Cloudflare Network Firewall のルールは、Cloudflare の DDoS 緩和が適用されたあとに実行されます。2 つの仕組みは独立しています。そのため、Cloudflare Network Firewall 内でトラフィックを許可しても、DDoS 緩和では許可されません。Cloudflare の処理の流れでは DDoS 緩和が先に適用されるため、そこでブロックされることがあります。
デフォルトでは、Cloudflare Network Firewall のポリシーは、ルールで明示的にブロックするまですべてのトラフィックを許可します。ポリシーを設定していなければ、DDoS 緩和のあとはすべてのトラフィックが許可されます。
セキュリティポリシーの構成は、次の 2 とおりです。
- ポジティブセキュリティモデルを適用します。すべてをブロックし、必要なトラフィックだけを許可するルールを作ります。
- 特定のトラフィックだけをブロックする最小限のルールセットから始めます。それ以外はデフォルトで許可されます。
トラフィックは、設定したルールの順に照合されます。有効なルールに一致した時点で、以降のルールでは検証されません。無効なルールは完全にスキップされ、トラフィックは評価されません。ダッシュボードの Traffic policies > Firewall policies では、ルールは上から下へ評価されます。
たとえば、ルール #4 ですべての TCP トラフィックを許可すると、すべての TCP トラフィックが許可されます。ルール #5 で IP アドレス x.x.x.x をブロックしても、そのルールは確認されません。
セキュリティポリシーの設定時のベストプラクティスは、Best practices を参照してください。
Cloudflare 発信のトラフィックも、設定した Cloudflare Network Firewall ルールの対象です。すべての ICMP トラフィックをブロックすると、Cloudflare の エンドポイントヘルスチェック もブロックします。ICMP をブロックする場合は、ICMP ブロックルールを適用する前に、Cloudflare の公開 IP からプレフィックスのエンドポイント IP への ICMP を許可するルールを先に置いてください。
Cloudflare の公開 IP の一覧は、IP Ranges ↗ を参照してください。
トラフィックは 2 つのフェーズで処理されます。まず Custom ルール、次に Cloudflare の Managed ルールです。
Custom フェーズは、自分で定義して管理するルールの集合です。式、順序、アクションをカスタマイズできます。
Cloudflare Network Firewall は、優先順位に従い、Managed ポリシーより先に Custom ポリシーを評価します。そのため、トラフィックが先に Custom ポリシーの条件を満たした場合、そのアクションが適用されます。
Custom ルールで使えるアクションは Block または Skip（許可）です。
Managed フェーズのルールセットは Cloudflare が維持します。ベストプラクティス、既知の悪意あるパターン、その他の脅威インテリジェンスに基づくルールを含みます。
Managed フェーズのルールの式と実行順は Cloudflare が管理します。個々のルールを有効化、無効化、または一致パケットの記録（log）に設定できます。
詳細は Managed ルールセットを有効にする を参照してください。