Einen Proxy mit klarem Vertrauensmodell davor setzen

Ein Web-Reverse-Proxy ändert den Pfad zwischen Besuchern und deinem HTTP-Origin. Er leitet nicht automatisch SSH, Mail oder jedes beliebige Protokoll weiter. Identifiziere DNS-only-Einträge und die Auswirkungen auf Mail, Validierung und Administration, bevor du den Web-Proxy aktivierst.

Erstellen Sie die Zone beim Anbieter, prüfen Sie importierte Einträge und ändern Sie die Nameserver des Registrars auf die zugewiesenen Werte. Testen Sie die Delegation und leiten Sie dann die vorgesehenen A/AAAA- oder CNAME-Web-Einträge über einen Proxy. Halten Sie MX-Ziele und nicht unterstützte Dienstpfade korrekt konfiguriert.

Ein Origin-Zertifikat installieren, das für den angeforderten Namen gültig und vom Proxy unterstützt wird, und dann Full (strict) verwenden. Bestätigen Sie, dass der Origin sicher antwortet, bevor Sie ihn einschränken. Ein Vorhängeschloss am Edge allein beweist nicht, dass die Edge-zu-Origin-Verbindung authentifiziert ist.

Verwenden Sie die aktuell veröffentlichten IPv4- und IPv6-Bereiche des Anbieters für die Web-Allow-List, mit einem Wartungsplan für Änderungen. Behalten Sie einen separaten verifizierten administrativen Pfad bei. Überprüfen Sie jeden Ursprungs-Hostnamen und Listener; ein nur auf DNS basierender Dienst auf demselben IP kann das Ziel offenlegen.

Prüfen Sie HTTPS-Weiterleitungen, Zertifikatsnamen, gemischte Inhalte, Cache-Regeln und die Behandlung protokollierter Client-IP. Vertrauen Sie weitergeleiteten Besucher-Headern nur von den autorisierten Proxy-Quellen. Anwendungs-WAF-Regeln und Bot-Kontrollen sind eine separate Ebene von der Netzwerk-DDoS-Abschwächung.