トラフィック判定を診断する

トラフィックが想定外にブロックされたとき、原因は複数の Cloudflare システムである可能性があります。このガイドでは、何がトラフィックをブロックしているかを特定し、解消する手順を説明します。

Cloudflare のネットワークを通過するトラフィックは、次の順で独立したセキュリティシステムが評価します。

1. ネットワーク層の DDoS 防御: この層が DDoS ルールセットを管理します。
2. Advanced TCP Protection: Cloudflare は (flowtrackd ↗) と呼ばれるステートフルな TCP 検査を行います。
3. Network Firewall: カスタムおよびマネージドのファイアウォールルールです。

各システムは独立して動作します。先のシステムでブロックされたトラフィックは、後続のシステムでは評価されません。

ブロックされたトラフィックを診断するには、Network Analytics で、どのシステムがなぜブロックしているかを確認します。Network Analytics だけでは情報が足りない場合は、パケットキャプチャでさらに詳しく調べられます。

変更を加える前に、次の情報を集めます。

• 影響を受けているトラフィックは何か。送信元 IP、宛先 IP、ポート、プロトコルを確認します。
• いつから発生しているか。
• 最近、設定変更をしたか。
• すべてのトラフィックか、特定のフローだけか。
• Cloudflare Status ↗ で進行中のインシデントがないかを確認します。

1. Cloudflare ダッシュボード ↗ にログインします。
2. Protect & Connect の下で、Insights > Network analytics を開きます。
3. All Traffic タブで Add filter を選びます。
4. フィルターを設定します。
   • Action > equals > Drop を選びます
   • Apply を選びます。
5. 問題が発生した時間帯に絞ります。
6. 影響を受けているトラフィックの特性（送信元 IP、宛先 IP など）が分かっている場合は、追加のフィルターを設定します。
7. ブロックしているシステムを特定します。 Packet Summary グラフで、三点リーダー > Mitigation system を選びます。 どの Cloudflare システムがトラフィックをブロックしたかが分かります。

緩和システムが DDoS Managed Ruleset と表示される場合、トラフィックは DDoS Managed Ruleset によってブロックされています。トリガーした具体的なルールを特定するため、Rule ID と Rule Name を控えます。

1. Network analytics の上部で DDoS managed rules を選びます。
2. 対象トラフィックを特定できるフィルターを付け、時間範囲を問題発生時に絞ります。
3. Packets summary グラフで三点リーダーを選び、Rule を選びます。ダッシュボードに、トラフィックに作用したルールが表示されます。
4. 対処: 影響を受けているトラフィックパターンに対して、DDoS マネージドルールの感度を調整するか、オーバーライドを作成 します。

緩和システムが TCP Protection と表示される場合、トラフィックは TCP Protection によってブロックされています。理由は Mitigation Reason フィールドを参照してください。

対処として、影響を受けているトラフィックの防御をバイパスする Advanced TCP Protection の許可リスト または フィルター を作成します。

Network Firewall の設定によってトラフィックがブロックされている場合:

1. Network analytics の上部で Firewall タブを選びます。
2. 対象トラフィックを特定できるフィルターを付け、時間範囲を問題発生時に絞ります。
3. Packets summary グラフで三点リーダーを選び、Rule を選びます。ダッシュボードに、トラフィックに作用したルールが表示されます。
4. Network Firewall ポリシー を確認し、必要に応じてルールの順序や式を調整します。

Network Analytics だけでは原因を特定できない場合は、パケットキャプチャ で実際のトラフィックを確認します。

1. Cloudflare ダッシュボード ↗ にログインします。
2. Protect & Connect の下で、Insights > Network health を開きます。
3. Diagnostics を開き、影響を受けているトラフィックに合うパケットキャプチャフィルターを設定します。パケットがドロップされていると、パケットキャプチャ（pcap）は空になることがあります。
4. キャプチャしたパケットを分析し、トラフィックの特性を把握します。
5. ルール設定と突き合わせます。

• Network Analytics
• Advanced TCP Protection
• Network Firewall のルール設定
• パケットキャプチャ