shawn – ECSHOP 響應式模板全新RWD-SHOP

Cloudflare 防火牆規則說明

2022-12-01 shawn最新消息, 網站管理35

Cloudflare防火牆規則使用方法

各分案比較

方案	規則數量	攔截方式	是否允許正則
Free/PRO-plus	5	No Log	No
PRO	20	No Log	No
Business	100	No Log	Yes
Enterprise	1000	All	Yes

部分案例

案例	說明
(ip.src ne 127.0.0.1)	全站開啟驗證碼,訪客IP不是127.0.0.1開啟防禦機制
(not cf.client.bot)	非搜尋引擎的IP進行的訪問進行驗證碼或遮蔽
(not ip.geoip.country in {“CN" “HK" “TW" “MO"} and not cf.client.bot)	訪客不是大陸，香港，台灣，澳門的並且不是搜尋引擎的進行攔截（加入搜尋引擎判斷，防止Google，BING等國外搜尋引擎被攔截）
(not ip.geoip.country in {“CN" “HK" “TW" “MO"} and http.request.full_uri contains “login")	訪客不是大陸，香港，台灣，澳門的並且訪問的連結裡面帶有login的就進行防火牆動作
(ip.geoip.country in {“CN"} and http.request.full_uri contains “login") or (ip.geoip.country in {“CN"} and http.request.full_uri contains “register")	大陸訪客的並且訪問的連結裡面帶有login/或者register的就進行防火牆動作
(not http.referer contains “bnxb.com" and not http.referer contains “baidu.com") or (http.referer eq “")	防盜鏈：來路域名非bnxb.com（含子域名）也非百度下的域名，或者來路為空就觸發防火牆攔截
(http.request.full_uri contains “cdn.bnxb.com" and not ip.geoip.country in {“CN" “HK"})	cdn.bnxb.com這個子域名只允許大陸，香港訪問，其他遮蔽

