Cosa è incluso nel piano di prova gratuito?

Il piano di prova gratuito consente di utilizzare una zona per ogni account. È necessario creare una sola istanza e verificare il nome della zona prima di aggiungerla. Il nome della zona deve essere verificato prima di essere accettato. Se si elimina una zona durante il periodo di prova gratuita, non è possibile aggiungere nuovamente la stessa zona o una zona diversa nell'ambito del piano di prova gratuita.

Quante istanze di prova gratuita sono consentite per ogni account?

Per ogni account è consentita una sola istanza di prova gratuita per tutta la durata dell'account. Se si crea un'istanza di prova gratuita, sia che la si cancelli sia che la si lasci scadere, non è possibile creare un'altra istanza di prova gratuita. Tuttavia, è possibile creare istanze nell'ambito di piani a pagamento in qualsiasi momento.

Standard Next può essere declassato al piano di prova gratuito?

Num. Il declassamento dal piano Standard Next a un piano di Prova gratuita non è supportato. Non è possibile effettuare il downgrade di un piano al piano di prova gratuito.

Cosa succede quando un piano di prova gratuito scade?

Per evitare la perdita di dati, aggiornare l'istanza a un piano a pagamento prima della data di scadenza. Dopo la scadenza, è possibile aggiornare il piano o eliminare l'istanza. Se l'istanza non viene aggiornata o eliminata entro 45 giorni dalla creazione, CIS la elimina automaticamente:

• Il dominio di configurazione
• Sistemi di bilanciamento del carico globali
• Pool origine
• Controlli di integrità

Che fine ha fatto il piano Enterprise Package?

A partire dall'11 agosto 2023, il piano Enterprise Package è stato interrotto. Le funzionalità di questo piano sono state suddivise in vari livelli e sono ora disponibili nei piani Enterprise Essential, Enterprise Advanced e Enterprise Premier. Per ulteriori informazioni, consultare i piani di transizione aggiornati.

Il traffico degli attacchi di DDoS viene fatturato?

No. CIS fornisce una protezione illimitata e non misurata a DDoS. Il traffico identificato come parte di un attacco DDoS è escluso dalla fatturazione. Non ci sono limiti alle dimensioni, alla durata o al numero di attacchi identificati.

Come fa CIS a proteggersi da addebiti inattesi in bolletta?

CIS non misura né fattura il traffico bloccato da DDoS mitigazione, firewall o limitazione della velocità. Solo il traffico che passa attraverso CIS e raggiunge l'origine viene conteggiato per l'utilizzo o la fatturazione.

CIS aiuta anche a tenere sotto controllo i costi della larghezza di banda in uscita dall'origine, passando solo le richieste valide a cui l'origine deve rispondere. Tutti i piani CIS offrono una mitigazione illimitata e non misurata degli attacchi DDoS. Il traffico di attacco non viene mai addebitato e non ci sono penali o chargeback per i picchi di traffico causati dagli attacchi.

Perché un utente riceve errori di autenticazione dopo aver ottenuto l'accesso?

Gli errori di autenticazione si verificano di solito perché all'utente non sono stati assegnati i ruoli di accesso al servizio richiesti. CIS utilizza due tipi di ruoli:

• Accesso alla piattaforma: Consentire agli utenti di creare e gestire istanze di servizio.
• Accesso al servizio: Consentire agli utenti di eseguire operazioni specifiche del servizio all'interno di un'istanza.

Entrambi i tipi di ruolo devono essere assegnati in base alle responsabilità dell'utente. Per aggiornare i ruoli nella console, accedere a Gestione > Sicurezza > Identità e accesso.

Come faccio a trovare l'ID dell'istanza del servizio?

Per trovare l'ID dell'istanza di servizio, copiare il CRN nella pagina Panoramica. Ad esempio:

crn:v1:test:public:internet-svcs:global:a/2c38d9a9913332006a27665dab3d26e8:836f33a5-d3e1-4bc6-876a-982a8668b1bb::

L'ultima parte del CRN è la tua istanza del servizio: 836f33a5-d3e1-4bc6-876a-982a8668b1bb.

