Utilizzo di Discourse con Cloudflare: Best Practice

[Discourse]

Utilizzo di Discourse con Cloudflare

Questa guida spiega come configurare e utilizzare Discourse con Cloudflare, incluse le migliori pratiche di sicurezza e suggerimenti per la risoluzione dei problemi.

Livello utente richiesto: Amministratore

L’accesso alla console è richiesto per le installazioni self-hosted

Sommario

Cloudflare può migliorare la tua istanza Discourse con prestazioni ottimizzate tramite CDN, livelli di sicurezza aggiuntivi come la protezione DDoS e il supporto HTTPS. Questa guida copre il processo di configurazione e le migliori pratiche per una configurazione ottimale.

Perché usare Cloudflare con Discourse

L’utilizzo di Cloudflare con la tua istanza Discourse offre diversi vantaggi chiave:

• Prestazioni: La CDN di Cloudflare può migliorare l’accesso globale agli asset comuni, migliorando l’esperienza utente a livello mondiale (source)
• Sicurezza: Livelli di protezione aggiuntivi inclusi:
  • Protezione DDoS (source)
  • Supporto HTTPS (source) (alternativa alla configurazione Let’s Encrypt di Discourse)

Per le installazioni self-hosted, sebbene Cloudflare offra questi vantaggi, aggiunge complessità alla tua configurazione.

Configurazione di Cloudflare

1. Familiarizza con i Fondamentali di Cloudflare
2. Segui le istruzioni di configurazione per configurare Cloudflare per il tuo dominio e ottenere i benefici di sicurezza, prestazioni e affidabilità

Migliori pratiche di configurazione

Impostazioni DNS

• Assicurati che i record DNS che puntano alla tua istanza Discourse siano con proxy
• Accedi alle impostazioni DNS su dash.cloudflare.com/?to=/:account/:zone/dns

Configurazione SSL/TLS

• Imposta la modalità di crittografia su “Full (strict)” (Completo (rigoroso))
• Accedi alle impostazioni SSL/TLS su dash.cloudflare.com/?to=/:account/:zone/ssl-tls

Una configurazione SSL/TLS errata può causare loop di reindirizzamento

Configurazione della Cache

• Imposta il livello di caching su “Standard”
• Accedi alle impostazioni di caching su dash.cloudflare.com/?to=/:account/:zone/caching/configuration

Regole della Cache

Cloudflare ha deprecato le Page Rules a favore del loro moderno sistema di Rules. Crea quanto segue utilizzando Cache Rules su dash.cloudflare.com/?to=/:account/:zone/rules:

• Imposta il livello di Cache su “Bypass” per community.example.com/session/*
• Configura le impostazioni di normalizzazione degli URL per normalizzare gli URL in ingresso

Impostazioni di Rete

Le impostazioni di rete su dash.cloudflare.com/?to=/:account/:zone/network generalmente non influiscono sulla funzionalità di Discourse. Discourse non utilizza WebSocket, gRPC o gli header CF-IPCountry / True-Client-IP. Queste impostazioni possono essere lasciate sui loro valori predefiniti a meno che altro software sullo stesso dominio non richieda una configurazione specifica.

Impostazioni WAF (Web Application Firewall)

Se il tuo piano Cloudflare supporta le Regole Gestite (Managed Rules), crea quanto segue:

1. Salta il WAF alla creazione/modifica dei post:

(starts_with(http.request.uri.path, "/posts") and http.request.method in {"POST" "PUT"})

2. Per gli utenti del plugin Data Explorer, salta il WAF sulle query di amministrazione:

((http.request.uri.path contains "/admin/plugins/explorer/queries/" or http.request.uri.path contains "/admin/plugins/discourse-data-explorer/queries/") and http.request.method eq "PUT")

Per entrambe le regole:

• Scegli “Skip all remaining rules” (Salta tutte le regole rimanenti)
• Abilita “Log matching requests” (Registra le richieste corrispondenti)

Se sei su un piano Business o superiore, puoi utilizzare l’operatore regex matches per una corrispondenza più precisa. Gli operatori starts_with e contains utilizzati sopra funzionano su tutti i piani, inclusi Free e Pro.

