Документация / DNS
Записи и прокси
Одна DNS-запись, пять минут, сервер остаётся на месте.
Защита включается сменой одной DNS-записи. Сервер остаётся у вашего хостера, переносить сайт не нужно: мы встаём между посетителями и сервером и отдаём ему только проверенные запросы.
Три способа подключения
Выберите способ по тому, где сейчас живёт DNS домена и нужен ли вам корень домена (example.ru) или только поддомен.
| Способ | Что меняете | Когда брать |
|---|---|---|
| NS | Серверы имён у регистратора на ns1.turtleguard.cloud, ns2.turtleguard.cloud | Нужен весь домен, вайлдкард-сертификат и DNS-панель у нас |
| CNAME | Запись поддомена на shop-lavka-ru.cdn.turtleguard.cloud | DNS остаётся у регистратора, защищаете поддомен |
| A | A-запись на наши адреса 185.199.110.10, 185.199.111.10 | Регистратор не умеет CNAME на корне |
Через NS
В панели откройте домен, вкладка Обзор → Подключение. Там два адреса серверов имён. Впишите их у регистратора вместо текущих.
dig NS example.ru +short
ns1.turtleguard.cloud.
ns2.turtleguard.cloud.Записи переедут сами
Перед сменой NS мы читаем текущую зону и переносим A, AAAA, CNAME, MX и TXT. Проверьте список в DNS до того, как нажмёте «Готово».
Сколько ждать
Обычно 5–30 минут. Старые NS кешируются у провайдеров до 48 часов, но большинство посетителей переедут в первый час.
Через CNAME
Создайте у регистратора запись для поддомена:
shop 300 IN CNAME shop-lavka-ru.cdn.turtleguard.cloud.CNAME на корне домена не работает
По стандарту у example.ru не может быть CNAME рядом с SOA и NS. Для корня берите NS или A.
Закройте сервер от прямых запросов
Атакующий, знающий настоящий адрес сервера, обойдёт защиту. Разрешите входящие 80 и 443 только с наших подсетей:
nft add set inet filter turtleguard { type ipv4_addr\; flags interval\; }
nft add element inet filter turtleguard { 185.199.108.0/22 }
nft add rule inet filter input tcp dport { 80, 443 } ip saddr != @turtleguard drop- Список подсетей: GET /api/v1/ranges, он меняется редко.
- Обновляйте его кроном раз в сутки.
Что дальше
Выберите режим защиты и посмотрите журнал запросов первые сутки: так видно, что правила не задевают живых посетителей.