In alternativa, è possibile fare clic sulla riga contenente l'istanza di " CIS " nella pagina principale dell'elenco delle risorse e copiare il GUID corrispondente all'ID dell'istanza del servizio.

Perché il mio dominio è in stato di Pending e come posso attivarlo?

Un dominio rimane nello stato Pending finché non vengono configurati correttamente i record del server dei nomi (NS).

Quando si aggiunge un dominio (o sottodominio) a CIS, vengono forniti due server di nomi CIS. È necessario configurare entrambi i server dei nomi in una delle seguenti posizioni:

• Presso la società di registrazione del dominio (quando si aggiunge un dominio)
• Presso il provider DNS esistente (quando si aggiunge un sottodominio)

CIS controlla periodicamente il DNS pubblico per i record NS richiesti. Dopo il rilevamento della modifica del server dei nomi (che può richiedere fino a 24 ore), lo stato del dominio passa a Active. È possibile attivare manualmente un controllo selezionando Ricontrolla server dei nomi nella pagina Panoramica.

Come si identifica la società di registrazione del dominio?

Puoi verificare chi è il tuo registrar di dominio utilizzando lo strumento WHOIS dell'ICANN: https://lookup.icann.org/

Per aggiungere il dominio a CIS, è necessario disporre dei privilegi di amministratore per modificare la configurazione del dominio presso la società di registrazione per aggiornare o aggiungere i server dei nomi per il dominio. Se non si conosce la società di registrazione del dominio che si sta cercando di aggiungere a CIS, è improbabile che si disponga dei privilegi di amministratore. Collabora con il proprietario del dominio nella tua organizzazione per apportare le modifiche necessarie.

Posso delegare un sottodominio a CIS mantenendo il mio attuale provider DNS?

Sì. È possibile delegare un sottodominio a CIS senza modificare il provider DNS autoritario del dominio principale.

Quando si aggiunge il sottodominio a CIS, si ricevono due server dei nomi CIS. Creare record NS per il sottodominio presso il provider DNS esistente che puntino a questi server dei nomi CIS. Dopo che i record NS sono visibili e verificati pubblicamente, CIS attiva il sottodominio. Se non si gestisce il dominio padre, collaborare con il proprietario del dominio per aggiungere i record NS necessari.

È possibile integrare un dominio in CIS senza cambiare il provider DNS autoritario?

Sì. CIS supporta una configurazione CNAME(parziale). Questa configurazione consente di proxyare hostname specifici attraverso la rete CIS mantenendo il provider DNS autoritario esistente. In una configurazione parziale:

• Si creano i record CNAME presso il provider DNS autoritario.
• Questi record CNAME puntano a CIS.
• Vengono proxati solo i nomi di host specificati.

Il comportamento della risoluzione DNS è diverso da quello di un server di nomi completo.

Qual è il valore TTL predefinito del DNS?

Per i record A e CNAME, il TTL automatico predefinito è di 300 secondi.

Posso configurare un CNAME alla radice del mio dominio?

Sì. CIS supporta il "CNAME Flattening", che consente di configurare un CNAME alla radice (apex) del dominio. Invece di restituire il record CNAME stesso, CIS risolve il target CNAME e restituisce i record A o AAAA corrispondenti. Ciò consente al dominio principale di comportarsi come un CNAME senza violare gli standard DNS.

Che cos'è un record proxy e quando è opportuno utilizzarlo?

Un record DNS proxy instrada il traffico attraverso CIS prima che raggiunga il vostro server di origine. Solo i record gestiti tramite proxy beneficiano dei vantaggi di CIS, tra cui il mascheramento dell'IP, in cui l'IP di origine viene sostituito con un IP CIS per proteggerlo:

$ whois 104.28.22.57 | grep OrgName
OrgName:        IBM

Se preferisci bypassare CIS su un dominio (continuiamo comunque a risolvere il DNS), una possibile soluzione è quella di disattivare il proxy per quel record.

Come si risolve l'errore di convalida DNS 1004?

Per il funzionamento delle regole della pagina, DNS ha bisogno di risolvere per la tua zona. Di conseguenza, devi avere un record DNS con proxy per la tua zona.

Posso utilizzare CIS con indirizzi IP privati ( RFC1918 )?

