Cloudfront TTL: установка максимального TTL на 0, чтобы получить преимущества защиты DDOS - PullRequest
Новая
       62

Cloudfront TTL: установка максимального TTL на 0, чтобы получить преимущества защиты DDOS

0 голосов
/ 03 мая 2018

Я читал документы Cloudfront и хочу убедиться, что мой план обоснован. У меня есть бэкэнд API, структурированный как HTTP-сервер EC2 с часто обновляемым контентом (несколько изменений в секунду). Это мое понимание:

  • Я не должен предоставлять этот HTTP-сервер напрямую клиентам, потому что это делает сервер EC2 уязвимым для DDOS-атак
  • Создание слоя косвенного обращения с периферийными местоположениями CloudFront помогает защитить от DDOS, потому что AWS может развернуть брандмауэр за пределами сети, а не прямо вокруг моего экземпляра EC2
  • Устанавливая Maximum TTL = 0, я гарантирую, что Cloudfront - это просто слой косвенности и не пытается выполнять какое-либо фактическое кэширование, чтобы пользователи всегда получали актуальную информацию.

Верны ли эти предположения / мой план звучит разумно? Из чтения онлайн видно, что это нестандартное использование Cloudfront.

1 Ответ

0 голосов
/ 04 мая 2018

Это совершенно разумный план.

Это не основной вариант использования, для которого AWS продает CloudFront (как CDN), но вряд ли можно утверждать, что эта практика не входит в рамки дизайна продукта.

Amazon CloudFront принимает периоды истечения всего 0 секунд (в этом случае Amazon CloudFront будет повторно проверять каждый запрос средства просмотра с источником). Amazon CloudFront также соблюдает специальные директивы управления кэшем, такие как private, no-store и т. Д .; они часто полезны при доставке динамического контента, который не может быть кэширован на границе.

https://aws.amazon.com/cloudfront/dynamic-content/

Конечно, при достаточном трафике есть некоторый уровень, которого все еще будет достаточно для перегрузки вашего сервера, но, да, это надежная стратегия.

Под защитой конечных точек API Gateway Edge-Optimized и функции S3 Transfer Acceleration используется CloudFront с полностью отключенным кэшированием. В обоих случаях вы не видите в консоли дистрибутивы CloudFront, которые соответствуют этим сервисам, но именно так они и работают.

...