Merhaba, paylaşım için teşekkürler. Anlattığınız senaryo (kısa sürede onlarca milyon istek, 500 binin üzerinde farklı IP) klasik bir botnet kaynaklı L7 DDoS saldırısına işaret ediyor, bu yüzden Cloudflare'ın Under Attack Mode'u ve davranışsal kurallarınız IP bazlı engellemeden çok daha etkili çalışıyor. Böyle bir saldırıda normalde beklenen tablo, CDN/WAF katmanı olmadan doğrudan origin sunucuya giden bağlantıların web sunucusu (Apache/Nginx) ve veritabanı bağlantı limitlerini hızla tüketmesi, bu da 502/503 hatalarına ve sitenin tamamen erişilemez hale gelmesine yol açması. Sizin durumda Cloudflare önden filtrelediği için bu yükün büyük kısmı origin'e hiç ulaşmıyor. Yine de origin sunucu tarafında da (panel üzerinden, ister ispmanager ister cPanel gibi başka bir çözüm olsun) CPU/RAM kullanımını ve aktif bağlantı sayısını saldırı anlarında izlemekte fayda var, çünkü Cloudflare'ı atlayan küçük bir trafik dilimi bile art arda gelirse kaynakları zorlayabilir.
Toplamda 500 milyon civarında saldırı aldı ama kesinti yaşamadım. Cloudflare katmaına eklediğim tedbirler ve ayrı bir sunucu ile CF Api kullanarak sürekli trafik durumunu deneten bir yapı hazırladım. Eğer istek sayısı aniden artarsa Under Attack Modu otomatik aktif hale getiriyor. Bu şekilde tüm saldırılar engellendi. Blog sayfalarınıda statik sayfa yapıp cloudflare pagese bağladım. Pages kaynakları tamamen sınırsız olduğu için 1 milyar istek bile atsa sitede hiçbir yavaşlık oluşmuyor. Son 1 gündür artık saldırı almıyor site.