Ataque Dos/DDoS vs CloudFlare

[Fernando Rafs]

Pessoal peço que postem suas respostas através do Post para que todos possam ver, enviando por mensagem privada, priva outros usuários que possam ter o mesmo problema no futuro e fica sem fundamento a abertura de novos tópicos. Mas Obrigado!

[Fernando Rafs]

Esse IP 185.x é da ArubaCloud da Grã-Bretanha... o IP é sempre esse ? 

 

95% dos IPs sim, altera apenas o domínio, exemplo

 

O que forneci no Post acima:

 

---

IP CLOUDFLARE - - [29/Aug/2014:04:07:09 -0300] "GET /POSTDOCLIENTE / HTTP/1.0" 302 241 "-" "WordPress/3.9.2; http:// proactivo.com.pe; verifying pingback from 185.43.210.77"

---

 

Outro:

 

---

IP CLOUDFLARE - - [29/Aug/2014:04:07:18 -0300] "GET /POSTDOCLIENTE / HTTP/1.0" 302 241 "-" "WordPress/3.9.2; http:// shaanra.com; verifying pingback from 185.43.210.77"

---

 

O mesmo IP 185.X e domínios diferentes (proactivo e shaanra)

 

Isto se repete por milhares e milhares de conexões, alterando apenas o domínio.

[rubensk]

95% dos IPs sim, altera apenas o domínio, exemplo

 

O que forneci no Post acima:

 

---

IP CLOUDFLARE - - [29/Aug/2014:04:07:09 -0300] "GET /POSTDOCLIENTE / HTTP/1.0" 302 241 "-" "WordPress/3.9.2; http:// proactivo.com.pe; verifying pingback from 185.43.210.77"

---

 

Outro:

 

---

IP CLOUDFLARE - - [29/Aug/2014:04:07:18 -0300] "GET /POSTDOCLIENTE / HTTP/1.0" 302 241 "-" "WordPress/3.9.2; http:// shaanra.com; verifying pingback from 185.43.210.77"

---

 

O mesmo IP 185.X e domínios diferentes (proactivo e shaanra)

 

Isto se repete por milhares e milhares de conexões, alterando apenas o domínio.

 

Então está claro que esse IP é um dos que está sendo usado para o ataque e esses domínios são fake. Você deveria habilitar seu sistema a reconhecer o Cloudflare como trusted proxy para considerar o IP de origem da requisição como o IP de origem que o Cloudflare manda, e aí bloquear esse IP (ao invés do Cloudflare todo).

[Fernando Rafs]

Então está claro que esse IP é um dos que está sendo usado para o ataque e esses domínios são fake. Você deveria habilitar seu sistema a reconhecer o Cloudflare como trusted proxy para considerar o IP de origem da requisição como o IP de origem que o Cloudflare manda, e aí bloquear esse IP (ao invés do Cloudflare todo).

 

Estava neste momento verificando no site da CloudFlare como fazer isto. Vou ver como se efetua a instalação/configuração.

[Fernando Rafs]

O problema foi totalmente resolvido! Acesso normalizado ao domínio do cliente.

 

Os IPs/Ranges do ataque foram bloqueados no Servidor e no Datacenter (+ alguns ajustes) e configurações ajustadas na CloudFlare incluindo o "I'm under attack".

 

O tráfego que está entrando agora é totalmente legítimo.

 

Agradeço a todos que ajudaram e deram dicas valiosas.