Дополнение Cloudflare для WP Cerber

English version: Cloudflare add-on for WP Cerber

Дополнение Cloudflare для WP Cerber синхронизирует выбранные решения WP Cerber по IP-адресам с правилами доступа Cloudflare к IP-адресам. При включении оно может создавать и удалять правила Cloudflare для блокировки WP Cerber и для записей в списках разрешенного и заблокированного доступа к IP-адресам. Поскольку Cloudflare применяет эти правила до того, как запрос достигнет вашего сервера WordPress, дополнение может уменьшить трафик, получаемый вашим сервером от адресов, которые WP Cerber уже решил заблокировать.

Дополнение работает с правилами доступа по IP-адресам Cloudflare , а не с пользовательскими правилами Cloudflare.

Важно: Дополнение создает правила доступа Cloudflare по IP-адресам на уровне пользователя. Каждое правило применяется ко всем зонам Cloudflare, принадлежащим пользователю Cloudflare, учетные данные которого вы настраиваете , а не только к веб-сайту WordPress, на котором установлено дополнение. Учитывайте это ограничение, если один и тот же пользователь Cloudflare владеет несколькими веб-сайтами.

Требования

Перед установкой дополнения убедитесь, что ваш веб-сайт соответствует следующим требованиям:

• WP Cerber 9.8.3 или более поздняя версия
• PHP 7.4 или более поздняя версия
• Бесплатный или платный аккаунт Cloudflare
• Имя хоста веб-сайта передается через прокси-сервер Cloudflare, а не только через DNS.
• В настройках механизма безопасности Load в WP Cerber установлен стандартный режим.
• Параметр WP Cerber " Мой сайт находится за обратным прокси-сервером" активируется, когда веб-сайт обслуживается через прокси-сервер Cloudflare.

Правила доступа по IP-адресам Cloudflare могут обрабатывать запросы до того, как они достигнут исходного сервера, только если Cloudflare фактически выступает в качестве прокси-сервера для HTTP- и HTTPS-трафика веб-сайта. Запись только DNS не отправляет веб-трафик через Cloudflare.

На стороне WordPress настройка обратного прокси-сервера так же важна. WP Cerber может принимать надежные решения по безопасности на основе IP-адреса только в том случае, если он правильно определяет исходный IP-адрес посетителя. Включайте параметр «Мой сайт находится за обратным прокси-сервером» только в том случае, если веб-сайт действительно находится за Cloudflare или другим доверенным обратным прокси-сервером.

Cloudflare и HTTPS

Когда ваш веб-сайт используется в качестве прокси через Cloudflare, Cloudflare располагается между посетителями и вашим исходным сервером и завершает TLS-соединения посетителей на своей границе, что означает, что трафик вашего веб-сайта обрабатывается инфраструктурой Cloudflare.

Соединение между Cloudflare и вашим исходным сервером по-прежнему может быть зашифровано. Cloudflare поддерживает зашифрованные соединения с исходным сервером и рекомендует использовать режим Full (strict) , если это возможно.

Если ваш веб-сайт имеет требования к конфиденциальности, обработке данных или протоколу TLS, перед включением дополнения ознакомьтесь с соответствующей конфигурацией Cloudflare.

Установите дополнение.

Дополнение Cloudflare — это стандартный плагин WordPress. Он распространяется через веб-сайт WP Cerber, а не через репозиторий плагинов wordpress.org.

1. Скачать дополнение: https://downloads.wpcerber.com/plugin/wp-cerber-cloudflare-addon.zip
2. Войдите в панель администратора WordPress.
3. Перейдите в раздел «Плагины» → «Добавить новый плагин» .
4. Нажмите «Загрузить плагин» .
5. Выберите загруженный ZIP-архив.
6. Нажмите «Установить сейчас» .
7. Нажмите «Активировать плагин» .

После активации откройте WP Cerber → Дополнения → Cloudflare . Все параметры синхронизации по умолчанию отключены.

Настройка учетных данных Cloudflare

В разделе учетных данных Cloudflare введите:

• адрес электронной почты вашей учетной записи Cloudflare
• Глобальный ключ API для этой учетной записи

Глобальный ключ API можно найти на панели управления Cloudflare в разделе «Мой профиль» → «Токены API» в подразделе «Ключи API» .