規則類型及編寫方法

規則名稱	允許類型	說明/範例
http.cookie 字串	eq\ne\contains\not contains\matches\not matches	判斷本地COOKIE是否包含某些特定值支援matches\not matches匹配正則注意兩端需要用括號括起來，可以用and ,or 連接，類似 (not http.cookie contains “session=8521F670545D7865F79C3D7BED C29CCE;-background=light" and ip.geoip.asnum lt 2000) (http.cookie eq “session=8521F670545D7865F79C3D7BED C29CCE;-background=light") (http.cookie ne “session=8521F670545D7865F79C3D7BED C29CCE;-background=light") (http.cookie contains “session=8521F670545D7865F79C3D7BED C29CCE;-background=light") (not http.cookie contains “session=8521F670545D7865F79C3D7BED C29CCE;-background=light")
http.host 字串	eq\ne\contains\not contains\in\not in\matches\not matches	主機名，判斷主機名是否存在設定的值支援正則匹配matches\not matches (http.host eq “bnxb.com") (http.host ne “bnxb.com") (http.host contains “bnxb.com") (not http.host contains “bnxb.com") (http.host in {“bnxb.com" “cdn.bnxb.com"}) (not http.host in {“bnxb.com" “cdn.bnxb.com"})
http.referer 字串	eq\ne\contains\not contains\matches\not matches	判斷來源是否存在設定的值，正常用cotains(包含)和not contains(不包含)支援正則匹配matches\not matches (http.referer contains “bnxb.com") (not http.referer contains “bnxb.com")
http.request.full_uri 字串	eq\ne\contains\not contains\matches\not matches	設定防火牆的網站的某個完整連結，訪客訪問這個連結就會觸發防禦規則，不能含#，正常可以用contains 來判斷域名中含有某個詞的進行攔截或者放行,支援正則匹配matches\not matches (http.request.full_uri eq “https://www.bnxb.com/html/123.html") (http.request.full_uri ne “https://www.bnxb.com/html/123.html") (http.request.full_uri contains “123″) (not http.request.full_uri contains “123″)
http.request.method 字串	eq\ne\in\not in	訪客請求您網站的方式，可選GET,POST,PURGE,PUT,HEAD,OPTIONS,DELETE,PATCH (http.request.method eq “GET") (http.request.method ne “GET") (http.request.method in {“GET" “POST" “PUT"}) (not http.request.method in {“GET" “POST" “PUT"})
http.request.uri 字串	eq\ne\contains\not contains\matches\not matches	您域名的URI (http.request.uri eq “/articles/index?section=539061&expand=comments") (http.request.uri ne “/articles/index?section=539061&expand=comments") (http.request.uri contains “expand=comments") (not http.request.uri contains “expand=comments")
http.request.uri.path 字串	eq\ne\contains\not contains\in\not in\matches\not matches	請求路徑 (http.request.uri.path eq “/articles/index") (http.request.uri.path ne “/articles/index") (http.request.uri.path contains “/articles/index") (not http.request.uri.path contains “/articles/index") (http.request.uri.path in {“/articles/index" “/articles/bnxb" “/bnxb/com"}) (not http.request.uri.path in {“/articles/index" “/articles/bnxb" “/bnxb/com"})
http.request.uri.query 字串	eq\ne\contains\not contains\matches\not matches	query請求參數，也就是?後面的一串 (http.request.uri.query eq “section=539061&expand=comments") (http.request.uri.query ne “section=539061&expand=comments") (http.request.uri.query contains “expand=comments") (not http.request.uri.query contains “expand=comments")
http.request.version 字串	eq\ne\contains\not contains	HTTP請求協議的版本，有以下選項 HTTP/1.0 HTTP/1.1 HTTP/1.2 HTTP/2 HTTP/3 SPDY/3.1 (http.request.version eq “SPDY/3.1″) (http.request.version ne “SPDY/3.1″) (http.request.version in {“SPDY/3.1″ “HTTP/1.1″ “HTTP/2″}) (not http.request.version in {“SPDY/3.1″ “HTTP/1.1″ “HTTP/2″})
http.user_agent 字串	eq\ne\contains\not contain\matches\not matches	使用者瀏覽器標識，推薦使用contains/not contains (http.user_agent eq “Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36″) (http.user_agent ne “Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36″) (http.user_agent contains “Chrome/65.0.3325.181″) (not http.user_agent contains “Chrome/65.0.3325.181″)
http.x_forwarded_for 字串	eq\ne\contains\not contain\matches\not matches	x-forwarded-for標頭支援matches\not matches匹配正規表示式 (http.x_forwarded_for eq “111.111.11.11″) (http.x_forwarded_for ne “111.111.11.11″) (http.x_forwarded_for contains “11.11″) (not http.x_forwarded_for contains “11.11″)
ip.src IP位址	eq\ne\in\not in	客戶端IP地址 (ip.src eq 192.0.2.0) (ip.src ne 192.0.2.0) (ip.src in {192.0.2.0 192.0.3.0 192.168.1.1}) (not ip.src in {192.0.2.0 192.0.3.0 192.168.1.1})
ip.geoip.asnum 數字	eq\ne\gt\lt\ge\le\in\not in	訪客IP所屬的AS號,gt-大於，lt-小於，ge-大於等於,le-小於等於 (ip.geoip.asnum eq 13335) (ip.geoip.asnum ne 13335) (ip.geoip.asnum gt 13335) (ip.geoip.asnum lt 13335) (ip.geoip.asnum ge 13335) (ip.geoip.asnum le 13335) (ip.geoip.asnum in {13335 13332 11112}) (not ip.geoip.asnum in {13335 13332 11112})
ip.geoip.continent 字串	eq\ne\in\not in	訪客所屬的洲(7大洲)，洲程式碼如下: AF – 非洲 AN – 南極洲 AS – 亞洲 EU – 歐洲 NA – 北美洲 OC – 大洋洲 SA – 南美洲 ( 或者 T1 代表 Tor網路) (ip.geoip.continent eq “AS") (ip.geoip.continent ne “AS") (ip.geoip.continent in {“AS" “AF" “EU" “OC"}) (not ip.geoip.continent in {“AS" “AF" “EU" “OC"})
ip.geoip.country 字串	eq\ne\in\not in	訪客所屬國家，使用二位英文字母標識國別，詳見http://tool.bnxb.com/domainname.html (ip.geoip.country eq “CN") (ip.geoip.country ne “CN") (ip.geoip.country in {“CN" “HK" “TW" “MO"}) (not ip.geoip.country in {“CN" “HK" “TW" “MO"})
ip.geoip.subdivision_1_iso_code 字串		If known, the ISO 3166-2 code for the first level region associated with the IP address. 1 If not known, this is an empty string. GB-ENG
ip.geoip.subdivision_2_iso_code 字串		If known, the ISO 3166-2 code for the second level region associated with the IP address. If not known, this is an empty string. GB-SWK
ip.geoip.is_in_european_union 布林		True if this is an EU country true
Ssl 布林		是否使用HTTPS
cf.client.bot 布林		基於各家搜尋引擎IP段判斷是否放行(支援Google,yahoo,yandex,apple,archive,bing,feedbin,grapeshot,linkedin,mail.ru,naver,pingdom,pinterest,seznam,uptimerobot) (cf.client.bot) (not cf.client.bot)
cf.threat_score 數字	eq\ne\gt\lt\ge\le\in\not in	訪客IP的威脅評分等級，越大說明CF對這個IP視為越危險，10分以上均屬於較不安全的IP，40分以上屬於對網際網路有過攻擊行為的IP，因此可以設定10分以上顯示驗證碼，50分以上攔截。（這個設定與防禦等級設定是使用同一套評分系統，防禦等級高-分值>0,防禦等級中-分值>14,防禦等級低-分值>24,防禦等級半關閉-分值>49） (cf.threat_score eq 2) (cf.threat_score ne 2) (cf.threat_score gt 2) (cf.threat_score lt 2) (cf.threat_score ge 2) (cf.threat_score le 2) (cf.threat_score in {2 5 8}) (not cf.threat_score in {2 5 8})
cf.tls_client_auth.cert_verified 布林		已驗證客戶端證書 (cf.tls_client_auth.cert_verified) (not cf.tls_client_auth.cert_verified)