Sì, ma con delle limitazioni. Se si configura un record DNS non proxy che punta a un indirizzo IP privato ( RFC1918 ):

• CIS esegue solo la risoluzione DNS.
• Le funzionalità avanzate, come CDN, WAF e protezione DDoS non vengono applicate.

CIS non fornisce connettività alle reti private. L'accesso alla rete dell'IP privato deve essere gestito dalla vostra infrastruttura.

Perché mi appare un avviso sulla privacy del browser?

I certificati TLS emessi da IBM Cloud CIS coprono il dominio principale (example.com) e un livello di sottodominio (*.example.com). Se si cerca di raggiungere un sottodominio di secondo livello (*.*.example.com), nel browser appare un avviso di privacy, perché questi nomi di host non vengono aggiunti alla SAN.

Occorrono fino a 15 minuti affinché una delle nostre autorità di certificazione (CA) partner emetta un nuovo certificato. Se il nuovo certificato non è ancora stato emesso, nel browser verrà visualizzato un avviso relativo alla privacy.

Come si risolve l'errore 526: certificato SSL non valido?

L'errore 526 indica che il server di origine presenta un certificato SSL / TLS non valido o non attendibile.

Quando il proxy CIS è abilitato e la modalità SSL è End-to-end CA Signed (predefinita per i nuovi domini), l'origine deve presentare un certificato valido firmato da un'autorità di certificazione affidabile.

Per risolvere l'errore:

• Assicurarsi che il certificato di origine sia valido (non scaduto o autofirmato).
• Verificare che il certificato corrisponda al nome dell'host.
• Confermare che la catena di certificati è completa.
• Installare un certificato valido firmato da una CA sul server di origine.

Se necessario, è possibile modificare la modalità SSL con un'impostazione meno rigida. Tuttavia, questa soluzione non è consigliata per gli ambienti di produzione perché riduce la sicurezza.

Come fa CIS a mitigare gli attacchi di negoziazione e handshake di SSL / TLS?

CIS attenua gli attacchi basati sulla negoziazione e sull'handshake di SSL / TLS terminando le sessioni di TLS nella rete edge prima che il traffico raggiunga il server di origine. Impone impostazioni TLS sicure e suite di cifratura per proteggere da vulnerabilità note come BEAST, POODLE e CRIME. CIS inoltra il traffico all'origine solo dopo un handshake TLS riuscito, impedendo gli attacchi TLS di esaurimento. I sistemi automatizzati di DDoS analizzano quindi i modelli di traffico, il comportamento dei cifrari e i metadati delle richieste per rilevare e bloccare ulteriori attacchi basati su SSL / TLS.

Che cos'è un attacco distributed denial-of-service ( DDoS )?

Un attacco di tipo "distributed denial-of-service" ( DDoS ) mira a rendere indisponibile un servizio online sommergendo lo stesso con un traffico proveniente da più fonti.

Gli aggressori utilizzano sistemi compromessi per generare grandi volumi di traffico o richieste malformate che:

• Esaurire le risorse del server
• Interruzione della connettività di rete
• Impedire agli utenti legittimi di accedere al servizio

DDoS gli attacchi possono colpire le applicazioni (Layer 7), i protocolli (Layer 3/4) o l'infrastruttura di rete.

Cosa sono gli strumenti di attacco LOIC e HOIC?

Il Low Orbit Ion Cannon (LOIC) e l'High Orbit Ion Cannon (HOIC) sono strumenti associati agli attacchi di DoS e spesso citati nelle discussioni sulla mitigazione del Layer 7 DDoS.

Il LOIC genera grandi volumi di richieste TCP, UDP o HTTP per sopraffare un obiettivo. È noto per:

• Interfaccia semplice e bassa barriera d'uso
• Elevati volumi di traffico ripetitivo
• Travolgere sistemi più piccoli o scarsamente protetti

HOIC è un'evoluzione di LOIC, che genera un volume di traffico HTTP più elevato e più flessibile, prende di mira più siti contemporaneamente e supporta "booster" per estendere la portata dell'attacco. Questo rende gli attacchi HOIC più difficili da rilevare per le difese basate sulle firme.

