Prevent malicious traffic with Referer rules - CDN - Alibaba Cloud Dokümantasyon Merkezi

Yönlendiren (Referer) engelleme veya izin listesi, HTTP isteklerinin Referer başlığına dayalı olarak kaynaklarınıza erişimi kontrol eder. Bu özellik, hotlinking ve yetkisiz kaynak kullanımını önler. Yapılandırmadan sonra, CDNDCDN erişimi sağlamak veya reddetmek için Referer başlığını değerlendirir.

Önemli

Varsayılan olarak, Alibaba Cloud CDNDCDN için Yönlendiren engelleme/izin listesi özelliği devre dışıdır; bu durum herhangi bir web sitesinin kaynaklarınıza erişmesine olanak tanır.
Yönlendiren engelleme ve izin listeleri, hotlinking'i önlemenin yollarından biridir. Diğer yöntemler için bkz. Hotlinking'i önlemeye yönelik en iyi uygulamalar.
Bir Yönlendiren listesine aliyundoc.com gibi bir alan adı eklediğinizde, CDNDCDN kuralı hem alan adının kendisi hem de tüm alt alan adları (örneğin *.aliyundoc.com) için uygular.

Yönlendiren (Referer) yapısı

Referer başlığı, bir isteğin kaynağı olan sayfanın URL'sini gösterir. Bir Yönlendiren URL'si, aşağıdaki şekilde gösterildiği gibi bir şema, alan adı, yol ve sorgu parametrelerinden oluşur.

Not

Referer başlığının değeri esasen bir URL'dir.
Alibaba Cloud, yalnızca alan adı içeren Yönlendiren yapılandırmalarını destekler. Bunu etkinleştirmek için Ignore Scheme seçeneğini belirleyin.

Kullanım senaryoları

Yönlendiren engelleme veya izin listesi, öncelikli olarak web sitesi kaynaklarınızın diğer web siteleri tarafından doğrudan bağlanmasını veya kullanılmasını korur. Yaygın kullanım senaryoları şunlardır:

Telif hakkı koruması: Telif hakkıyla korunan içeriğe sahip web siteleri için, erişimi yalnızca yetkili web siteleriyle sınırlamak amacıyla bir Yönlendiren izin listesi kullanabilirsiniz.
Hotlinking önleme: İzin listesi, kaynaklarınıza yalnızca belirli web sitelerinden erişilmesini sağlayarak diğer sitelerin içeriğinize doğrudan bağlantı vererek bant genişliğinizi tüketmesini engeller.
Gelişmiş web sitesi güvenliği: Kaynaklarınıza yalnızca belirli web sitelerinin erişmesine izin vererek kötü amaçlı hotlinking'i, yetkisiz erişimi ve hassas bilgilerin çalınmasını önleyebilirsiniz.
Trafik kaynağı kontrolü: Trafik kaynaklarını yönetmek ve web sitenizin kararlılığını ve güvenliğini artırmak için belirli web sitelerinden gelen trafiği kısıtlayabilirsiniz.

Çalışma mantığı

Bir Edge Node (POP), her isteğin Referer başlığını kontrol eder. Referer izin listesinde değilse veya engelleme listesindeyse POP isteği reddeder. Bu işlem bant genişliğinden tasarruf sağlar ve kaynak sunucudaki yükü azaltır. CDNDCDN Yönlendiren isteklerini işlemek için aşağıdaki kuralları kullanır:

Bir istekteki Referer, engelleme listesindeki bir girişle eşleşiyorsa veya izin listesindeki hiçbir girişle eşleşmiyorsa, CDNDCDN isteği reddeder.
Bir istekteki Referer, izin listesindeki bir girişle eşleşiyorsa, CDNDCDN isteğe izin verir.

Kullanım notları

Bir Yönlendiren engelleme listesi yapılandırdıktan sonra, engellenen kaynaklardan gelen istekler yine de CDNDCDN POP'larına ulaşabilir. Ancak, bu istekler 403 durum koduyla reddedilir ve CDNDCDN günlüklerinde kaydedilir.
Yönlendiren engelleme/izin listesi özelliği, bir HTTP isteğindeki Referer başlığına dayalı olarak erişim kontrolü uygular. İsteklerin engellenmesi, oluşan trafik için küçük bir ücrete neden olur. HTTPS için ayrıca istek başına ücretlendirilirsiniz.
CDN hotlinking genel ağ erişiminden kaynaklandığından, Yönlendiren kuralları yalnızca genel alan adları için geçerlidir.

Yordam

CDN konsolu adresine gidin ve oturum açın.
Sol gezinme bölmesinde, Domain Names öğesini tıklayın.
Domain Names sayfasında, hedef alan adını bulun ve Actions sütununda Manage öğesini tıklayın.
Alan adının gezinme bölmesinde, Access Control öğesini tıklayın.
Referer Black/Whitelist sekmesinde, Modify öğesini tıklayın.
Yönlendiren parametrelerini yapılandırın. Daha fazla bilgi için bkz. Yönlendiren yapılandırma parametreleri.
Yapılandırmayı kaydetmek için OK öğesini tıklayın.

