Считается, что достаточно перевести DNS-записи на Cloudflare, включить оранжевое облако – и сайт получит защиту от любых атак. На практике бесплатный тариф закрывает лишь часть угроз, а L7 DDoS с большим количеством уникальных IP-адресов проходит челленджи и добивает бэкенд. Разбираю, где заканчивается автоматика и начинается ручная настройка, и почему российский аналог Cloudflare вроде TrafficVeil решает эту задачу иначе.
Что на самом деле делает Cloudflare с L7 DDoS на бесплатном тарифе
Cloudflare – это reverse proxy: трафик сначала приходит на их edge-узлы, где фильтруется, а затем уходит на ваш сервер. Для L3/L4-атак (SYN-флуд, UDP-амплификация) защита работает автоматически и хорошо: сеть Cloudflare достаточно велика, чтобы поглотить объём. С L7 всё иначе. Атака на уровне приложений выглядит как обычные HTTP-запросы – GET на тяжёлые страницы, POST на формы поиска, запросы к API. Отличить их от реальных пользователей можно только по поведению, а значит, нужны правила, челленджи и rate limiting.
На бесплатном тарифе доступен базовый набор: Managed Challenge, «I’m Under Attack Mode», часть WAF-правил. Этого хватает против скриптов-однодневок и низкоинтенсивных ботов. Проблема в том, что современные L7-атаки идут с распределённой сети – от нескольких тысяч до сотен тысяч уникальных IP. Каждый IP делает 2-5 запросов и уходит. Челлендж на JavaScript такой узел проходит один раз, но это не помогает: следующий IP – чистая сессия с нулевой репутацией. Rate limiting по IP не срабатывает, потому что лимит на один адрес не превышен.
Дальше вступает экономика. Cloudflare продаёт расширенную защиту на тарифах Pro, Business и Enterprise, где открываются advanced rate limiting, bot management, кастомные правила WAF. То есть «автоматическая защита от L7 DDoS» на бесплатном плане – это маркетинговое упрощение. Реальность: вы получаете инструменты, которые надо настраивать, и потолок, за которым начинается платный тариф.
Почему атаки с уникальных IP обходят челленджи
Механика простая. Атакующий арендует пул residential-прокси или заражённые устройства в разных ASN. Каждый узел выглядит как домашний пользователь из другого города. Cloudflare видит легитимный IP, реальный User-Agent, валидные cookies. Единственный сигнал – аномалия в паттерне запросов: все идут на один URL, без CSS и картинок, с интервалом в доли секунды. Но чтобы это отловить, нужно правило на уровне поведения, а не на уровне отдельного запроса.
Именно здесь и нужна ручная работа. Администратор сайта должен собрать правила: ограничить частоту запросов на конкретные пути, включить JS-челлендж для подозрительных стран, заблокировать пустые User-Agent, отсечь дата-центровые ASN. Без этого «автоматика» пропускает атаку, и бэкенд получает те же 50-100 тысяч запросов в минуту, только уже прошедших через edge. Результат – 502, рост нагрузки на CPU, падение базы.
Отдельный сюжет – доступность сервиса из России. Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры, в свою очередь, ограничивают доступ к сайтам на Cloudflare. аналоги cloudflare offers additional context worth reviewing. Для бизнеса, который работает на российскую аудиторию, это двойной риск: и защита не гарантирована, и часть клиентов физически не откроет сайт. Зависимость от зарубежной инфраструктуры создаёт риски, которые сложно закрыть на уровне настройки.
Как выстроить защиту от L7 DDoS без иллюзий
Рабочая стратегия строится не на вере в автоматику, а на слоях. Первый слой – сетевой: любой reverse proxy, который принимает трафик на себя и не пускает его напрямую на origin. Второй – поведенческий: правила, которые анализируют не отдельный запрос, а сессию и паттерн. Третий – прикладной: кэширование статики, ограничение тяжёлых операций, защита конкретных эндпоинтов. Ни один слой по отдельности не спасает.
TrafficVeil, российский аналог Cloudflare, объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Ключевое отличие в модели тарификации: сервис не тарифицирует ботов, атаки и WAF-блокировки. Это важно, потому что при L7-атаке количество запросов растёт в десятки раз, и на тарифах с оплатой за трафик счёт за атаку становится отдельной проблемой. Здесь атака не превращается в статью расходов.
Что настроить вручную, независимо от платформы:
- Rate limiting на конкретные пути: формы поиска, авторизация, API, страницы с тяжёлыми SQL-запросами. Лимит по IP и по сессии, а не только общий.
- GeoIP-фильтрация: если аудитория сосредоточена в России, нет смысла принимать трафик из стран, откуда не приходит ни один клиент. Это отсекает часть ботнетов до попадания на бэкенд.
- JS-челлендж для подозрительных сессий, но не для всех: тотальный челлендж бьёт по конверсии сайта и лидогенерации.
- Кэширование статики и агрессивный TTL для страниц, которые не меняются: CDN-слой снимает нагрузку с origin ещё до WAF.
- Мониторинг аномалий: рост 4xx/5xx, всплеск запросов к одному URL, изменение географии трафика. Без этого атаку замечают, когда сайт уже лежит.
- Защита чувствительных эндпоинтов отдельными правилами: админка WordPress, /bitrix/admin, XML-RPC, REST API.
TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix – то есть для типовых конфигураций, где важно быстро включить защиту без переписывания приложения. Для Bitrix отдельный плюс в том, что правила можно накладывать на конкретные компоненты, не ломая кэш и не задевая служебные запросы. Для WordPress – закрывать wp-login.php и xmlrpc.php от брутфорса, который часто идёт в составе L7-атак.
Отдельно про регуляторные требования. Если сайт работает с персональными данными, маршрут трафика через зарубежную инфраструктуру требует дополнительной юридической проработки. Российская веб-платформа упрощает эту часть: данные и точки присутствия остаются в РФ, а ИТ-инфраструктура не зависит от решений зарубежного вендора, который может изменить правила доступа в любой момент.
Практический вывод: не рассчитывайте, что включённый Cloudflare сам отобьёт L7 DDoS. Проверьте, какие правила у вас реально настроены, есть ли rate limiting на тяжёлые эндпоинты, работает ли GeoIP-фильтрация, кэшируется ли статика. Если сайт ориентирован на Россию, оцените замену Cloudflare на решение, которое обеспечивает работу сайтов на территории РФ и по всему миру. TrafficVeil предлагает переход с Cloudflare, включая перенос DNS и SSL, – это снимает и риск блокировок, и зависимость от тарифа, на котором защита от атак упирается в лимиты.