Entrambi gli strumenti sfruttano i comportamenti della rete per causare una negazione del servizio. L'uso al di fuori di ambienti di test controllati è illegale e non etico. Le organizzazioni dovrebbero affidarsi a difese come la limitazione della velocità e la protezione gestita da DDoS.

Cosa devo fare se sono sotto attacco DDoS?

Se si sospetta un attacco attivo a DDoS:

1. Attivare la "Modalità di difesa" dalla pagina Panoramica.
2. Configura i tuoi record DNS per garantire la massima sicurezza.
3. Non applicare limiti di velocità né restrizioni alle richieste provenienti da CIS; IBM necessita di larghezza di banda per poterti aiutare a risolvere il tuo problema.
4. Se necessario, blocca determinati paesi e visitatori.

Queste azioni consentono a CIS di ispezionare, assorbire e mitigare il traffico di attacchi nella rete edge.

In che modo CIS protegge dagli attacchi low-and-slow DDoS?

CIS protegge dagli attacchi low-and-slow agendo come reverse proxy HTTP di fronte all'origine. Il proxy bufferizza e convalida le richieste sul bordo, aspettando una richiesta completa HTTP prima di inoltrarla. Le richieste lente, incomplete o malformate vengono assorbite o abbandonate e non raggiungono mai l'origine.

CIS applica anche i timeout e i controlli WAF e firewall senza richiedere una soglia di traffico, impedendo ad attacchi come Slowloris e RUDY di esaurire le risorse del server.

È possibile escludere agenti utente specifici dalla mitigazione di HTTP DDoS?

Sì, è possibile creare una sovrascrittura della regola personalizzata e utilizzare i campi di espressione per confrontare le richieste di HTTP con l'intestazione User-Agent. È possibile utilizzare una serie di campi.

È quindi possibile regolare il livello di sensibilità o l'azione di mitigazione.

Utilizzare questa funzionalità con attenzione per evitare di indebolire la protezione dei modelli di traffico legittimi.

Come gestisce CIS lo scrubbing del traffico?

CIS utilizza la sua rete edge globale da 388 Tbps per mitigare gli attacchi DDoS ad alto volume, senza dover ricorrere allo scrubbing dei centri. Gli attacchi vengono analizzati e bloccati ai margini, vicino alla fonte. Viene fatturato solo il traffico protetto (richieste e risposte pulite). Il traffico dannoso è escluso.

Qual è il valore predefinito del timeout per il controllo di integrità?

Il timeout predefinito del controllo di integrità per i piani Free Trial e Standard è di 60 secondi.

I controlli di integrità possono essere configurati per il traffico non HTTP/HTTPS?

No, i controlli sanitari supportano solo HTTP / HTTPS.

I bilanciatori di carico globali possono essere configurati per protocolli diversi da HTTP / HTTPS?

Num. I bilanciatori di carico globali supportano solo HTTP / HTTPS.

Cosa succede se tutte le origini di un pool sono disattivate?

Sì. Se tutte le origini di un pool sono disattivate, il traffico viene instradato al pool di priorità successiva o al pool di fallback.

Quale rete utilizza CIS per il traffico globale e i controlli di salute?

CIS gestisce il suo piano dati sulla rete globale Anycast di Cloudflare, che si estende su centinaia di città in tutto il mondo. Questa rete garantisce un instradamento del traffico veloce e affidabile e la mitigazione di DDoS.

Le richieste di controllo dello stato di salute provengono da questa rete distribuita, pertanto le regioni disponibili per i controlli dello stato di salute si basano sulla rete Cloudflare Global Anycast Network.

CIS applica la compressione dei contenuti (gzip o Brotli)?

Sì. CIS applica la compressione gzip e Brotli ad alcuni tipi di contenuto e può comprimere gli elementi in base allo User-Agent del browser per migliorare i tempi di caricamento delle pagine.

Se l'origine utilizza già gzip, CIS rispetta queste impostazioni quando il server web le include nelle intestazioni.

CIS supporta solo gzip per i contenuti di origine e fornisce contenuti come gzip, Brotli o non compressi. Il suo reverse proxy può convertire tra formati compressi e non compressi indipendentemente dalla cache.

L'intestazione Accept-Encoding del client viene rimossa e non rispettata.