В версии 2.5 аутентификация осуществляется с помощью адреса электронной почты учетной записи и глобального ключа API. Токены API Cloudflare в этой версии дополнения не поддерживаются. Глобальный ключ API следует рассматривать как конфиденциальные учетные данные, поскольку он предоставляет более широкий доступ, чем узкоспециализированный токен API.

При сохранении настроек дополнения WP Cerber проверяет учетные данные, создавая и удаляя временное правило доступа по IP-адресу Cloudflare. Если Cloudflare отклоняет запрос, дополнение сообщает о сбое в административной панели WordPress.

Синхронизация блокировок WP Cerber

Без этого дополнения WP Cerber применяет свои блокировки к серверу WordPress. Включите синхронизацию заблокированных IP-адресов , чтобы поддерживаемые блокировки применялись и к Cloudflare.

Когда WP Cerber блокирует адрес, и блокировка соответствует условиям синхронизации, дополнение создает правило блокировки Cloudflare, благодаря чему дальнейшие запросы с этого адреса могут быть остановлены Cloudflare до того, как достигнут вашего сервера WordPress. Когда WP Cerber снимает блокировку, дополнение удаляет соответствующее правило.

Некоторые блокировки не синхронизированы.

По задумке разработчиков, дополнение не отображает каждое отключение WP Cerber по мере его возникновения. Правило Cloudflare не создается в следующих случаях:

• Запрос поступил от авторизованного пользователя.
• Блокировка активируется при определенных ошибочных запросах, таких как повторяющиеся запросы с ошибкой 404.
• При первом достижении лимита попыток входа в систему WP Cerber обрабатывает первую блокировку по-разному.
• Запрос идентифицируется как запрос от Googlebot с домена googlebot.com.
• Cloudflare не может представлять заблокированный адрес или сеть в качестве целевого адреса для правил доступа по IP-адресу.

Эти исключения применяются только к копии блокировки, хранящейся в Cloudflare. Сама блокировка остается активной в WP Cerber.

Блокировка подсетей

Версия 2.5 поддерживает блокировку подсетей. Если в WP Cerber включена опция «Блокировать подсеть — Всегда блокировать всю подсеть класса C IP-адресов злоумышленников» , дополнение создает правило для подсети, которую WP Cerber заблокировал, а не только для отдельного адреса, вызвавшего блокировку. В текущем режиме подсети WP Cerber это обычно приводит к созданию правила Cloudflare /24.

Правило создается только в том случае, если Cloudflare поддерживает такой размер сети. В противном случае блокировка остается активной в WP Cerber без соответствующего правила Cloudflare.

В более ранних версиях дополнения не выполнялась синхронизация блокировок подсетей, и для их работы требовалось отключить опцию «Блокировать подсети» . В версии 2.5 это ограничение снято.

Синхронизация списков доступа по IP-адресам

Включите синхронизацию списков доступа по IP-адресам , чтобы синхронизировать поддерживаемые изменения в списках разрешенного и заблокированного доступа по IP-адресам WP Cerber с правилами доступа по IP-адресам Cloudflare.

Синхронизация происходит только в одном направлении: WP Cerber → Cloudflare . Изменения, внесенные вами непосредственно в правила доступа по IP-адресам в панели управления Cloudflare, не отправляются обратно в WP Cerber.

Список заблокированных IP-адресов

Добавление поддерживаемой записи в список заблокированных IP-адресов WP Cerber становится правилом блокировки Cloudflare. Например, если вы добавите 192.168.1.0/24 в список, дополнение сможет создать соответствующее правило Cloudflare, которое блокирует запросы из этой сети до того, как они достигнут вашего сервера WordPress.

Список разрешенных IP-адресов для доступа

Добавление поддерживаемой записи в список разрешенных IP-адресов WP Cerber становится правилом Cloudflare Allow, поэтому используйте этот список с осторожностью. В документации Cloudflare указано, что правило доступа к IP-адресу с действием Allow может обходить другие проверки безопасности Cloudflare для этого адреса, включая пользовательские правила, правила ограничения скорости, правила, управляемые WAF, и некоторые другие функции безопасности.

