Wie kann man den Ursprung mit dem Cloudflare Argo Tunnel schützen?

Lassen Sie nicht zu, dass jemand den Cloudflare-Schutz umgeht und Ihren Ursprungsserver missbraucht!

Cloudflare ist eine der beliebtesten CDN- und Sicherheitsplattformen, die Millionen von Websites von kleinen bis zu Unternehmen unterstützt. Wenn Sie Cloudflare für Ihre Website implementieren, wird der gesamte Datenverkehr gesichert und beschleunigt. Dies gilt jedoch, wenn auf eine Site über einen Domainnamen zugegriffen wird. Wie wäre es, wenn jemand die tatsächliche Server-IP (Origin) herausfindet und sie missbraucht?

Das Finden der Server-IP für die Site hinter Cloudflare erfordert nicht viel. Sie können herausfinden, wie, als hier erklärt und hier . Sie sehen, es reicht nicht aus, nur CDN und Cloud-basiertes WAF zu implementieren. Sie sollten auch in Betracht ziehen, den Ursprung zu schützen.

Also, was ist die Lösung?

Argo-Tunnel - Eine intelligente Lösung von Cloudflare zum Schutz des Ursprungsservers vor direkten Angriffen.

Es ist ein Daemon, den Sie auf Ihrem Server installieren müssen, der einen verschlüsselten Tunnel zwischen Server und Cloudflare-Netzwerk erstellt. Es gibt keine komplizierte ACL / IP-Tabellenkonfiguration.

Die gute Nachricht ist, dass Sie nicht unter PRO oder höher stehen müssen. Sie können loslegen, auch wenn Sie sich im Rahmen des KOSTENLOSEN Plans befinden. Sie zahlen lediglich ein Argo-Abonnement, das ab 5 USD pro Monat beginnt.

Beginnen wir mit der Installation und Einrichtung.

Installing Cloudflare daemon

Melden Sie sich mit Root- oder Sudo-Berechtigungen beim Ursprungsserver an
Laden Sie das neueste stabile Paket herunter. Ich bin auf Ubuntu, also .deb-Datei für andere Betriebssysteme, überprüfen Sie die offizielle Download-Seite.

wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-amd64.deb

Installieren Sie das heruntergeladene Paket

dpkg -i cloudflared-stable-linux-amd64.deb

Lassen Sie uns die Version überprüfen, um sicherzustellen, dass sie installiert ist

root@gf-prod:~# cloudflared --version
cloudflared version 2020.2.0 (built 2020-02-07-1653 UTC)
root@gf-prod:~#

Groß!

Authenticate Daemon

Als Nächstes müssen Sie sich mit dem Daemon bei Cloudflare authentifizieren. Lauf den folgenden Befehl

cloudflared tunnel login

Sie werden aufgefordert, die URL anzugeben, über die Sie sich bei Cloudflare anmelden und die Site autorisieren können.

root@gf-prod:~# cloudflared tunnel login
Please open the following URL and log in with your Cloudflare account:

https://dash.cloudflare.com/argotunnel?callback=https%3A%2F%2Flogin.argotunnel.com%XXXXX-XXX-XXXXXX%3B

Leave cloudflared running to download the cert automatically.
INFO[0030] Waiting for login...                         
INFO[0060] Waiting for login...                         
INFO[0090] Waiting for login...                         
INFO[0120] Waiting for login...                         
You have successfully logged in.
If you wish to copy your credentials to a server, they have been saved to:
/root/.cloudflared/cert.pem
root@gf-prod:~#

Nach der Autorisierung sollten Sie so etwas sehen.

Starting the tunnel

Beginnen wir mit dem Tunnelbau unten.

cloudflared tunnel --hostname [HOSTNAME] http://localhost:80

Ex:

root@gf-prod:~# cloudflared tunnel --hostname tunnel.geekflare.com http://0.0.0.0:80
WARN[0000] Cannot determine default configuration path. No file [config.yml config.yaml] in [~/.cloudflared ~/.cloudflare-warp ~/cloudflare-warp /usr/local/etc/cloudflared /etc/cloudflared] 
INFO[0000] Version 2020.2.0                             
INFO[0000] GOOS: linux, GOVersion: go1.12.7, GoArch: amd64 
INFO[0000] Flags                                         hostname=tunnel.geekflare.com proxy-dns-upstream="https://1.1.1.1/dns-query, https://1.0.0.1/dns-query"
INFO[0000] cloudflared will not automatically update when run from the shell. To enable auto-updates, run cloudflared as a service: https://developers.cloudflare.com/argo-tunnel/reference/service/ 
INFO[0000] Starting metrics server                       addr="127.0.0.1:35597"
INFO[0000] Proxying tunnel requests to http://0.0.0.0:80 
INFO[0000] Connected to LAX                              connectionID=0
INFO[0001] Each HA connection's tunnel IDs: map[0:xxx]  connectionID=0
INFO[0001] Route propagating, it may take up to 1 minute for your new route to become functional  connectionID=0
INFO[0003] Connected to LAX

Herzliche Glückwünsche! Ursprung ist jetzt gesperrt. Versuchen Sie, über die Ursprungs-IP auf Ihre Website zuzugreifen, und Sie sollten die Meldung "Verbindung abgelehnt" sehen.