Yönlendiren yapılandırma parametreleri

Parametre		Açıklama
Type		Blacklist POP, engelleme listesinden bir Yönlendiren içeren isteklere erişimi reddeder. Whitelist POP, yalnızca izin listesinden bir Yönlendiren içeren isteklere izin verir. Not Engelleme listeleri ve izin listeleri birbirini dışlar. Aynı anda yalnızca bir tür seçebilirsiniz.
Rules		Birden fazla Yönlendiren ekleyebilirsiniz. Her girişi satır sonuyla ayırın. Tüm alt alan adlarını eşleştirmek için joker karakter olarak yıldız işareti () kullanabilirsiniz. Örneğin, .example.com, `example.com` alan adının tüm alt alan adlarıyla eşleşir. Joker karakter belirtmezseniz, bir giriş hem alan adının kendisi hem de tüm alt alan adlarıyla eşleşir. Örneğin, `example.com` için bir giriş hem `example.com` hem de `.example.com` ile eşleşir. Not* Bir Yönlendiren listesindeki tüm kuralların toplam boyutu 60 KB'yi aşamaz. Kurallara şema dahil etmeniz gerekmez.
Redirect URL		Bir istek engellendiğinde, POP bir Location yanıt başlığıyla 302 yeniden yönlendirmesi döndürür. Bu parametre, Location başlığı için değeri belirtir. URL, `http://` veya `https://` ile başlamalıdır. Örnek: `http://www.example.com`.
Advanced Settings	Allow resource URL access from browsers	Bu seçenek varsayılan olarak temizlenir. Bu seçeneği belirlerseniz, liste ayarlarınızdan bağımsız olarak boş yönlendirene sahip istekler engellenmez ve kaynağa erişmesine izin verilir. Boş yönlendiren, aşağıdakilerden biri olarak tanımlanır: İstek bir Referer başlığı içermiyor. Referer başlık değeri boş.
	Exact Match	Bu seçenek varsayılan olarak temizlenir. Bu seçeneği belirlerseniz, alt alan adlarını eşleştirmenin varsayılan davranışı devre dışı bırakılır. Joker karakter kullanmazsanız, `example.com` gibi bir giriş yalnızca `example.com` ile eşleşir.
	Ignore Scheme	Ignore Scheme seçeneği temizlenirse, Referer başlığı bir HTTP veya HTTPS şeması içermelidir. Ignore Scheme seçeneğini belirlerseniz, Referer başlığının bir şema içermesi gerekmez.
Rule Condition		Bir kural koşulu, kullanıcı isteğindeki çeşitli parametre bilgilerini tanımlar. Bu, bir yapılandırmanın o istek için etkili olup olmadığını belirler. Önemli Kural koşullarına başvurduğunuzda, bunlar özelliğin yapılandırma sırasına göre değil, ilişkili kural koşullarının önceliğine göre eşleştirilir. Do not use: Kural koşulu kullanılmaz. Kural koşullarını eklemek veya düzenlemek için, bunları Rules Engine içinde yönetin.

Yapılandırma doğrulama

Yapılandırmanızı test etmek için curl komutunu kullanabilirsiniz. Yönlendiren değerini belirtmek için -e seçeneğini ve yalnızca hızlandırılmış alan adının yanıt başlıklarını almak için -I seçeneğini kullanın. Aşağıdaki örneklerde doğrulama için bir izin listesi kullanılmaktadır.

Senaryo 1: Yalnızca Rules parametresi

Not

Bu senaryoda, aliyun.com için bir Yönlendiren kuralı yapılandırılmıştır. Redirect URL, Advanced Settings ve Rule Condition parametreleri yapılandırılmamıştır.
Bu yapılandırma, http(s)://aliyun.com veya alt alan adlarından bir Yönlendiren içeren isteklerle eşleşir. İzin listesinde olmayan Yönlendirenlere sahip istekler reddedilir.

Ana alan adından bir Yönlendiren ile erişimi test edin. Komut: curl -e http://aliyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```
Bir alt alan adından bir Yönlendiren ile erişimi test edin. Komut: curl -e http://sub.aliyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```
Farklı bir alan adından bir Yönlendiren ile erişimi test edin. Komut: curl -e http://aIiyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 403 Forbidden
Server: Tengine
```
Boş bir Yönlendiren ile erişimi test edin. Komut: curl -e "" -I <accelerated_domain_name>.
```
HTTP/1.1 403 Forbidden
Server: Tengine
```
Yalnızca alan adı içeren bir Yönlendiren ile erişimi test edin. Komut: curl -e aliyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 403 Forbidden
Server: Tengine
```

Senaryo 2: Rule ve Allow resource URL access from browsers

Not

Bu senaryoda, Yönlendiren kuralı aliyun.com olarak ayarlanır ve Tarayıcılardan kaynak URL'lerine doğrudan erişime izin ver seçeneği belirlenir. Diğer gelişmiş ayarlar, yeniden yönlendirme URL'si ve kural koşulu yapılandırılmaz.
Senaryo 1'e kıyasla, bu yapılandırma doğrudan tarayıcı erişimi gibi boş Yönlendirene sahip isteklere de izin verir.