Accedi alle impostazioni WAF su dash.cloudflare.com/?to=/:account/:zone/firewall/managed-rules

Ottimizzazione dei Contenuti

Configura quanto segue su dash.cloudflare.com/?to=/:account/:zone/speed/optimization:

• Abilita Brotli
• Disabilita Rocket Loader™

Discourse riceve frequentemente segnalazioni di sito non disponibile a causa dell’abilitazione di Rocket Loader™

Configurazione aggiuntiva per installazioni self-hosted

Per garantire il corretto inoltro dell’indirizzo IP, aggiungi quanto segue alla sezione template nel tuo containers/app.yml:

- "templates/cloudflare.template.yml"

Dopo aver aggiunto il template, devi ricostruire il tuo container con ./launcher rebuild app affinché le modifiche abbiano effetto.

Correlato: Come si configura Cloudflare?

Risorse di supporto

• Supporto della Community di Cloudflare
• Cerca su Discourse Meta per problemi relativi a Cloudflare

Risoluzione dei problemi

Problemi di Content Security Policy (CSP)

Se riscontri errori CSP:

• Verifica che Rocket Loader sia disabilitato
• Controlla che gli script siano aggiunti correttamente all’impostazione del sito content security policy script src

Funzionalità OneBox

Se OneBox viene bloccato:

• Controlla se la modalità Super Bot Fight Mode è abilitata
• Modifica l’impostazione “Definitely automated” (Certamente automatizzato) se è impostata su “Managed” (Gestito) o “Block” (Blocca)
• Considera la creazione di una regola WAF personalizzata per l’agente utente di OneBox

@Discourse

Ringraziamenti speciali a…

@tcloonan per aver scritto questo argomento

[Kevin7 (Kévin .)]

Buongiorno,

Grazie per questa guida che ho seguito alla lettera ma riscontro un problema, ogni volta che attivo Cloudflare nella mia console ricevo un errore con la CSP che mi visualizza (Rifiutato di eseguire script inline perché viola la seguente direttiva della Content Security Policy: "script-src) e dopo avermi indicato gli URL presenti nella mia CSP: (È necessaria la parola chiave ‘unsafe-inline’, un hash (‘sha256-VCiGKEA…’) o un nonce (‘nonce-…’) per abilitare l’esecuzione inline.

Ho provato a cercare ovunque ma non riesco a trovare una soluzione diversa dalla disattivazione del proxy che risolve il mio problema?

GRAZIE.

[nat (Natalie T)]

Puoi verificare se Rocket Loader è disattivato?

Un’altra cosa da fare è verificare che gli script siano aggiunti correttamente a content security policy script src nelle impostazioni del sito.

Se nessuna di queste soluzioni funziona, ti suggerisco di contattare Cloudflare all’indirizzo https://community.cloudflare.com/t/using-discourse-with-cloudflare-best-practices/602890.

[Richie (Richie Rich)]

Grazie @nat e @tcloonan

Questo è stato nella mia lista di cose da fare per un anno o due, ma sono stato scoraggiato dall’età di alcuni dei vecchi thread su questo argomento

Ci sono problemi o cose speciali per le persone che utilizzano AWS S3 per l’archiviazione e per i backup?

[TheDarkWizard]

Hai ancora bisogno del template cloudflare in app.yml per indirizzi IP reali o è cambiato nel corso degli anni?

[pfaffman (Jay Pfaffman)]

@TheDarkWizard

Hai ancora bisogno del template cloudflare in app.yml per gli indirizzi IP reali o è cambiato nel corso degli anni?

Sì. Hai ancora bisogno del template cloudflare. Senza di esso, tutto il traffico sembrerà provenire dai server di cloudflare anziché dall’IP del browser dell’utente.

Non lo vedo menzionato nell’OP, il che sembra una grave omissione. Come hai dedotto che ti servisse?

@codinghorror

aggiungi cloudflare.template.yml alla fine della sezione templates in app.yml.

[TheDarkWizard]

@pfaffman

Non lo vedo menzionato nell’OP, il che sembra una clamorosa omissione. Come hai dedotto che ti servisse?

Ciao! Sono in giro dal 2014 (alcuni anni per lo più in silenzio) ma stiamo lavorando alla migrazione della nostra community dal 2020 con un importer personalizzato, e stiamo lavorando alla seconda versione del nostro plugin interno per inserire e abilitare bbob come motore bbcode in Discourse. Puoi seguire i nostri progressi qui: GitHub - RpNation/bbcode: RpNation's Official BBCode Implementation for Discourse

Respiro questo software da un po’. Usiamo Cloudflare, quindi ho ri-ricercato quali eventuali problemi abbia con Discourse, dato che ora siamo nella fase in cui posso iniziare a preoccuparmi di cose meno vitali che non sono considerate bloccanti.

