Coloque um proxy na frente com um modelo de confiança claro

Um proxy reverso web altera o caminho entre os visitantes e sua origem HTTP. Ele não faz proxy automaticamente de SSH, e-mail ou qualquer protocolo arbitrário. Identifique registros somente DNS e o impacto em e-mail, validação e administração antes de habilitar o proxy web.

Crie a zona com o provedor, revise os registros importados e altere os servidores de nomes do registrador para os valores atribuídos. Teste a delegação e depois faça proxy dos registros web A/AAAA ou CNAME pretendidos. Mantenha os destinos MX e os caminhos de serviço não suportados configurados corretamente.

Instale um certificado de origem válido para o nome solicitado e compatível com o proxy, depois use Full (strict). Confirme que a origem responde com segurança antes de restringi-la. Um cadeado na borda sozinho não prova que a conexão borda-origem está autenticada.

Use os intervalos atuais publicados de IPv4 e IPv6 do provedor para a lista de permissões da web, com um plano de manutenção para mudanças. Mantenha um caminho administrativo verificado separado. Revise cada nome de host de origem e listener; um serviço somente DNS no mesmo IP pode revelar o destino.

Verifique redirecionamentos HTTPS, nomes de certificados, conteúdo misto, regras de cache e tratamento registrado de IP do cliente. Confie em cabeçalhos de visitante encaminhados apenas das fontes de proxy autorizadas. Regras de WAF da aplicação e controles de bots são uma camada separada da mitigação de DDoS de rede.