Yönlendiren olmadan erişimi test edin. Komut: curl -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```
Boş bir Yönlendiren değeriyle ("") erişimi test edin. Komut: curl -e "" -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```

Senaryo 3: Rule ve Ignore Scheme

Not

Bu senaryoda, Yönlendiren kuralı aliyun.com olarak ayarlanır ve Ignore Scheme seçeneği belirlenir. Diğer gelişmiş ayarlar, yeniden yönlendirme URL'si ve kural koşulu yapılandırılmaz.
Bu yapılandırma Senaryo 1'e benzer, ancak şema içermeyen Yönlendiren isteklerine de izin verir; örneğin, yalnızca aliyun.com alan adını içeren bir istek.

Şeması olmayan bir Yönlendiren ile erişimi test edin. Komut: curl -e aliyun.com -I <accelerated_domain_name>.

HTTP/1.1 200 OK
Server: Tengine

SSS

Eksik Yönlendiren şeması

Çoğu durumda, kullanıcı isteğindeki Referer başlığı bir HTTP veya HTTPS şeması içerir. Ancak, belirli durumlarda Yönlendiren bir şema içermeyebilir.

Yaygın bir senaryo, kullanıcının güvensiz bir web sitesinden (HTTP kullanan) güvenli bir web sitesine (HTTPS kullanan) geçiş yapmasıdır. Tarayıcılar, kullanıcı verilerini korumak için Referrer-Policy gibi güvenlik ilkelerine dayanarak Referer başlığını değiştirebilir veya kaldırabilir. Bu durumda, Referer başlığı şema olmadan yalnızca alan adını içerebilir.

Ayrıca, bazı tarayıcılar veya proxy sunucuları özel tarama modu kullanıldığında veya bir web sitesine anonim bir proxy üzerinden erişildiğinde belirli durumlarda Referer başlığını otomatik olarak kaldırabilir.

Bu nedenle, Referer başlığında şema eksik olan istekleri hesaba katmalısınız. Bu tür istekleri eşleştirmek istiyorsanız, Ignore Scheme seçeneğini belirleyin.

Boş Yönlendiren işleme

Boş Yönlendiren, bir HTTP isteğinde Referer başlığının eksik olması veya değerinin boş olması durumunda oluşur. Bir istekteki Referer başlığı genellikle şema (örneğin http veya https), ana bilgisayar adı ve muhtemelen bir yol ve sorgu dizesi içeren tam bir URI içerir. Boş bir yönlendiren aşağıdaki senaryolarda oluşabilir:

Doğrudan erişim: Kullanıcı bir URL'yi doğrudan tarayıcının adres çubuğuna girdiğinde, yer işareti kullandığında veya yeni boş bir sekmede bir bağlantı açtığında, yönlendiren sayfa yoktur. Bu nedenle, Referer başlığı boştur.
Kullanıcı gizliliği: Kullanıcı veya kullanıcı tarafından kullanılan yazılım (tarayıcı uzantısı veya gizlilik modu gibi), gizliliği korumak için Referer başlığını kasıtlı olarak kaldırabilir.
Güvenlik protokolü: Kullanıcı bir HTTPS sayfasından bir HTTP sayfasına geçtiğinde, tarayıcı genellikle hassas bilgilerin sızmasını önlemek için Referer başlığını göndermez.
İstemci tarafı ilkesi: Bazı web siteleri veya uygulamalar, <meta> etiketi veya Referrer-Policy gibi bir HTTP başlığı ayarlayarak güvenlik nedenleriyle Referer başlığının gönderilip gönderilmeyeceğini kontrol edebilir.
Kaynaklar arası istek: Bazı kaynaklar arası istekler, tarayıcı güvenlik ilkeleri nedeniyle Referer başlığını içermeyebilir.

Boş Yönlendirene sahip istekleri nasıl ele aldığınız, özel kullanım durumunuza ve güvenlik gereksinimlerinize bağlıdır. Aşağıda bazı öneriler bulunmaktadır:

Varsayılan ilke: Hizmetiniz karar vermek için Yönlendiren bilgisine güvenmiyorsa, boş Yönlendirene sahip isteklere izin verebilirsiniz.
Erişime izin verme: Belirli URL'ler veya kaynaklar için, Allow resource URL access from browsers seçeneğini belirleyebilirsiniz. Bu, Yönlendiren boş olsa bile erişime izin verir. Bu durumda, CDN and DCDN POP'ları kaynağa erişim izni verir.