@nat Potresti aggiungere una modifica riguardo al template per le istanze self-hosted!

[nat (Natalie T)]

@TheDarkWizard

@nat Potresti aggiungere una modifica riguardo al template per le istanze self-hosted!

Fatto, grazie a entrambi per averlo segnalato!

[terraboss (Markus)]

@Discourse

Content Optimization dovrebbe avere Brotli attivato e Rocket Loader™ disattivato. Vai qui per impostare Content Optimization. Discourse riceve molti report di sito non raggiungibile [a causa di Rocket Loader™ attivo](Search results for 'rocket loader order%3' - Discourse Meta বৈশিষ্ট).

Grazie mille! Probabilmente è stato anche il motivo per cui il mio sito è diventato improvvisamente inaccessibile. Devo aver giocato un po’ troppo con le impostazioni di Cloudflare.

Poiché il mio vecchio provider di domini supportava DNSSec solo in modo inadeguato e errato, ho dovuto cercarne uno nuovo. È stato allora che mi è venuto in mente Cloudflare. Il piano gratuito è completamente sufficiente per me. È un peccato che le tariffe non scalino nemmeno in modo ragionevole in base ai requisiti.

[shawa]

@pfaffman

Sì. Hai bisogno del template di Cloudflare. Senza di esso, tutto il traffico apparirà provenire dai server di Cloudflare anziché dall’indirizzo IP del browser dell’utente.

Si sta aggiungendo in questa posizione?

[Crius]

Solo per precisione, la query per l’esclusione WAF è:

(http.request.uri.path eq "/posts(/[0-9]+)?" and http.request.method in {"POST" "PUT"})

Puoi copiarla e incollarla se fai clic su Edit expression a sinistra invece di utilizzare la selezione del modulo.

Notato oggi mentre aggiornavo e improvvisamente metà del forum non funzionava a causa di Auto Minify

Modifica: ho appena notato che questo è un post wiki. Sciocco da parte mia, ho modificato il post iniziale.

[Can]

Modalità di crittografia SSL/TLS Completa (strict). Ci saranno problemi se non viene chiusa? Non verrà comunque definito un SSL automatico?

[stance455 (Nader)]

Per aggiungere a questo, sembra che la funzionalità OneBox venga bloccata quando la modalità Super Bot Fight è attiva e l’impostazione “Definitely automated” è impostata su “Managed” o “block”.

È possibile aggirare questo problema impostando una regola WAF personalizzata per l’user agent di Onebox, ma forse esiste un modo più sicuro per farlo?

[thoka (Thomas Kalka)]

Correlato a

@lilacbull

Come inciso, ho semplicemente inserito il template cloudflare in fondo ad app.yml come indicato, ma il launcher ha restituito un errore di sintassi. L’ho rimosso e tutto va bene.

questa parte potrebbe aver bisogno di una formulazione migliore:

@Discourse

Per garantire che l’indirizzo IP corretto venga inviato a Discourse, dovrai aggiungere la seguente riga alla fine del tuo containers/app.yml.

cloudflare.template.yml

@supermathie Suggerimento:

dovrai aggiungere la seguente riga alla fine della sezione dei template nel tuo containers/app.yml.

come illustrato in Using Discourse with Cloudflare: Best Practices - #11 by shawa

Nel migliore dei casi, si potrebbe fornire anche un link a una guida generale sui template nella configurazione del server, che non sono riuscito a trovare a prima vista.

[LotusJeff (Jeff Cocking)]

Suggerirei di disattivare i bot AI in Cloudflare. Questo si trova in sicurezza → bot → blocca bot AI.

I bot AI stavano martellando il mio sito con 30.000-40.000 visualizzazioni di pagine giornaliere. Dopo aver attivato questo filtro, il mio traffico di bot AI è diminuito in modo significativo.

[majorjc_MS (Major)]

@Discourse

Configurazione aggiuntiva per installazioni self-hosted

Per garantire l’inoltro corretto dell’indirizzo IP, aggiungi quanto segue alla sezione templates nel tuo containers/app.yml:

cloudflare.template.yml

Il codice sopra dovrebbe essere modificato in:

 - "templates/cloudflare.template.yml"

Grazie,
Major

[MichaIng]

È vero che il supporto WebSockets dovrebbe essere abilitato in Cloudflare?