Поэтому добавляйте адрес в список разрешенных IP-адресов только в том случае, если вы ему доверяете и понимаете действие правила Cloudflare Allow.

Поддерживаемые IP-адреса и сети

WP Cerber принимает больше форматов IP-адресов и сетей, чем правила доступа по IP-адресам Cloudflare.

Если запись действительна в WP Cerber, но Cloudflare не может её представить, дополнение не создаёт для неё правило Cloudflare. Запись остаётся в вашем списке IP-адресов доступа в неизменном виде, и ничего не переписывается и не удаляется, чтобы соответствовать требованиям Cloudflare.

Если Cloudflare поддерживает результирующую сеть, то обозначение WP Cerber с использованием символов подстановки автоматически преобразуется в обозначение CIDR:

• 192.168.1.* становится 192.168.1.0/24
• 192.168.*.* становится 192.168.0.0/16

Включение синхронизации списков доступа по IP-адресам на существующем веб-сайте

Включение синхронизации списков доступа по IP-адресу не запускает массовую синхронизацию записей, уже находящихся в списках доступа. Синхронизируются только добавления и удаления, внесенные после включения этой функции, по мере их совершения.

Чтобы сразу же создать копию существующей записи, удалите ее из списка IP-адресов доступа WP Cerber и добавьте снова. Будьте осторожны с записями, которые влияют на ваш собственный доступ к веб-сайту.

Одноразовая пересборка, которая выполняется при обновлении с версии дополнения ниже 2.5, работает иначе. Она считывает текущие списки доступа и может воссоздать правила Cloudflare для записей, которые уже существуют на момент обновления.

Другие дополнительные настройки

Подробные пояснения к правилам

Включите подробные примечания к правилам , чтобы добавить дополнительную информацию о WP Cerber в примечания к правилам Cloudflare. Для правил списков доступа по IP-адресам дополнение может добавлять комментарий к записи. Для правил блокировки оно может добавлять причину блокировки.

Подробные примечания могут упростить идентификацию и поиск правил Cloudflare, но содержащаяся в них информация затем сохраняется Cloudflare. Оставьте эту опцию отключенной, если ваши комментарии к спискам доступа или причины блокировки содержат что-либо, что вы не хотите там сохранять.

Удалите правила Cloudflare при деактивации.

Если включена опция «Удалять правила Cloudflare при деактивации» , деактивация дополнения Cloudflare удаляет правила Cloudflare, записанные этим дополнением. Аналогичная очистка выполняется и при деактивации самого WP Cerber.

Если удаление правила Cloudflare не удается, повторная попытка во время деактивации не выполняется. В этом случае дополнение перестает отслеживать это правило, поэтому удалите его вручную в Cloudflare. После деактивации для очистки набора правил проверьте правила доступа по IP-адресам в вашей учетной записи Cloudflare, чтобы убедиться, что ожидаемые правила удалены.

Повторная активация плагинов не приводит к автоматическому воссозданию правил, удаленных при деактивации. С этого момента синхронизация осуществляется на основе событий.

Включить ведение диагностического журнала

Включите диагностическое логирование перед расследованием проблемы синхронизации. Пока эта опция включена, дополнение записывает активность синхронизации и сбои Cloudflare в диагностический журнал WP Cerber, который можно открыть в WP Cerber → Инструменты → Диагностический журнал . Если эта опция отключена, дополнение ничего не записывает в этот журнал.

Поиск неисправностей

Учетные данные Cloudflare отклонены.

Проверьте это:

• Вы ввели адрес электронной почты своей учетной записи Cloudflare.
• Вы ввели глобальный ключ API , а не токен API.
• Учетные данные принадлежат пользователю Cloudflare, на зоны которого вы планируете воздействовать с помощью этого дополнения.

Затем снова сохраните настройки, чтобы повторно запустить проверку учетных данных.

Запись WP Cerber не отображается в Cloudflare.

Выполните следующие шаги:

1. Убедитесь, что соответствующая опция синхронизации включена.
2. Убедитесь, что Cloudflare поддерживает данный формат адреса или сети.
3. Если запись была добавлена до включения синхронизации, помните, что существующие записи не синхронизируются одновременно.
4. Найдите сообщение об ошибке Cloudflare в уведомлениях административной панели WordPress.
5. Включите диагностическое логирование и просмотрите WP Cerber → Инструменты → Диагностический журнал .