規則名稱

允許類型

說明/範例

http.cookie

字串

eq\ne\contains\not contains\matches\not matches

判斷本地COOKIE是否包含某些特定值支援matches\not matches匹配正則

注意兩端需要用括號括起來，可以用and ,or 連接，類似

(not http.cookie contains “session=8521F670545D7865F79C3D7BED C29CCE;-background=light" and ip.geoip.asnum lt 2000)

(http.cookie eq “session=8521F670545D7865F79C3D7BED C29CCE;-background=light")

(http.cookie ne “session=8521F670545D7865F79C3D7BED C29CCE;-background=light")

(http.cookie contains “session=8521F670545D7865F79C3D7BED C29CCE;-background=light")

(not http.cookie contains “session=8521F670545D7865F79C3D7BED C29CCE;-background=light")

http.host

字串

eq\ne\contains\not contains\in\not in\matches\not matches

主機名，判斷主機名是否存在設定的值支援正則匹配matches\not matches

(http.host eq “bnxb.com")

(http.host ne “bnxb.com")

(http.host contains “bnxb.com")

(not http.host contains “bnxb.com")

(http.host in {“bnxb.com" “cdn.bnxb.com"})

(not http.host in {“bnxb.com" “cdn.bnxb.com"})

http.referer

字串

eq\ne\contains\not contains\matches\not matches

判斷來源是否存在設定的值，正常用cotains(包含)和not contains(不包含)支援正則匹配matches\not matches

(http.referer contains “bnxb.com")

(not http.referer contains “bnxb.com")

http.request.full_uri

字串

eq\ne\contains\not contains\matches\not matches

設定防火牆的網站的某個完整連結，訪客訪問這個連結就會觸發防禦規則，不能含#，正常可以用contains 來判斷域名中含有某個詞的進行攔截或者放行,支援正則匹配matches\not matches

(http.request.full_uri eq “https://www.bnxb.com/html/123.html")

(http.request.full_uri ne “https://www.bnxb.com/html/123.html")

(http.request.full_uri contains “123″)

(not http.request.full_uri contains “123″)

http.request.method

字串

eq\ne\in\not in

訪客請求您網站的方式，可選GET,POST,PURGE,PUT,HEAD,OPTIONS,DELETE,PATCH

(http.request.method eq “GET")

(http.request.method ne “GET")

(http.request.method in {“GET" “POST" “PUT"})

(not http.request.method in {“GET" “POST" “PUT"})

http.request.uri

字串

eq\ne\contains\not contains\matches\not matches

您域名的URI

(http.request.uri eq “/articles/index?section=539061&expand=comments")

(http.request.uri ne “/articles/index?section=539061&expand=comments")

(http.request.uri contains “expand=comments")

(not http.request.uri contains “expand=comments")

http.request.uri.path

字串

eq\ne\contains\not contains\in\not in\matches\not matches

請求路徑

(http.request.uri.path eq “/articles/index")

(http.request.uri.path ne “/articles/index")

(http.request.uri.path contains “/articles/index")

(not http.request.uri.path contains “/articles/index")

(http.request.uri.path in {“/articles/index" “/articles/bnxb" “/bnxb/com"})

