Как скрыть IP-адрес сервера сайта и зачем это нужно

Защита от DDoS работает, пока весь трафик идёт через неё. Если атакующий узнает настоящий IP сервера, он отправит флуд прямо на него, мимо фильтров. Поэтому прятать адрес так же важно, как подключить саму защиту.

Где адрес утекает чаще всего

• Старые DNS-записи. Сервисы истории DNS помнят, куда домен указывал год назад. Если после подключения защиты сервер остался на прежнем адресе, его найдут за минуту.
• Поддомены мимо защиты. mail, ftp, dev, cpanel указывают на тот же сервер, что и сайт.
• Почта. Письма о регистрации и восстановлении пароля, отправленные с сайта, несут IP сервера в заголовках Received.
• Сертификаты. Сканеры интернета вроде Censys и Shodan собирают сертификаты со всех адресов. Если сервер отвечает на 443 с сертификатом вашего домена, адрес находят простым поиском по имени.
• Исходящие запросы. Вебхуки и загрузка картинок по ссылке: сервер сам приходит к атакующему со своего адреса.

Как закрыть

1. Подключите домен через защиту и проверьте все записи. Те, что ведут на веб-сервер, должны идти через защиту.
2. Отправляйте почту через отдельный почтовый сервис или с другого адреса.
3. На сервере разрешите входящие 80 и 443 только с адресов узлов защиты, остальное отбрасывайте. Тогда даже найденный адрес ничего не даст: сервер не ответит сканеру и не покажет сертификат.
4. Если адрес уже засвечен, смените IP сервера после подключения защиты.
5. Исходящие запросы, которые могут вызвать пользователи (загрузка по ссылке, вебхуки), пускайте через отдельный выход.

Как это устроено в TurtleGuard

Запись, которая идёт через защиту, отдаёт наружу адреса наших узлов, а не вашего сервера. В DNS-зоне это переключается тумблером «Через защиту» у каждой записи. Почту и служебные записи оставляйте «напрямую». Проксирование входит в тарифы с WAF и подключается за $5 в месяц к бесплатному DNS-хостингу. Подробнее — в документации по записям.

Подключить домен