После обновления с более старой версии ничего не происходит.

Одноразовая пересборка начинается со следующего соответствующего события IP-адреса WP Cerber, а не обязательно в момент обновления плагина. Также убедитесь, что адрес электронной почты Cloudflare и глобальный ключ API сохранены.

Чтобы самостоятельно инициировать соответствующее событие, добавьте запись в список доступа по IP-адресу, а затем удалите её. Выберите адрес, который не повлияет на ваш собственный доступ к WordPress или к другим зонам Cloudflare.

После обновления набор правил Cloudflare выглядит неполным.

Масштабная перестройка может включать в себя несколько запросов, и во время её выполнения идентификаторы правил Cloudflare и количество видимых правил могут изменяться.

Включите диагностическое логирование и проверьте журнал диагностики на наличие отклоненных операций Cloudflare или неподдерживаемых целей.

Восстановление после случайной блокады

Правило блокировки Cloudflare может полностью предотвратить доступ вашего текущего IP-адреса к WordPress. Если вы случайно заблокировали себя, у вас есть два практических способа восстановить доступ.

Воспользуйтесь другим интернет-соединением.

Переключитесь на устройство или соединение с другим публичным IP-адресом, например, на мобильное устройство, использующее сотовую связь вместо вашей сети Wi-Fi. Затем войдите в WordPress и удалите блокировку или запись в списке доступа по IP-адресу, которая вызвала блокировку.

Это предпочтительный вариант, если вам необходимо немедленно восстановить нормальный доступ к WordPress.

Удалите правило Cloudflare вручную.

Войдите в Cloudflare, откройте Безопасность → Правила безопасности → Правила доступа по IP-адресу , найдите правило для вашего IP-адреса и удалите его. Чтобы узнать свой текущий публичный IP-адрес, воспользуйтесь сервисом «Какой у меня IP-адрес» .

Удаление правила Cloudflare позволяет вашим запросам снова достигать сервера WordPress, но это не снимает соответствующую блокировку WP Cerber или запись в списке доступа по IP-адресу. WP Cerber продолжает поддерживать собственное состояние до тех пор, пока это состояние не истечет или вы не измените его в WordPress.

Дополнение не обнаруживает правило, удаленное вами вручную, и продолжает считать его существующим до тех пор, пока не будет снята соответствующая блокировка или не будет удалена запись в списке доступа по IP-адресу в WordPress. В этот момент дополнение очищает свою запись о правиле, и если тот же адрес будет добавлен позже, будет создано новое правило Cloudflare, как обычно.

Удалите все правила Cloudflare, созданные этим дополнением.

Чтобы удалить правила, которые в настоящее время сохраняются в дополнении:

1. Откройте WP Cerber → Дополнения → Cloudflare .
2. Включить функцию удаления правил Cloudflare при деактивации .
3. Сохраните настройки.
4. Перейдите на страницу плагинов WordPress.
5. Отключите плагин Cloudflare for WP Cerber Security .
6. Проверьте правила доступа по IP-адресу Cloudflare, чтобы убедиться, что необходимые правила были удалены.
7. Активируйте дополнение повторно только в том случае, если вы по-прежнему хотите им пользоваться.

Следует помнить, что удаление отдельных правил Cloudflare может завершиться неудачей, поэтому деактивация не гарантирует удаление всех удаленных правил.

Поддерживать

Если у вас возникла проблема с синхронизацией, включите диагностическое логирование , воспроизведите проблему, а затем проверьте WP Cerber → Инструменты → Диагностический журнал .

Пользователи WP Cerber Professional могут обратиться в службу поддержки по адресу https://my.wpcerber.com . Поддержка для бесплатной версии доступна через сообщество WP Cerber по адресу https://talk.wpcerber.com .

Ссылки на Cloudflare

В документации Cloudflare более подробно рассматриваются следующие темы:

• Поведение и область действия правил доступа по IP-адресу: https://developers.cloudflare.com/waf/tools/ip-access-rules/
• Статус прокси и разница между именами хостов, использующими прокси, и именами хостов, использующими только DNS: https://developers.cloudflare.com/dns/proxy-status/
• Полный (строгий) режим TLS: https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/