(not http.request.uri.path in {“/articles/index" “/articles/bnxb" “/bnxb/com"})

http.request.uri.query

字串

eq\ne\contains\not contains\matches\not matches

query請求參數，也就是?後面的一串

(http.request.uri.query eq “section=539061&expand=comments")

(http.request.uri.query ne “section=539061&expand=comments")

(http.request.uri.query contains “expand=comments")

(not http.request.uri.query contains “expand=comments")

http.request.version

字串

eq\ne\contains\not contains

HTTP請求協議的版本，有以下選項

HTTP/1.0

HTTP/1.1

HTTP/1.2

HTTP/2

HTTP/3

SPDY/3.1

(http.request.version eq “SPDY/3.1″)

(http.request.version ne “SPDY/3.1″)

(http.request.version in {“SPDY/3.1″ “HTTP/1.1″ “HTTP/2″})

(not http.request.version in {“SPDY/3.1″ “HTTP/1.1″ “HTTP/2″})

http.user_agent

字串

eq\ne\contains\not contain\matches\not matches

使用者瀏覽器標識，推薦使用contains/not contains

(http.user_agent eq “Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36″)

(http.user_agent ne “Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36″)

(http.user_agent contains “Chrome/65.0.3325.181″)

(not http.user_agent contains “Chrome/65.0.3325.181″)

http.x_forwarded_for

字串

eq\ne\contains\not contain\matches\not matches

x-forwarded-for標頭支援matches\not matches匹配正規表示式

(http.x_forwarded_for eq “111.111.11.11″)

(http.x_forwarded_for ne “111.111.11.11″)

(http.x_forwarded_for contains “11.11″)

(not http.x_forwarded_for contains “11.11″)

ip.src

IP位址

eq\ne\in\not in

客戶端IP地址

(ip.src eq 192.0.2.0)

(ip.src ne 192.0.2.0)

(ip.src in {192.0.2.0 192.0.3.0 192.168.1.1})

(not ip.src in {192.0.2.0 192.0.3.0 192.168.1.1})

ip.geoip.asnum

數字

eq\ne\gt\lt\ge\le\in\not in

訪客IP所屬的AS號,gt-大於，lt-小於，ge-大於等於,le-小於等於

(ip.geoip.asnum eq 13335)

(ip.geoip.asnum ne 13335)

(ip.geoip.asnum gt 13335)

(ip.geoip.asnum lt 13335)

(ip.geoip.asnum ge 13335)

(ip.geoip.asnum le 13335)

(ip.geoip.asnum in {13335 13332 11112})

(not ip.geoip.asnum in {13335 13332 11112})

ip.geoip.continent

字串

eq\ne\in\not in

訪客所屬的洲(7大洲)，洲程式碼如下:

AF – 非洲
AN – 南極洲
AS – 亞洲
EU – 歐洲
NA – 北美洲
OC – 大洋洲
SA – 南美洲

( 或者 T1 代表 Tor網路)

(ip.geoip.continent eq “AS")

(ip.geoip.continent ne “AS")

(ip.geoip.continent in {“AS" “AF" “EU" “OC"})

(not ip.geoip.continent in {“AS" “AF" “EU" “OC"})

ip.geoip.country

字串

eq\ne\in\not in

訪客所屬國家，使用二位英文字母標識國別，詳見http://tool.bnxb.com/domainname.html

(ip.geoip.country eq “CN")

(ip.geoip.country ne “CN")

(ip.geoip.country in {“CN" “HK" “TW" “MO"})

(not ip.geoip.country in {“CN" “HK" “TW" “MO"})

ip.geoip.subdivision_1_iso_code

字串

If known, the ISO 3166-2 code for the first level region associated with the IP address. 1 If not known, this is an empty string.

GB-ENG

ip.geoip.subdivision_2_iso_code

字串

If known, the ISO 3166-2 code for the second level region associated with the IP address. If not known, this is an empty string.

