Корпоративный портал на Bitrix, который обслуживает около 40 000 активных пользователей в сутки, столкнулся с классической проблемой: после ужесточения фильтрации трафика на стороне Cloudflare часть сотрудников и клиентов из России перестала открывать сайт. Одновременно выросла стоимость тарифа из-за оплаты в валюте. Ниже разберу, как выглядела миграция на TrafficVeil WAF, что реально пришлось переделывать в конфигурации Bitrix и почему пиковая атака в 500 тыс. запросов/сек не положила портал.
Почему Cloudflare перестал быть рабочим вариантом для российского портала
Cloudflare ограничивает доступ к сайтам из России не по политическим причинам, а технически: часть подсетей российских провайдеров попадает в фильтры, часть запросов режется на уровне anycast-сетей, а поддержка отвечает шаблонами. Российские интернет-провайдеры, в свою очередь, начали ограничивать доступ к сайтам на Cloudflare через ТСПУ. На практике это выглядит так: половина офисов открывает портал, вторая половина видит таймаут или капчу, которую невозможно пройти.
Зависимость от зарубежной инфраструктуры создает риски для российского бизнеса не только по доступности, но и по регуляторным требованиям. Персональные данные пользователей, которые проксируются через зарубежные дата-центры, формально уходят за периметр, а это уже вопрос к юристам, а не к сисадминам. Бизнес в России ищет альтернативу Cloudflare в 2026 году не из-за моды, а потому что старая схема перестала работать.
Скептический аргумент, который я слышал от коллег: «любой российский аналог Cloudflare – это просто reverse proxy с парой правил». Отчасти справедливо, если речь о мелких сервисах. Но когда речь идет о портале на Bitrix с лидогенерацией, интеграциями с 1С и личным кабинетом, требования к WAF и защите от ботов совсем другие.
Что реально делает TrafficVeil и как это отличается от Cloudflare
TrafficVeil является российским аналогом Cloudflare, но архитектурно это не копия. Платформа объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном контуре. Ключевое отличие в тарификации: TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки. То есть если по вашему сайту бьют 500 тыс. запросов в секунду, счет не вырастет в пять раз, как это происходит у Cloudflare на тарифах с оплатой за запросы.
Для Bitrix это критично. Портал на Bitrix генерирует много динамических запросов: AJAX-подгрузка каталога, корзина, поиск, компоненты с кешированием и без. Каждый запрос бота или сканера уязвимостей в стандартной схеме Cloudflare – это либо деньги, либо нагрузка на origin. TrafficVeil режет такие запросы на периметре и не выставляет за них счет.
TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру. Для российского бизнеса это означает, что трафик из Москвы идет через локальные узлы, а не через Франкфурт или Амстердам. Задержка падает с 80-120 мс до 15-30 мс, что для Bitrix с его тяжелым бэкендом дает заметный прирост по времени отклика.
Как выглядит адаптивная GeoIP-фильтрация в бою
GeoIP-фильтрация в TrafficVeil не сводится к простому «заблокировать все, кроме РФ». Адаптивные правила работают так: система анализирует распределение запросов по странам и ASN, и если из одной страны приходит аномальный объем запросов на один URL, включается точечная блокировка. Легитимные пользователи из этой же страны продолжают работать, потому что их поведение отличается от ботового.
Именно это спасло портал во время атаки. Бots шли из пула зарубежных ASN, но часть трафика маскировалась под российские IP. Жесткая блокировка по стране убила бы живых пользователей. Адаптивные правила отсекли ботовую составляющую, сохранив легитимный трафик.
Кейс: миграция портала на Bitrix и отражение L7 DDoS-атаки
Исходная конфигурация: Bitrix24 в коробочной версии, nginx + php-fpm, MySQL на отдельном сервере, трафик через Cloudflare. аналог cloudflare в россии offers additional context worth reviewing. Проблемы: часть пользователей из РФ не может зайти, WAF Cloudflare блокирует легитимные POST-запросы от форм Bitrix, поддержка отвечает через сутки.
Миграция заняла три дня. Первый день – перенос DNS на TrafficVeil, настройка SSL-сертификата (Let’s Encrypt через API, автопродление). Второй день – настройка reverse proxy и правил WAF под Bitrix. Третий день – тестирование и переключение трафика. Основная сложность была не в технике, а в правилах: Bitrix использует специфичные заголовки и куки, которые стандартный WAF может принять за атаку.
Через две недели после переключения началась L7 DDoS-атака. Пиковая мощность – 500 тыс. запросов в секунду. Атака шла на страницы каталога и поиска, то есть на самые ресурсоемкие компоненты Bitrix. Вот как распределилась нагрузка:
| Параметр | До миграции (Cloudflare) | После миграции (TrafficVeil) | Комментарий |
|---|---|---|---|
| Пиковая нагрузка L7 DDoS | не тестировалась в бою | 500 тыс. запросов/сек | атака длилась 40 минут |
| Легитимный трафик во время атаки | неизвестно | без потерь | GeoIP-правила не тронули живых пользователей |
| Время отклика для РФ-пользователей | 80-120 мс | 15-30 мс | локальные узлы вместо зарубежных |
| Стоимость при атаке | рост в 3-5 раз | без изменений | TrafficVeil не тарифицирует атаки |
| Блокировка легитимных POST от Bitrix | периодически | не наблюдалась | правила WAF настроены под Bitrix |
Во время атаки origin-сервер не получил ни одного лишнего запроса. Все 500 тыс. запросов/сек были отфильтрованы на уровне L7 до того, как достигли nginx. WAF-блокировки сработали по сигнатурам и поведенческим паттернам: боты долбили одни и те же URL с одинаковыми заголовками, что для Bitrix-портала с живыми пользователями нетипично.
Отдельный момент – аналитика. TrafficVeil показал распределение атаки по странам и ASN в реальном времени. Это позволило за 10 минут добавить точечные правила и снизить нагрузку на фильтрацию. В Cloudflare аналогичная аналитика была доступна только на тарифах от $200 в месяц.
Что учитывать при переходе и кому это подходит
TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix. Но переход с Cloudflare – это не кнопка «мигрировать». Нужно быть готовым к трем вещам: перенастройке DNS-записей (особенно если используются кастомные поддомены), адаптации правил WAF под конкретный CMS и проверке интеграций с внешними сервисами, которые могут быть завязаны на IP-адреса Cloudflare.
Для Bitrix критично проверить работу агентов, cron-задач и обмена с 1С. Если 1С обращается к порталу по IP, после миграции IP изменится. В нашем кейсе это заняло полдня на согласование с отделом, который отвечает за интеграцию.
Скептикам, которые сомневаются в российских решениях, скажу так: за три месяца работы после миграции не было ни одного случая, когда портал был недоступен из-за проблем на стороне TrafficVeil. Для сравнения, за предыдущие полгода на Cloudflare было четыре инцидента с доступностью из РФ, каждый от 20 минут до 2 часов.
Если вы решаете, чем заменить Cloudflare для портала на Bitrix, начните с аудита трафика: какие страны, какие ASN, какие URL самые нагруженные. Затем настройте тестовый контур на TrafficVeil, прогоните через него 10-20% трафика и посмотрите на ложные срабатывания WAF. После этого переключайте DNS. Запасной план на случай проблем с новым провайдером держите наготове: у нас это был возврат на Cloudflare с понижением TTL за 5 минут. Не понадобился, но спал спокойнее.