L7 Security: Cloudflare Architecture

⚙️ Теория

🌍 Базовая модель

Cloudflare работает как глобальная anycast edge-сеть:

клиент подключается к anycast IP;
BGP маршрутизирует трафик в ближайшую/наиболее подходящую точку присутствия (PoP);
первичная обработка выполняется на edge.

Важно: «ближайшая» точка это результат маршрутизации, а не всегда географически ближайший город.

🧠 Ключевые принципы

Anycast routing (BGP).
Edge-first processing.
минимально stateful обработка на edge.
massive horizontal scale через большое число PoP и узлов.

🔄 Путь запроса (упрощённо)

Client
→ Anycast IP
→ Nearest/Best PoP
→ TLS termination
→ WAF / Rate Limiting / Bot checks
→ Cache
→ Origin (если cache miss)

На практике конкретный порядок фаз зависит от продукта/настроек, но архитектурно идея неизменна: максимальная фильтрация и решение на edge до origin.

✅ Архитектурные преимущества

геораспределённость и снижение RTT для пользователей;
поглощение volumetric и protocol-атак на edge;
снижение прямой экспозиции origin;
кэширование hot-content и разгрузка backend.

❓ Что нужно уметь объяснить

Почему anycast помогает против DDoS?

Поток атаки распределяется по множеству edge-точек, а не упирается в один DC. Это уменьшает локальную перегрузку и повышает устойчивость.

Почему edge-first processing экономит ресурс?

Потому что дешёвые фильтры выполняются до origin. Чем меньше мусорного трафика дошло до приложения, тем меньше pressure на CPU/DB.

Почему cache важен в security-контуре?

При всплесках легитимного или полулегитимного трафика cache резко снижает нагрузку на origin и уменьшает вероятность деградации/каскадного отказа.

🧪 Практика

1. Проверить anycast-вход

dig +short example.com
traceroute example.com

2. Проверить edge-обработку

включить WAF/rate limiting rule;
посмотреть события в security analytics;
сравнить origin RPS до/после.

3. Проверить cache-impact

Отследить:

cache hit ratio;
origin egress;
origin latency.

4. Проверить failover-поведение

Смоделировать частичную недоступность origin и посмотреть, как меняются ответы на edge (stale/cache/error path).

🧾 Вывод

Cloudflare-модель эффективна потому, что combine-ит anycast + edge policy enforcement + cache.
Это одновременно про производительность и про безопасность: чем больше решений принято на edge, тем устойчивее origin под атакой и under load.