1인 개발자의 서버 생존기: 클라우드플레어 WAF 속도 제한(Rate Limiting)으로 L7 디도스(DDoS) 방어 및 API 예외 처리하기

👤 인스피

조회 수 16

1. 강력한 1차 방어선: WAF 속도 제한(Rate Limiting) 설정

클라우드플레어(Cloudflare)는 단순히 도메인을 연결하고 HTTPS 자물쇠를 채워주는 용도 외에도, 막강한 보안 기능을 제공합니다. 그중 핵심은 '속도 제한(Rate Limiting)' 규칙입니다.

일반적인 사람이 스마트폰으로 웹사이트를 구경할 때, 1초에 수십 번씩 새로고침을 누르지는 않습니다. 즉, 비정상적으로 짧은 시간에 엄청난 요청을 보내는 트래픽은 100% 공격이거나 크롤러 봇이라는 뜻입니다. 저는 클라우드플레어 대시보드의 [Security] -> [WAF] -> [Rate Limiting rules] 메뉴로 들어가 아래와 같이 규칙을 생성했습니다.

규칙 이름: Block Malicious Bots & DDoS
조건(If): URI Path contains / (내 사이트의 모든 주소에 대하여)
속도 제한 조건: 10초(10 seconds) 동안 30회(30 requests) 이상의 요청이 들어올 경우
액션(Action): 해당 IP를 1시간(1 hour) 동안 차단(Block)

이 규칙을 배포(Deploy)하고 단 5분 뒤, 놀라운 일이 벌어졌습니다. 불이 날 것 같았던 서버의 CPU 점유율이 5% 밑으로 뚝 떨어졌고, 502 에러를 뿜던 웹사이트가 다시 쾌적하게 열리기 시작했습니다. 클라우드플레어가 서버 앞단에서 미친 듯이 접속을 시도하는 악성 IP들을 전부 'Block' 처리해 버렸기 때문입니다.

2. 뜻밖의 아군 오인 사격: 내 자동 업로드 봇이 차단되다!

"휴, 살았다. 이제 끝났다!"라며 안심하고 며칠이 지났을 무렵, 또 다른 문제가 발생했습니다. 제 사이트에는 제가 별도로 돌리고 있는 파이썬 크롤링 봇이 주기적으로 양질의 글을 자동으로 포스팅해 주는 '자동 업로드 전용 API(/api/auto-upload)'가 있었습니다.

그런데 오늘따라 자동 업로드가 전혀 되지 않고 에러 로그만 쌓이고 있었습니다. 원인을 분석해 보니 허탈하게도 범인은 바로 제가 며칠 전에 세팅한 '속도 제한 규칙'이었습니다. 제 착한 자동화 봇이 게시글 이미지와 데이터를 연속으로 서버에 밀어 넣는 행위를, 클라우드플레어 WAF가 "어? 10초에 30번 넘게 접속하네? 너 디도스 공격이지? 차단!" 하고 막아버린 것입니다. (일명 False Positive, 오탐지 문제)

3. 완벽한 트러블슈팅: WAF 예외 처리(Whitelist) 규칙 추가

이 문제를 해결하기 위해서는 "모든 접속은 깐깐하게 검사하되, 내가 허락한 특정 API 주소는 예외로 통과시켜라"라는 정교한 규칙 튜닝이 필요했습니다.

저는 다시 클라우드플레어 WAF 편집 화면으로 들어가, 기존에 만들어둔 규칙에 'AND' 조건을 추가하여 아래와 같이 개선했습니다.

조건 1: URI Path contains / (모든 접속 검사)
조건 2 (예외 1): AND URI Path does not contain /api/auto-upload (자동 업로드 API는 검사 제외)
조건 3 (예외 2): AND URI Path does not contain /upload-api (서브 업로드 API도 제외)

이렇게 세팅을 수정하고 나니, 전 세계에서 몰려오는 악성 디도스 봇들은 여전히 철통같이 튕겨 나가면서도, 제 자동 업로드 봇은 무사히 프리패스(Free Pass)로 게시글을 작성하기 시작했습니다. 그야말로 아군과 적군을 완벽하게 식별해 내는 최강의 방어막이 완성된 순간이었습니다.

맺으며: 1인 개발자에게 보안은 선택이 아닌 필수

디도스 공격은 남의 이야기인 줄만 알았습니다. 하지만 사이트를 운영하다 보면 그 규모와 상관없이 자동화된 악성 봇들의 훌륭한 타깃이 된다는 것을 이번에 뼈저리게 깨달았습니다.

서버가 터지고 나서 수습하려면 이미 유저들은 떠나고 검색 엔진 최적화(SEO) 점수도 깎인 뒤입니다. 오라클 클라우드 같은 IaaS(서비스형 인프라)를 직접 다루는 1인 개발자라면, 서버 코드 최적화도 중요하지만 서버 앞단에 클라우드플레어 같은 WAF 방어벽을 세우고 적절한 속도 제한 룰을 적용하는 것이 최우선 과제임을 잊지 않으셨으면 합니다.

오늘도 트래픽의 바다에서 묵묵히 내 서버를 지키며 고군분투하는 모든 1인 개발자분들을 응원합니다!

❓ 자주 묻는 질문 (FAQ)

Q1. 클라우드플레어 무료(Free) 요금제로도 이 정도의 디도스 방어가 가능한가요? A. 네, 충분히 가능합니다. 과거에는 속도 제한(Rate Limiting)이 유료 기능이었으나, 현재는 커스텀 WAF 규칙 내에서 일정 횟수까지 무료로 강력한 방어 로직을 직접 짤 수 있도록 개방되었습니다. 1인 개발자 수준의 트래픽 방어에는 차고 넘칩니다.

Q2. 속도 제한을 걸면 정상적인 일반 접속자(유저)가 차단될 위험은 없나요? A. 일반적인 사람이 마우스를 클릭하고 화면을 읽는 속도로는 '10초에 30회 이상의 페이지 요청'을 발생시키기 불가능에 가깝습니다. 만약 정상 유저가 차단된다면 기준치(예: 10초당 50회)를 조금 더 넉넉하게 완화해 주면 됩니다.

Q3. WAF에서 'URI Path does not contain' 대신 IP 주소로 예외 처리(Whitelist)를 해도 되나요? A. 물론입니다! 만약 자동 업로드 봇을 실행하는 서버의 IP가 고정되어 있다면, IP Source Address is not 123.456.78.90 처럼 고정 IP를 등록하는 것이 보안상 훨씬 더 안전하고 확실한 방법입니다.