Поставьте прокси впереди с ясной моделью доверия

Веб-обратный прокси меняет путь между посетителями и вашим источником HTTP. Он не проксирует автоматически SSH, почту или любой произвольный протокол. Определите записи только для DNS и влияние на почту, валидацию и администрирование, прежде чем включать веб-прокси.

Создайте зону у провайдера, проверьте импортированные записи и измените серверы имён регистратора на назначенные значения. Протестируйте делегирование, затем проксируйте предполагаемые веб-записи A/AAAA или CNAME. Оставьте цели MX и неподдерживаемые служебные пути настроенными правильно.

Установите сертификат origin, действительный для запрошенного имени и поддерживаемый прокси, затем используйте Full (strict). Убедитесь, что origin отвечает безопасно, прежде чем ограничивать его. Один замок на edge не доказывает, что соединение edge-to-origin аутентифицировано.

Используйте текущие опубликованные диапазоны IPv4 и IPv6 провайдера для веб-списка разрешённых адресов, с планом обслуживания на случай изменений. Сохраняйте отдельный проверенный административный путь. Проверяйте каждое исходное имя хоста и слушателя; служба только с DNS на том же IP может раскрыть назначение.

Проверьте перенаправления HTTPS, имена сертификатов, смешанный контент, правила кэширования и обработку логируемых клиентских IP. Доверяйте пересылаемым заголовкам посетителей только от авторизованных источников прокси. Правила WAF приложения и средства контроля ботов — это отдельный уровень от сетевой митигации DDoS.