Cloudflare Magic Transit для WordPress: пошаговое руководство по защите от DDoS

Что такое Cloudflare Magic Transit и почему он нужен WordPress

Cloudflare Magic Transit – это сеть уровня 3/4, позволяющая перенаправлять весь входящий трафик через инфраструктуру Cloudflare, где он проходит глубокую проверку и фильтрацию DDoS‑атак. Для сайтов на WordPress это значит, что даже самые крупные volumetric‑атаки будут отсеяны ещё до того, как достигнут вашего сервера.

Ключевые преимущества для WordPress

• Защита от сетевых и протокольных атак (UDP‑flood, SYN‑flood, DNS‑amplification).
• Сокращение времени отклика благодаря оптимизации маршрутов.
• Гибкая настройка политик фильтрации через Cloudflare Dashboard.

Подготовка аккаунта Cloudflare и базовая настройка

Перед тем как включать Magic Transit, убедитесь, что у вас есть:

1. Подписка Enterprise в Cloudflare (только она поддерживает Magic Transit).
2. Управляемый DNS‑запись для вашего домена.
3. Сервер с публичным IP‑адресом, к которому будет привязан туннель.

После этого создайте кеш‑слой Redis на вашем хостинге, чтобы уменьшить нагрузку на базу данных при росте количества запросов.

Создание и настройка Magic Transit туннеля

Туннель создаётся в разделе Network → Magic Transit → Tunnels. Ниже – основные шаги:

Шаг 1. Добавление нового туннеля

// Пример генерации конфигурации BGP для туннеля $asn = 64512; // ваш локальный ASN $peer_ip = '203.0.113.10'; // IP‑адрес Cloudflare BGP‑пира $router_id = '10.0.0.1'; $config = "router bgp $asnn neighbor $peer_ip remote-as $asnn neighbor $peer_ip activaten"; file_put_contents('/etc/frr/frr.conf', $config); 

Сохраните конфигурацию и перезапустите демоны BGP (например, FRR).

Шаг 2. Привязка публичного IP‑адреса

В Dashboard укажите IP‑адрес вашего сервера (или диапазон). Cloudflare будет анонсировать его через BGP, а весь входящий трафик будет проходить через их сеть.

Маршрутизация и фильтрация трафика для WordPress

После того как туннель активен, необходимо настроить правила фильтрации, чтобы защитить только WordPress‑слой, а остальные сервисы оставить без изменений.

Создание правил WAF

• Включите предустановленные правила WordPress‑specific (SQL‑injection, XSS).
• Добавьте собственное правило, блокирующее запросы без заголовка CF-Connecting-IP – это гарантирует, что только трафик из Cloudflare достигает сервера.

Настройка IP‑белого списка

Для административных IP‑адресов (например, ваш офис) создайте отдельный BGP‑пир, который будет обходить фильтры. Это удобно при работе с Telegram 2FA для WordPress – вы сможете быстро войти в админку даже при полном блоке DDoS.

Включение режима Under Attack и дополнительные меры

Режим Under Attack активируется в разделе Security → Settings. При включении Cloudflare показывает посетителям страницу проверки JavaScript, что отсекает большинство ботов.

Тонкая настройка таймаутов

Установите время проверки в 5‑7 секунд, чтобы не задерживать легитимных пользователей. Для WordPress‑сайтов с высокой конверсией рекомендуется включить Edge Computing – это ускорит доставку статических ресурсов после прохождения проверки.

Интеграция с CI/CD

Автоматизируйте деплой новых правил через GitHub Actions. Пример workflow:

name: Deploy Cloudflare Rules on: push: branches: [ main ] jobs: cf-deploy: runs-on: ubuntu-latest steps: - uses: actions/checkout@v3 - name: Update WAF rules env: CF_API_TOKEN: ${{ secrets.CF_API_TOKEN }} run: | curl -X POST "https://api.cloudflare.com/client/v4/zones/${{ secrets.CF_ZONE_ID }}/firewall/rules"  -H "Authorization: Bearer $CF_API_TOKEN"  -H "Content-Type: application/json"  --data @rules.json 

Мониторинг, тестирование и отладка

После запуска Magic Transit регулярно проверяйте метрики:

• Dashboard → Analytics → Traffic → DDoS‑blocked.
• Логи BGP‑сессии на сервере (файл /var/log/frr/bgpd.log).
• Плагин WordPress Security Scanner для обнаружения уязвимостей после изменения маршрутизации.

Для тестов используйте сервисы stress-test (например, Cloudflare Attack Simulator) и проверяйте, что ваш сайт остаётся доступным в режиме Under Attack.

Заключение

Cloudflare Magic Transit предоставляет мощный уровень защиты от DDoS, позволяя WordPress‑сайтам оставаться онлайн даже при масштабных атаках. Правильная настройка туннеля, BGP‑маршрутизации, WAF‑правил и режима Under Attack создаёт многослойный щит, который легко интегрировать в существующий CI/CD и процессы мониторинга. Следуйте описанным шагам, и ваш WordPress будет надёжно защищён в любой момент.