GB-SWK

ip.geoip.is_in_european_union

布林

True if this is an EU country

true

Ssl

布林

是否使用HTTPS

cf.client.bot

布林

基於各家搜尋引擎IP段判斷是否放行(支援Google,yahoo,yandex,apple,archive,bing,feedbin,grapeshot,linkedin,mail.ru,naver,pingdom,pinterest,seznam,uptimerobot)

(cf.client.bot)

(not cf.client.bot)

cf.threat_score

數字

eq\ne\gt\lt\ge\le\in\not in

訪客IP的威脅評分等級，越大說明CF對這個IP視為越危險，10分以上均屬於較不安全的IP，40分以上屬於對網際網路有過攻擊行為的IP，因此可以設定10分以上顯示驗證碼，50分以上攔截。（這個設定與防禦等級設定是使用同一套評分系統，防禦等級高-分值>0,防禦等級中-分值>14,防禦等級低-分值>24,防禦等級半關閉-分值>49）

(cf.threat_score eq 2)

(cf.threat_score ne 2)

(cf.threat_score gt 2)

(cf.threat_score lt 2)

(cf.threat_score ge 2)

(cf.threat_score le 2)

(cf.threat_score in {2 5 8})

(not cf.threat_score in {2 5 8})

cf.tls_client_auth.cert_verified

布林

已驗證客戶端證書

(cf.tls_client_auth.cert_verified)

(not cf.tls_client_auth.cert_verified)

國外與國內虛擬主機如何選擇使用?

2022-11-28 shawn網站管理發表迴響7

本文並沒有要推薦那些特定虛擬主機廠商，主要是以多年使用虛擬主機的經驗作個簡單的分享。

相信大家都知道虛擬主機在網站使用者體驗中扮演著舉足輕重的角色，因為它涉及到了網站瀏覽速度、網站功能支援、以及網站安全性三個大面向 ! 這些面向相對於一般類型的官方網站而言，對於電子商務網站更為置關重要，因為購物網站只要一個卡頓或是功能錯誤使用者可能就會失去耐心，甚至產生難以抹滅的負面觀感，導致廠商流失重要客戶。

因此，基於購物網站的需求性，虛擬主機的「網站速度」建議一定要列為首要考量因素，在幫購物網站選用虛擬主機時，優先推薦使用「國內主機」，並且國內線路也會有速度上的些微差異，例如中華電信直連線路相較於遠傳或是其他廠商，主機反應速度也會感受的到一點落差。選用國內主機還有一個最重要的優勢，就是語言與問題解決的溝通渠道，以購物網站來說無論在開發或是管理過程，一定都會遇到需要和主機技術人員溝通進行故障排解的時候，國內的虛擬主機商大部分的技術服務都做得非常不錯，而且解決速度都很快，對於網站故障排除，控制受影響時間絕對是相當重要 (懂得就懂XD)

在價格費用國外主機雖然普遍都比國內主機優惠很多，並且很多都標榜著無限空間無限流量，但應該很多人在真的購買後才會發現，CPU 記憶體還有 I/O Rate 檔案數量上限有非常嚴格管制，並且給的資源量都非常低，因此使用起來除了速度較慢外，上述這些限制更會直接影響您的網站穩定度以及開發使用上限，因此即便您不考慮使用國內主機，在選用國外主機時絕對要特別注意這種規格陷阱，遇過太多客戶選用主機只會看空間以及流量，但真正影響到網站穩定度以及發展上限的反而是這兩項之外的軟硬體規格。

過去兩三年來，國內主機商常常因為各種因素被大量DDos攻擊，進而影響到主機的穩定性，導致國內主機用戶大量外移，這部分確實影響到很多人對於國內主機的觀感，但近期發現因為過去這些DDos攻擊的經驗，反而讓很多國內主機商開始重視資訊安全這一塊，2022年開始許多國內廠商都已強化網路攻擊的處理SOP，建立流量清洗程序以及更強力的防火牆搭建，這部分的強化改善是有明顯的提升。相對於使用國外主機，一年會遇到海纜不穩定幾次，以及各種優劣式綜合考量下，使用國內主機還是勝過國外主機。

最後，聊一下網站安全性部分，其實這部分多數和網站程式本身安全性比較有關和主機關聯性比較低，因為現在開源架站工具非常多，尤其是全球幾乎5~6成網站都是由開源軟體開發的，而網站架設和前後端開發人員，多數的校內或職場上訓練環境又缺少安全性防護這一塊，因此導致資安觀念薄弱，問會使用 wordpress 架站的人，知道什麼是sql injection、xss攻擊以及該如何預防，大概有一半以上答不出來。不過現在已經有很多防火牆服務(Web Application Firewall – WAF)，讓流量在進入網站之前先把有問題的部分全部隔絕阻斷開，如果懂得使用這些防火牆服務(WAF)，可以幫網站幾乎阻斷95%以上的攻擊，有重視安全性的朋友們建議可以自行GOOGLE相關服務。