Справка

Как подключить домен, публиковать DNS, пользоваться прокси GeoRaz и каких правил при этом придерживаться.

Как начать

  1. Зарегистрируйтесь и войдите в кабинет. Двухфакторную аутентификацию и пароль можно настроить позже в Настройках.
  2. Добавьте домен — имя должно быть уникальным во всём GeoRaz.
  3. У регистратора создайте CNAME на адрес из карточки домена (или A на ноду GeoRaz, если так удобнее для апекса).
  4. Выберите режим на карточке: свои сервера или прокси GeoRaz.

На Бесплатном доступны гео-DNS и свои сервера. Прокси, CDN-кеш и чёрный список IP — на Про. WAF, режим «Под атакой» и заголовки к origin — на Про+.

Домен и CNAME

GeoRaz не занимает зону вашего домена. Клиентский домен должен указывать на адрес вида hashname.georaz.com. Адрес виден в карточке домена и копируется одним нажатием.

Обычно это CNAME. Кабинет также считает настройку верной, если A-запись указывает на IP ноды GeoRaz. Для апекса (второй уровень, например example.com) некоторые DNS-провайдеры прячут CNAME за A/AAAA — в таком случае предупреждение о CNAME не показывается.

Пока делегирование не настроено, посетители не попадут на записи GeoRaz. Проверка CNAME и доступности origin не блокирует сохранение: предупреждение можно исправить позже. Исключение — проверка сертификата origin на порту 443 при включении прокси: без подходящего сертификата домен на прокси не включается.

Свои сервера

Трафик идёт напрямую на ваши адреса. В PowerDNS публикуются записи из кабинета:

  • типы A, AAAA и TXT;
  • A и AAAA на одном домене взаимоисключающие;
  • TTL от 60 до 86 400 секунд;
  • страна из списка, по умолчанию WW (весь мир).

Геозапись отвечает посетителям из выбранной страны; остальным отдаётся Worldwide. Режим доступен на любом тарифе.

Прокси GeoRaz

На тарифе Про или Про+ домен можно переключить на сервера GeoRaz. Origin — IPv4 и порт, например 203.0.113.10:443. Следующие origin добавляются в карточке по одному. Сколько их можно указать, задаёт настройка панели. Выходная нода каждого origin выбирается автоматически по геолокации IP. Трафик идёт по очереди. Origin, который не отвечает, на 15 секунд выходит из ротации.

Для порта 443 перед включением прокси GeoRaz подключается к origin с именем домена и читает TLS-сертификат. Подходит точное имя или wildcard на одну метку: *.example.com покрывает www.example.com и не покрывает example.com. Публичный центр сертификации не требуется. Нет ответа, чужое имя или просроченный сертификат — домен на прокси не включается. Для других портов эта проверка не выполняется.

Пока включён прокси, в DNS уходят адреса GeoRaz, а не origin. Ваши A/AAAA/TXT остаются в кабинете и снова публикуются при возврате к своим серверам. Адрес origin клиенту в API не отдаётся.

SSL

Автоматический сертификат на стороне прокси или свой PEM (сертификат и ключ). Срок сертификата показывается в карточке домена.

CDN-кеш

На тарифе Про при включённом прокси можно кэшировать js, css и небольшие картинки на ближайшей ноде. HTML, API и запросы с Authorization не кэшируются. Кнопка сброса очищает кеш домена на всех нодах.

Чёрный список IP

На тарифе Про при включённом прокси: IPv4, IPv6 и CIDR, по одному на строку, до 500 записей. Локальные сети (10/8, 172.16/12, 192.168/16 и аналогичные IPv6) запрещены. Список имеет приоритет над WAF. Его можно править в карточке или через API.

WAF и «Под атакой»

На тарифе Про+. WAF блокирует сканеры известных путей (например .git, .env) и IP с плохой репутацией. Режим «Под атакой» показывает посетителям короткую проверку в браузере; API и клиенты без JavaScript не пройдут.

Заголовки к origin

На тарифе Про+ при включённом прокси можно перезаписать заголовки запроса к origin: по одному на строку в виде Name: value, до 20 заголовков, значение до 1024 байт. Authorization и системные заголовки прокси запрещены.

Тарифы

  • Бесплатный — свои сервера и гео-DNS, до 3 доменов.
  • Про — прокси GeoRaz, CDN-кеш и чёрные списки IP, до 10 доменов.
  • Про+ — всё из Про плюс WAF, режим «Под атакой» и заголовки к origin, до 30 доменов.

Про или Про+ можно один раз попробовать неделю. На это время доменов не больше трёх, даже если в таблице выше лимит тарифа больше. После выдачи оператором действует обычный лимит. Если оплаченный срок закончится, прокси и связанные функции отключатся.

Интеграции

API-ключ создаётся в Настройках, вкладка «Интеграции». Ключ показывается один раз. Им можно добавлять и снимать адреса в чёрном списке домена без входа в кабинет. Нужны тариф Про и включённый прокси GeoRaz.

