Dokumentacija

Dovolitev PulseKeeperja

Če je vaša stran za požarnim zidom ali zaščito pred boti, ta morda blokira naša preverjanja. Takrat ne moremo ugotoviti, ali stran deluje: obiskovalci jo morda vidijo brez težav, naše sonde pa dobijo stran z napako.

Kako prepoznamo požarni zid

Ko se preverjanje vrne s 401, 403, 406, 429 ali 503 in ima odgovor prstne odtise znanega požarnega zidu, ga zabeležimo kot blokado požarnega zidu in ne kot izpad. Prepoznamo:

Požarni zid Kako ga prepoznamo
Cloudflare glava cf-ray ali cf-mitigated, server: cloudflare ali njegova stran z izzivom
Sucuri glava x-sucuri-id ali server: Sucuri
Imperva (Incapsula) glava x-iinfo ali piškotek incap_ses
Akamai server: AkamaiGHost

Blokirano preverjanje obravnavamo drugače kot izpad:

  • odpre opozorilo (warning), ne kritičnega incidenta: brez SMS-a, v tihih urah pa počaka do jutra;
  • ne šteje v razpoložljivost ali vaš SLA;
  • stran monitorja pokaže, kateri požarni zid nas blokira, in naslove, ki jih morate dovoliti.

Naši naslovi IP

Preverjanja prihajajo s teh naslovov, po en na lokacijo:

  • 164.90.187.198 (Frankfurt)
  • 137.184.30.6 (New York)
  • 138.197.198.212 (San Francisco)

Isti seznam je vedno na voljo kot navadno besedilo na https://pulsekeeper.io/ips in kot JSON na https://pulsekeeper.io/ips.json, tako da ga lahko avtomatizirate. Naslovi se spremenijo samo, ko dodamo lokacijo; seznama se posodobita v istem trenutku.

IPv4 ali IPv6

Privzeto se vsako preverjanje poveže prek IPv4, zato je dovolj, da dovolite naše naslove IPv4. Na paketih, ki to vključujejo (glejte cenik), lahko to spremenite za celotno ekipo v Nastavitve → Organizacija → Različica IP, za posamezen monitor pa v njegovem zavihku Nastavitve: samo IPv6 ali samodejno (IPv6, kadar ima tarča naslov IPv6). Če izberete IPv6 ali samodejno, dovolite tudi naše naslove IPv6. Dnevnik za vsako preverjanje pokaže, ali je šlo prek IPv4 ali IPv6.

Če želite stran preverjati hkrati prek IPv4 in IPv6, odprite zavihek Nastavitve monitorja in izberite Preverjaj tudi prek IPv6. Tako nastane drug monitor z enakimi nastavitvami. To je ločeno preverjanje na vašem intervalu, zato porabi eno mesto za monitor več.

Dovolite naslove IP, ne user agenta. Zaščita pred boti (na primer Cloudflare Bot Fight Mode) blokira tudi po vedenju, user agenta pa je preprosto ponarediti, zato ga številni požarni zidovi prezrejo.

Prepoznavanje naših preverjanj z glavo

Naše naslove IP si delijo vsi računi PulseKeeper. Če želite spustiti skozi samo svoja preverjanja, vklopite žeton ekipe v Nastavitve → Organizacija → Prepoznavanje naših preverjanj. Vsako preverjanje HTTP in API vaše ekipe nato pošlje:

X-PulseKeeper-Token: pkt_…

Dovolite zahtevke, ki imajo to glavo z vašim žetonom, namesto naših naslovov (ali poleg njih). Žeton je skrivnost: če pricurlja, ga zamenjajte na istem mestu in takoj nato posodobite pravilo požarnega zidu, ker se stari žeton takoj preneha pošiljati.

Posamezen monitor lahko pošilja tudi svoje glave: odprite monitor, Nastavitve → Glave zahtevka, in dodajte po eno v vrstico v obliki Name: value.

Cloudflare

Cloudflare promet dovoli s custom rules, ki uporabljajo dejanje Skip.

Z žetonom ekipe (priporočeno):

  1. V nadzorni plošči Cloudflare odprite svojo stran in pojdite na Security rules.
  2. Izberite Create rule → Custom rules in pravilo poimenujte, npr. PulseKeeper.
  3. Izberite Edit expression in vnesite, z vašim žetonom: 
    any(http.request.headers["x-pulsekeeper-token"][*] eq "pkt_…")
  4. Za dejanje izberite Skip in označite, kaj naj se preskoči: vsa preostala custom rules, rate limiting rules, managed rules in Super Bot Fight Mode.
  5. Objavite pravilo in ga premaknite na vrh seznama, da se izvede pred pravili, ki jih preskoči.

Z našimi naslovi IP:

  1. Ustvarite seznam IP: v računu Settings → Configurations → Lists → Create new list, vrsta vsebine IP address, ime npr. pulsekeeper.
  2. Dodajte naslove z https://pulsekeeper.io/ips. Seznam v navadnem besedilu ima po en naslov v vrstici, zato ga lahko shranite in uporabite Upload CSV.
  3. Ustvarite custom rule kot zgoraj, z izrazom ip.src in $pulsekeeper in dejanjem Skip.

Cloudflare seznama ne zna sam prebrati z naslova URL. Naslovi se spremenijo samo, ko dodamo lokacijo; če želite, da je seznam samodejno usklajen, ga posodabljajte z https://pulsekeeper.io/ips.json prek Cloudflare Lists API.

Prvo preverjanje po objavi pravila bi moralo biti zeleno. Na naši strani ni treba ničesar ponastaviti.

Bot Fight Mode (na paketu Free) ni mogoče preskočiti z nobenim pravilom. Če je vklopljen, bo naša preverjanja še naprej blokiral. Izklopite ga v Security → Settings ali uporabite paket s Super Bot Fight Mode, ki ga dejanje Skip lahko izvzame.

Sucuri, Imperva in Akamai

Vsi trije lahko naslove IP izvzamejo iz zaščite. V nastavitvah požarnega zidu ali varnosti vaše strani poiščite allowlist (včasih whitelist) naslovov IP, dodajte vse naslove s seznama zgoraj in shranite. Pri Akamaiju je to običajno omrežni seznam (network list), ki ga dovolite v svoji varnostni konfiguraciji.

Požarni zid na vašem strežniku

Če uporabljate ufw, iptables, požarni zid v oblaku ali seznam dovoljenih v nginxu, dovolite iste naslove na vratih, ki jih nadzirate (443 za HTTPS ali vrata monitorja TCP). Monitor TCP samo odpre povezavo. Glejte vrste monitorjev.