف محدودیت نرخ را بررسی کنید و اگر بخش‌هایی مثل پنل مدیریت فقط برای افراد مشخص است، فهرست مجاز IP را روی زیردامنهٔ آن تنظیم کنید. پس از یک روز، تعداد درخواست‌های مسدودشده را در تحلیل ترافیک ببینید؛ معمولاً همین عدد نشان می‌دهد سایت شما چقدر هدف ترافیک مخرب بوده است.

بازگشت به فهرست مطالب

از سرور اصلی هم محافظت کنید

حفاظت لبه فقط وقتی کامل است که مهاجم نتواند مستقیم به IP سرور شما برسد. پس از روشن‌کردن CDN، اگر IP قدیمی سرور در جای دیگری منتشر شده بود، دسترسی پورت‌های ۸۰ و ۴۴۳ سرور را فقط برای ترافیک لبه باز بگذارید یا IP سرور را تغییر دهید.

اپلیکیشن را طوری تنظیم کنید که IP واقعی بازدیدکننده را از هدر X-Real-IP بخواند؛ در غیر این صورت قفل حساب یا لاگ‌های امنیتی داخل اپ، همهٔ درخواست‌ها را از یک IP می‌بینند. برای بررسی اینکه پورت‌های سرورتان از بیرون باز است یا نه، از ابزار بررسی پورت استفاده کنید.

بازگشت به فهرست مطالب

محدودیت‌های فعلی که باید بدانید

صفحهٔ چالش، CAPTCHA یا آزمون جاوااسکریپت برای جدا کردن انسان از ربات ارائه نمی‌شود و تحلیل رفتاری یا اثرانگشت مرورگر هم انجام نمی‌گیرد. پس رباتی که آهسته و از IP‌های متعدد و تمیز کار کند، با این لایه‌ها کاملاً متوقف نمی‌شود.

فهرست سفید ویژه برای ربات‌های تأییدشدهٔ موتورهای جست‌وجو، سطح‌بندی شدت حفاظت و قانون جدا برای هر مسیر وجود ندارد؛ تنظیمات برای کل یک دامنه یا زیردامنه اعمال می‌شود. حفاظت در برابر حمله‌های حجمی لایهٔ شبکه هم موضوع صفحهٔ حفاظت DDoS است.

بازگشت به فهرست مطالب بازگشت به ابتدای راهنما

پرسش و پاسخ،  ۱۲ پرسش

سؤالات متداول

پاسخ پرسش خود را پیدا نکردید؟ با پشتیبانی در تماس باشید.