Авторизация: заголовок Authorization: Bearer YOUR_API_KEY. Тело запроса — JSON с полем address.

curl -sS -X POST \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"address":"203.0.113.10"}' \
  https://georaz.com/api/domains/example.com/ip-blacklist

curl -sS -X DELETE \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"address":"203.0.113.10"}' \
  https://georaz.com/api/domains/example.com/ip-blacklist

GET без тела возвращает текущий список. На origin запрос не дойдёт: адрес отсекается на прокси GeoRaz.

fail2ban

Создайте action /etc/fail2ban/action.d/georaz-blacklist.conf. <ip> подставит fail2ban, <apikey> и <domain> задаются в jail. Нужен curl.

[Definition]

actionstart =
actionstop =
actioncheck =

actionban = curl -sS -f -X POST -H "Authorization: Bearer <apikey>" -H "Content-Type: application/json" -d '{"address":"<ip>"}' https://georaz.com/api/domains/<domain>/ip-blacklist

actionunban = curl -sS -f -X DELETE -H "Authorization: Bearer <apikey>" -H "Content-Type: application/json" -d '{"address":"<ip>"}' https://georaz.com/api/domains/<domain>/ip-blacklist

[Init]

apikey =
domain =

Подключите action к jail, например рядом с обычным баном в iptables. Подставьте ключ из настроек и имя домена, как в кабинете:

[sshd]
enabled = true
action = %(action_)s
         georaz-blacklist[apikey="YOUR_API_KEY", domain="example.com"]

После этого перезагрузите fail2ban (fail2ban-client reload). Ban отправит IP в чёрный список GeoRaz, unban — снимет его.

Правила пользования

GeoRaz публикует DNS и, на платных тарифах, принимает трафик сайта на свои адреса, а затем отдаёт его на origin. Регистрация, добавление домена и включение прокси означают, что вы принимаете эти правила. Вы отвечаете за домены, DNS-записи, origin, содержимое сайтов и за действия из кабинета и по API-ключу — в том числе если ключ или вход оказались у кого-то ещё.

Свои ресурсы

Подключайте только домены и серверы, которыми вы распоряжаетесь или на которые владелец дал разрешение. Origin — ваш сервер или сервер, куда этот владелец сознательно принимает трафик данного домена. Проверка сертификата на порту 443 не даёт включить прокси на чужой адрес с чужим именем, но не заменяет эту обязанность: нельзя обходить её другим портом, чужим сертификатом или подменой имени.

Посетитель открывает имя, которое заведено в кабинете. За этим именем должен быть ваш ресурс, а не чужой сайт, выданный за другой.

Недобросовестное использование

Сервис нельзя использовать, чтобы вредить чужим системам, обманывать людей или прятать такие действия за адресами GeoRaz. Недобросовестным считается в том числе следующее.

  • Атака чужого origin. Нельзя указывать адрес, которым вы не распоряжаетесь, чтобы направить на него трафик посетителей, перегрузить сервер или скрыть источник атаки за сетью GeoRaz. Нельзя сканировать чужие системы, подбирать к ним доступ и эксплуатировать их через прокси или с нод сервиса.
  • Подделка сайтов. Запрещены фишинг и страницы, которые выдают себя за банк, почту, магазин, госуслугу или другой известный ресурс, чтобы получить логин, платёжные или личные данные. То же относится к копиям чужих сайтов и к оформлению, которое создаёт ложное впечатление, будто сайт принадлежит другому лицу или связан с GeoRaz.
  • Вредоносные программы. Нельзя распространять вирусы, программы для кражи данных, шифровальщики и эксплойты, принимать их на origin и управлять через домен на GeoRaz ботнетом или другой вредоносной инфраструктурой.
  • Атаки на доступность. Запрещены отказ в обслуживании, стресс-тесты чужих ресурсов и самой сети GeoRaz без предварительного согласия администрации, а также намеренная перегрузка нод, DNS и панели.
  • Обход защиты и чужие кабинеты. Нельзя подбирать пароли, обходить WAF и режим «Под атакой», пользоваться API-ключом или чёрным списком, чтобы мешать чужому домену, и передавать аккаунт для таких действий.
  • Спам и обман. Нельзя вести массовые рассылки тем, кто их не ждал, и страницы, которые выманивают деньги обманом: поддельные выплаты, магазины и схемы, где человеку обещают выгоду и забирают данные или оплату.
  • Чужие права и незаконные материалы. Нельзя публиковать материалы, если у вас нет на это права, и материалы, запрещённые законом. Сюда входят сексуальная эксплуатация детей, торговля людьми, незаконный оборот оружия и наркотиков.

Отключение аккаунта

Администрация оставляет за собой право отключить домен, прокси или весь аккаунт за недобросовестное использование. Поводом может быть жалоба, собственная проверка, требование закона или риск для других клиентов и сети сервиса. Если продолжение работы опасно, отключение возможно без предварительного предупреждения. Администрация также может отказать в регистрации и не подключать домен, который уже использовался с нарушением этих правил.

Здесь перечислены обычные случаи. Отсутствие примера в списке не разрешает действие, если оно вредит другим или нарушает закон.