Проект набирает обороты, посещаемость растёт — и вместе с ней всплывают узкие места. Для удалённых регионов страницы открываются с ощутимой задержкой, а в последнее время нас регулярно захлёстывают потоки мусорного трафика, из-за которых сайт лежит по несколько десятков минут подряд. Мы хотим найти инженера, который решит проблему системно, а не прикроет один симптом.
Работа состоит из двух крупных частей. Первая — ускорение доставки. Нужно развернуть сеть доставки контента и грамотно организовать кэширование неизменяемых файлов: изображений, сценариев, таблиц стилей и шрифтов. Важно задать разумные сроки хранения и версионирование по контрольной сумме, чтобы обновления попадали к пользователям сразу, а устаревшие копии не задерживались в браузерах. При этом динамические ответы ни в коем случае не должны попадать в кэш случайно — тут нужен продуманный и явный перечень условий.
Вторая часть — оборона от DDoS. Ожидаем заслон на границе периметра: ограничения по частоте обращений, потолки на адрес и на сессию, отбраковка по репутации и по поведению, проверка сомнительных посетителей и списки доверия для собственных служб и платёжных уведомлений. Отдельного внимания просят тяжёлые страницы поиска и формы, по которым чаще всего и наносят удар.
Третий пункт обязателен — наблюдение. Понадобятся наглядные графики нагрузки, панель текущих атак, уведомления при резком росте и журнал перекрытых источников, чтобы мы видели обстановку без догадок. В финале ждём сжатую памятку: как менять пороги, как временно смягчить фильтр и как трактовать показатели. Обязателен опыт с nginx, поставщиками CDN и отражением реальных атак.
Работа состоит из двух крупных частей. Первая — ускорение доставки. Нужно развернуть сеть доставки контента и грамотно организовать кэширование неизменяемых файлов: изображений, сценариев, таблиц стилей и шрифтов. Важно задать разумные сроки хранения и версионирование по контрольной сумме, чтобы обновления попадали к пользователям сразу, а устаревшие копии не задерживались в браузерах. При этом динамические ответы ни в коем случае не должны попадать в кэш случайно — тут нужен продуманный и явный перечень условий.
Вторая часть — оборона от DDoS. Ожидаем заслон на границе периметра: ограничения по частоте обращений, потолки на адрес и на сессию, отбраковка по репутации и по поведению, проверка сомнительных посетителей и списки доверия для собственных служб и платёжных уведомлений. Отдельного внимания просят тяжёлые страницы поиска и формы, по которым чаще всего и наносят удар.
Третий пункт обязателен — наблюдение. Понадобятся наглядные графики нагрузки, панель текущих атак, уведомления при резком росте и журнал перекрытых источников, чтобы мы видели обстановку без догадок. В финале ждём сжатую памятку: как менять пороги, как временно смягчить фильтр и как трактовать показатели. Обязателен опыт с nginx, поставщиками CDN и отражением реальных атак.