ربات و حملهٔ مخرب چطور تشخیص داده می‌شود؟
سه لایه با هم کار می‌کنند: فهرست IP‌هایی که در گزارش‌های جمعی و تشخیص‌های خود لبه به رفتار مخرب شناخته شده‌اند، فایروال وب که محتوای درخواست را با قوانین OWASP برای الگوهای حمله بررسی می‌کند، و محدودیت نرخ که IP‌های پرتکرار را متوقف می‌کند. صفحهٔ چالش یا CAPTCHA در این سرویس وجود ندارد.
ربات‌های موتور جست‌وجو مثل گوگل مسدود می‌شوند؟
ربات‌های موتور جست‌وجو معمولاً در فهرست IP مخرب نیستند و درخواست‌هایشان الگوی حمله ندارد، پس عادی عبور می‌کنند. فهرست سفید ویژه‌ای برای ربات‌های تأییدشده وجود ندارد؛ اگر سقف محدودیت نرخ را خیلی پایین بگذارید، ممکن است خزش آن‌ها کند شود.
جلوی حدس رمز و ورود خودکار را می‌گیرد؟
محدودیت نرخ هر IP تعداد تلاش‌ها در ثانیه و دقیقه را محدود می‌کند و IP‌های شناخته‌شده برای حمله‌های brute-force در فهرست مخرب مسدود می‌شوند. قانون جداگانه برای مسیر ورود وجود ندارد؛ برای حفاظت کامل، قفل حساب پس از چند تلاش ناموفق و ورود دومرحله‌ای را در خود اپلیکیشن هم فعال کنید.
برای جلوگیری از اسکرپ قیمت و محتوا مناسب است؟
تا حدی. اسکرپرهایی که با سرعت زیاد از یک IP درخواست می‌فرستند با محدودیت نرخ متوقف می‌شوند و IP‌های شناخته‌شده مسدودند. اسکرپری که آهسته و از IP‌های زیاد کار کند با این ابزارها کاملاً قابل تشخیص نیست، چون تحلیل رفتاری یا چالش مرورگر ارائه نمی‌شود.
گزارش و کنترل دارم؟
بله. تعداد درخواست‌هایی که فایروال وب و فهرست IP مخرب مسدود کرده‌اند برای هر دامنه در تحلیل ترافیک CDN دیده می‌شود. فایروال وب، سقف نرخ و فهرست‌های IP مجاز و مسدود را برای هر دامنه خودتان روشن، خاموش یا تنظیم می‌کنید.
هزینهٔ محافظ ربات چقدر است؟
هزینهٔ جداگانه ندارد. فهرست IP مخرب، فایروال وب و محدودیت نرخ بخشی از CDN هستند و درخواست‌های مسدودشده هم در همان سهمیهٔ رایگان ماهانهٔ ۱ میلیارد درخواست شمرده می‌شوند.
فایروال وب در برابر چه حمله‌هایی محافظت می‌کند؟
قوانین OWASP نسخهٔ ۴ درخواست را برای SQL Injection‏، XSS، پیمایش مسیر (Path Traversal)، اجرای فرمان از راه دور، ابزارهای اسکن آسیب‌پذیری و درخواست‌های ناهنجار از نظر پروتکل بررسی می‌کنند. درخواستی که امتیاز خطرش از آستانه بگذرد، در لبه رد می‌شود.
اگر فایروال وب یک درخواست سالم را مسدود کند چه کنم؟
این حالت معمولاً در فرم‌هایی پیش می‌آید که کد HTML یا SQL را به‌عنوان متن دریافت می‌کنند، مثل ویرایشگر محتوا. می‌توانید آن بخش را روی زیردامنهٔ جدا قرار دهید و فایروال وب را فقط برای همان زیردامنه خاموش کنید؛ فهرست IP مخرب و محدودیت نرخ همچنان فعال می‌مانند.
آیا فایروال وب روی آپلود فایل اثر دارد؟
بله. وقتی فایروال وب روشن است، بدنهٔ درخواست بازرسی می‌شود و حجم آن حداکثر حدود ۱۲٫۵ مگابایت است. اگر کاربران فایل بزرگ‌تری آپلود می‌کنند، مسیر آپلود را روی زیردامنه‌ای بدون فایروال وب قرار دهید.
آیا این سرویس جلوی حملهٔ DDoS حجمی را می‌گیرد؟
این سرویس برای حمله‌ها و ربات‌های لایهٔ وب (HTTP) طراحی شده است. محدودیت نرخ و فهرست IP مخرب بخش زیادی از حمله‌های درخواست‌محور را جذب می‌کنند، اما حفاظت در برابر حمله‌های حجمی لایهٔ شبکه موضوع جداگانه‌ای است که در صفحهٔ حفاظت DDoS توضیح داده شده است.
می‌توانم یک IP یا رنج خاص را دستی مسدود کنم؟
بله. در تنظیمات CDN هر دامنه، آدرس‌های IPv4 یا IPv6 یا رنج CIDR را در فهرست مسدودی وارد کنید؛ این درخواست‌ها با کد ۴۰۳ در لبه رد می‌شوند. برعکس، با فهرست مجاز می‌توانید بخشی مثل پنل مدیریت را فقط برای IP‌های دفتر خود باز بگذارید.
آیا IP واقعی بازدیدکننده به سرور من می‌رسد؟
بله. لبه IP واقعی بازدیدکننده را در هدر X-Real-IP برای سرور شما می‌فرستد. وب‌سرور یا اپلیکیشن را طوری تنظیم کنید که این هدر را بخواند تا لاگ‌ها، محدودیت‌های داخلی و قفل حساب بر اساس IP واقعی کار کنند، نه IP لبه.

پاسخ پرسش خود را پیدا نکردید؟ با پشتیبانی در تماس باشید.

سایت خود را پشت محافظ ربات و فایروال وب ببرید

حفاظت بخشی از CDN است و اشتراک جداگانه ندارد؛ تنظیمات آن را از بخش CDN پنل یا با API ایران‌کلاد برای هر دامنه تغییر دهید.