IP-blokkade voorkomen

Wanneer je Clonable gebruikt, loopt het verkeer van je clones via onze servers. Je hostingpartij ziet daardoor veel verzoeken vanaf hetzelfde IP-adres, terwijl deze van verschillende bezoekers komen.

Een firewall of Fail2ban kan dit verkeer als verdacht zien en onze servers blokkeren. Hierdoor kunnen je clones onbereikbaar worden. Het is daarom belangrijk dat je hostingpartij onze IP-adressen whitelist en Clonable als vertrouwde proxy instelt.

Wij proberen kwaadaardig verkeer zoveel mogelijk tegen te houden voordat het je server bereikt. Toch kunnen we niet alles blokkeren zonder ook legitieme bezoekers tegen te houden. De beveiliging op je eigen server blijft daarom nodig. Verkeer van demo's en healthchecks loopt al apart van het verkeer van je live clones.

Uitgaande IP-adressen

Hieronder vind je de IP-adressen waarmee Clonable verbinding maakt met je server.

Server	IPv4 Address	IPv6 Address
clonable-ams-1	80.69.93.77	2a01:7c8:bb06:71::/64
clonable-rtm-1	87.253.157.237	2a01:7c8:bb07:b4::/64

De lijst is ook beschikbaar via clonable.nl/ips.txt. Sommige hostingpartijen kunnen deze lijst automatisch inlezen en bijwerken. Vraag je hostingpartij om dit in te stellen als zij dit ondersteunen.

Beveiliging ingeschakeld houden

Individuele kwaadaardige verzoeken blokkeren is prima en wordt ook aangemoedigd. Zorg er wel voor dat onze servers bereikbaar blijven: ook een tijdelijke IP-blokkade kan je clones onbereikbaar maken. Laat je hostingpartij alleen de regels aanpassen die onze gedeelde IP-adressen blokkeren of te streng beperken. De overige firewall- en WAF-regels kunnen actief blijven.

Weet je niet welke beveiliging je website gebruikt? Je hostingpartij of IT-afdeling kan je helpen om dit te controleren en onze servers te whitelisten.

Het echte IP-adres van de bezoeker gebruiken

Wij sturen het IP-adres van de bezoeker mee in de headers X-Real-IP en X-Forwarded-For. Je webserver, applicatie of WAF kan dit adres gebruiken om bezoekers te herkennen en limieten per bezoeker toe te passen. Zo voorkom je dat alle bezoekers van je clones als één bezoeker worden gezien.

Je hostingpartij moet hiervoor instellen welke proxies deze headers mogen aanleveren. Accepteer ze niet zomaar van iedereen: een bezoeker kan deze headers ook zelf meesturen. In X-Forwarded-For kunnen meerdere IP-adressen staan. Het eerste adres is daarom niet automatisch het juiste bezoekers-IP.

Staat er nog een CDN of load balancer tussen Clonable en je server? Laat je hostingpartij die ook meenemen in de instellingen voor vertrouwde proxies.

Meer uitleg vind je bij Echte IP adres bezoeker. Voor NGINX kun je hiervoor ngx_http_realip_module gebruiken, en voor Apache mod_remoteip.

Fail2ban en netwerkfirewalls

Gebruik je Fail2ban? Dan is alleen het juiste bezoekers-IP in je logs zetten niet voldoende. De verbinding met je server komt nog steeds vanaf Clonable. Een gewone IP-blokkade voor de bezoeker in iptables of nftables houdt diens verkeer via Clonable daardoor niet tegen.

Laat je hostingpartij of beheerder het volgende instellen:

1. Sluit onze uitgaande IP-adressen uit van automatische blokkades en verwijder eventuele bestaande blokkades. In Fail2ban kan dit bijvoorbeeld met ignoreip in de betreffende jails.
2. Zorg dat de logs en beveiligingsregels het juiste bezoekers-IP gebruiken, op basis van de vertrouwde proxies.
3. Blokkeer ongewenste bezoekers via de webserver, applicatie of WAF die dit bezoekers-IP kan herkennen. Bij Fail2ban hoort daar ook een passende blokkeeractie bij.
4. Controleer de limieten voor verbindingen en verzoeken vanaf onze IP-adressen. Deze moeten voldoende ruimte bieden voor het gezamenlijke verkeer van je clones.

Twee instellingen

Clonable als vertrouwde proxy instellen zorgt ervoor dat je server het bezoekers-IP kan gebruiken. Onze IP-adressen whitelisten voorkomt dat de firewall onze servers blokkeert. Laat je hostingpartij beide instellingen controleren.

Controleren of alles goed werkt

Laat je hostingpartij na het instellen controleren of:

• het juiste bezoekers-IP in de logs staat en het IP van de verbindende proxy ook beschikbaar blijft voor onderzoek;
• een bezoeker het gelogde IP niet kan aanpassen door zelf een forwarding-header mee te sturen;
• een geblokkeerde testbezoeker de clone niet meer kan bereiken, terwijl een andere bezoeker nog wel toegang heeft;
• alle benodigde IPv4-adressen en IPv6-reeksen zijn meegenomen en er ook bij andere beveiligingslagen geen oude blokkades meer actief zijn.

Wordt Clonable toch opnieuw geblokkeerd? Vraag je hostingpartij welke firewallregel of Fail2ban-jail de blokkade veroorzaakt. Stuur ons het domein, het tijdstip met tijdzone, het gebruikte Clonable-IP en de foutcode. Heb je ook een Clonable-Request-ID? Stuur die dan mee, zodat wij het verzoek makkelijker kunnen terugvinden.

IP adres van een site achterhalen

Er zijn verschillende manieren om het IP-adres van je website te achterhalen. Deze pagina geeft uitleg voor Windows en Mac. Je kunt ook een online tool gebruiken, zoals NSlookup.io.

504 error

Een 504-fout betekent dat er niet op tijd antwoord komt van een achterliggende server. Dit kan komen door een verkeerd IP-adres of een blokkade, maar ook door netwerkproblemen of een trage of overbelaste server. Controleer daarom eerst de onderstaande punten.

IP adres originele site is veranderd

Als het IP-adres van je originele site is veranderd, werkt het oude adres niet meer. Je kunt dit aanpassen onder origin server in de site-instellingen onder advanced.

Clonable is geblokkeerd

Staat de origin server goed ingesteld? Vraag je hostingpartij dan om in de logs te controleren of Clonable geblokkeerd wordt. Als dat zo is, moet de blokkade worden verwijderd. Met de instellingen hierboven kun je helpen voorkomen dat dit opnieuw gebeurt. De IP-adressen vind je ook in onze IP-lijst.

502, bad gateway

Een 502 Bad Gateway-fout betekent dat er geen geldig antwoord van een achterliggende server kon worden opgehaald. Controleer samen met je hostingpartij of het IP-adres van je originele server klopt. Je kunt dit zo nodig aanpassen onder origin server in de site-instellingen onder advanced.

Klopt het IP-adres, maar blijft de fout terugkomen? Ook problemen met de verbinding, TLS of de originele server kunnen een 502-fout veroorzaken. Vraag je hostingpartij om de logs te controleren en neem contact met ons op, zodat we mee kunnen kijken.