Placer un proxy devant avec un modèle de confiance clair

Un proxy inverse web modifie le chemin entre les visiteurs et votre origine HTTP. Il ne proxyfie pas automatiquement SSH, le courrier ou tout protocole arbitraire. Identifiez les enregistrements DNS uniquement et l'impact sur le courrier, la validation et l'administration avant d'activer le proxy web.

Créez la zone auprès du fournisseur, examinez les enregistrements importés et changez les serveurs de noms du registraire vers les valeurs attribuées. Testez la délégation, puis proxifiez les enregistrements web A/AAAA ou CNAME prévus. Gardez les cibles MX et les chemins de service non pris en charge configurés correctement.

Installez un certificat d'origine valide pour le nom demandé et pris en charge par le proxy, puis utilisez Full (strict). Confirmez que l'origine répond de manière sécurisée avant de la restreindre. Un cadenas en périphérie seul ne prouve pas que la connexion entre la périphérie et l'origine est authentifiée.

Utilisez les plages actuelles publiées de IPv4 et IPv6 du fournisseur pour la liste d'autorisation web, avec un plan de maintenance pour les changements. Gardez un chemin administratif vérifié distinct. Examinez chaque nom d'hôte d'origine et écouteur ; un service uniquement DNS sur la même IP peut révéler la destination.

Vérifier les redirections HTTPS, les noms de certificats, le contenu mixte, les règles de cache et la gestion des IP client journalisées. Ne faire confiance aux en-têtes de visiteur transmis qu'à partir des sources proxy autorisées. Les règles WAF applicatives et les contrôles anti-bots constituent une couche distincte de l'atténuation réseau DDoS.