Ha funzionato bene per noi per anni senza, e per quanto ho potuto trovare informazioni qui sul forum, Discourse non fa uso di WebSockets.

[ivette_limon]

Non capisco se devo farlo

[nat (Natalie T)]

Hai ragione. Non credo che usiamo Websockets.

L’ho rimosso e ho anche aggiornato lo snippet del modello dell’utente sopra.

[MichaIng]

A proposito, penso che tutte le impostazioni di rete siano irrilevanti per Discourse:

• La compatibilità IPv6 non può più essere disabilitata e, naturalmente, Discourse non dipende da essa, ma può funzionare perfettamente su un sistema solo IPv4.
• La geolocalizzazione IP aggiunge l’intestazione CF-IPCountry alle richieste, che tuttavia non viene utilizzata da Discourse. Utilizza la propria funzionalità MaxMind (opzionale).
• Network Error Logging aggiunge l’intestazione di risposta Report-To, che i browser possono utilizzare per segnalare errori. Tuttavia, è deprecata, e anche se la funzionalità può essere abilitata con tutti i piani Cloudflare, l’elemento della dashboard per visualizzare effettivamente i report è disponibile solo con il piano Enterprise. Quindi, in questo caso, per alcuni browser meno recenti potrebbe trattarsi solo di una regressione della privacy e di un sovraccarico di rete.
• Onion Routing migliora la privacy per le richieste provenienti dalla rete Tor. Discourse non se ne preoccuperà né lo saprà.
• La funzionalità Pseudo IPv4 potrebbe essere necessaria se l’host esegue software, come analytics obsoleti o simili, che supportano solo indirizzi IPv4. Le intestazioni proxy di Cloudflare, come Cf-Connecting-IP (o altre, a seconda della configurazione), possono quindi essere regolate per avere un indirizzo IPv4 più o meno univoco, invece dell’effettivo indirizzo IPv6 del client, per aggirare il fatto che il supporto IPv6 per le richieste client->Cloudflare non può più essere disabilitato. Ancora una volta, Discourse non se ne preoccuperà. Voglio dire, sarebbe un problema, ad esempio, per il rilevamento GeoIP, ma la funzionalità è disabilitata per impostazione predefinita e gli amministratori dovrebbero ovviamente abilitarla solo se strettamente richiesto dal software che utilizzano, accettando lo svantaggio di IP client non reali. Può anche essere configurata per aggiungere solo una nuova intestazione con l’indirizzo IPv4 pseudo, e gli analytics (o qualsiasi altra cosa) possono quindi riscrivere le intestazioni IP del client dove necessario, mentre le richieste a Discourse non verrebbero interessate. In ogni caso, per la funzionalità generale di Discourse, la funzionalità è irrilevante.
• True-Client-IP Header aggiunge solo questa intestazione oltre a CF-Connecting-IP e X-Forwarded-For. Discourse non la utilizza, inoltre il modello di configurazione di Discourse utilizza CF-Connecting-IP invece. Quindi non ha alcun effetto.
• gRPC non è utilizzato da Discourse, ma avere Cloudflare abilitato per inoltrare richieste gRPC non fa male, come per i WebSockets. Entrambi potrebbero essere necessari per altri software in esecuzione sullo stesso dominio Cloudflare.
• Maximum Upload Size 100 MB è il valore predefinito e minimo. Dimensioni di upload maggiori richiedono piani Business o Enterprise, e Discourse non si interromperà se Cloudflare consente upload più grandi.

L’unica cosa di cui non sono sicuro se possa avere un effetto è Response Buffering. E non posso testare poiché è una funzionalità esclusiva per Enterprise. Ma non riesco a immaginare che al client importi se i pacchetti vengono trasmessi in streaming da CF edge man mano che arrivano, o inviati in un unico blocco una volta completati all’edge. Per i dati memorizzati nella cache (memorizzati nella cache su Cloudflare, intendo), questo viene sempre fatto comunque e non causa problemi, almeno. Questa funzionalità influisce solo sui dati non memorizzati nella cache.

Quindi, in sostanza, rimuoverei l’intera sezione “Network settings” in quanto irrilevante per la funzionalità di Cloudflare, ma altri software potrebbero richiedere determinate impostazioni o gli amministratori potrebbero preferirle in un certo modo, e dovrebbero sapere che Discourse funzionerà in ogni caso.