Qual è il limite del carico utile per WAF?

CIS Il Web Application Firewall (WAF) ora ispeziona i payload delle richieste fino a 1 MB per tutti i piani. Ciò consente al WAF di rilevare minacce più complesse che possono comparire in corpi di richiesta più grandi. Per ulteriori informazioni, vedere Richiesta del limite di ispezione della carrozzeria.

Qual è il limite del tasso API per CIS?

Il limite di velocità globale per l'API CIS è di 1200 richieste ogni cinque minuti per utente, su tutte le interfacce (UI, CLI, Terraform, API).

Quale intervallo di porte viene utilizzato per il traffico edge-to-origin?

Quando il proxy è abilitato, il traffico viene instradato attraverso la rete Cloudflare al server di origine. Questo traffico può provenire da qualsiasi porto nel raggio di 1024-65535. Quando si configurano le liste di controllo dell'accesso alla rete (NACL) per il proprio ambiente, assicurarsi che sia il traffico in entrata che quello in uscita da questo intervallo di porte siano consentiti.

Come gestisce CIS la sincronizzazione dell'orologio (NTP)?

Per soddisfare i requisiti della ISO 27001, tutti i sistemi pertinenti devono sincronizzarsi con una fonte temporale unificata. IBM CIS assicura la sincronizzazione dell'orologio in tutta l'infrastruttura utilizzando i server NTP (Network Time Protocol). CIS utilizza i seguenti server NTP interni:

• time.adn.networklayer.com
• time.service.networklayer.com

CIS supporta il filtraggio del traffico in uscita (egress)?

No. CIS protegge solo il traffico in entrata. Non ispeziona, registra o filtra il traffico in uscita dalle risorse cloud, come le istanze di server virtuali, i container o le risorse VPC.

CIS funge da reverse proxy per proteggere il traffico in entrata nelle applicazioni. CIS non funziona come forward proxy o filtro in entrata.

Per il controllo del traffico in uscita, considerare:

• Gruppi di sicurezza VPC: Controllo delle porte/IP in uscita a livello di istanza.
• ACL di rete VPC(NACL): Regole in entrata e in uscita a livello di sottorete.
• Appliance firewall: Distribuire firewall di terze parti all'interno del VPC.
• Filtraggio DNS: Utilizzare servizi basati su DNS per limitare i domini.

Che cos'è l'intestazione CF-Connecting-IP?

L'intestazione CF-Connecting-IP fornisce l'indirizzo IP originale del client al server web di origine. CIS aggiunge questa intestazione al bordo e la include solo nelle richieste che vengono inoltrate dal bordo di CIS al server di origine.

Come si risolve l'errore 522 (connessione interrotta)?

Un errore 522 si verifica quando CIS non riesce a connettersi al server di origine. Dopo circa 15 secondi di connessione fallita, la richiesta si interrompe e viene visualizzata la pagina 522.

Di solito questo accade se un firewall o un software di sicurezza blocca gli IP di CIS. Poiché CIS è un proxy inverso, le connessioni sembrano provenire dagli intervalli IP di CIS, che devono essere inseriti in un elenco di permessi. Vedere la pagina CIS indirizzi IP consentiti.

Controllate anche che il vostro server e la vostra rete siano sani e non sovraccarichi.

Se i problemi persistono, contattare il supporto di IBM CIS con un Ray ID recente e confermarlo:

• Tutti gli intervalli IP di CIS sono inseriti nell'elenco dei permessi
• Il tuo server/la tua rete è online e funziona correttamente

Come si risolve un errore 502 durante il salvataggio di un'azione Edge Functions?

Contatta il supporto IBM e fornisci lo script che stavi tentando di salvare.

Come si risolve un errore di convalida dell'hostname di Kubernetes Ingress?

Il nome host in un ingresso di tipo " Kubernetes " deve essere composto da caratteri alfanumerici minuscoli, - o ., e deve iniziare e terminare con un carattere alfanumerico. L'utilizzo di _ nel nome del programma di bilanciamento del carico, sebbene consentito, può causare un errore Ingress nei cluster Kubernetes. Evitare l'uso di - nei nomi dei bilanciatori di carico per evitare problemi con i cluster Kubernetes.