概念

Advanced DDoS Protection は、選択した IP プレフィックスを高度な DDoS 攻撃から保護します。プレフィックスは、IP アドレス、または CIDR 形式の IP 範囲です。受信 パケット を分析し、高度な TCP DDoS 攻撃から保護するには、プレフィックスを Advanced DDoS Protection に追加する必要があります。

Advanced DDoS Protection に追加するプレフィックスは、次のいずれかである必要があります。

• Magic Transit にオンボード したプレフィックス。
• Magic Transit にオンボード したプレフィックスのサブセット。

Magic Transit にオンボードしていないプレフィックス（またはそのサブセット）、あるいは状態がまだ Unapproved のプレフィックスは追加できません。プレフィックスの承認については、アカウントチームに問い合わせてください。

Advanced DDoS Protection の許可リストは、設定済みの Advanced DDoS Protection ルールをすべてバイパスするプレフィックスの一覧です。

たとえば、自社のパートナーだけが使うプレフィックスを許可リストに追加すると、Advanced DDoS Protection によるパケット検査と緩和アクションの対象外にできます。

ルールは、いくつかの 設定 に従って、指定した スコープ に Advanced DDoS Protection を適用します。設定は実行モード、バースト感度、レート感度です。

各システムコンポーネント（SYN flood protection と out-of-state TCP protection）には独自のルール一覧があり、少なくとも 1 件のルールが必要です。

各ルールタイプには、スコープ、モード、バースト感度、レート感度の設定があります。

誤検知が起きた場合や、特定のトラフィックパターンがある場合は、ルールのバースト感度またはレート感度を調整する必要があります。

Advanced TCP Protection のルールには、次のいずれかのスコープを設定できます。

• Global: 受信パケットすべてにルールを適用します。
• Region: 選択したリージョンの受信パケットにルールを適用します。
• Data center: 選択した Cloudflare データセンターの受信パケットにルールを適用します。

ルールのスコープにより、通常よりトラフィックが多い、または少ない場所や、そのほかのネットワーク上の理由で、状態外パケットに対するシステムの許容度を調整できます。

スコープの異なる複数のルールが同じデータセンターに適用される場合、最も具体的なスコープのルールが優先されます。たとえば、リージョンルール（Western Europe など）とデータセンタールール（Marseille など）の両方がある場合、Marseille 経由のトラフィックはデータセンタールールに従って処理されます。

上記のいずれかのスコープでルールを定義することに加え、Advanced TCP Protection で保護する プレフィックス も選択する必要があります。

Advanced TCP Protection システムは、DDoS 攻撃を緩和するため、TCP 接続を継続的に学習します。Advanced TCP Protection のルールには、monitoring、mitigation（enabled）、disabled のいずれかの実行モードを設定できます。

• Monitoring

  • このモードでは、Advanced TCP Protection はどのパケットにも影響しません。代わりに、正規の TCP 接続を学習し、緩和していた内容を示します。現在の設定に基づいて受信パケットに対してどのようなアクションを取っていたかは、Network Analytics で確認できます。

    記録または監視されたトラフィックの表示方法は、Analytics のドキュメント を参照します。

• Mitigation (Enabled)

  • このモードでは、Advanced TCP Protection は正規の TCP 接続を学習し、ルール設定（バースト感度とレート感度）と 許可リスト に基づいて、受信 TCP DDoS 攻撃に緩和アクションを実行します。

• Disabled

  • このモードでは、ルールは受信パケットを評価しません。

バースト感度は、パケットレートの短時間のバーストに対するルールの感度です。

• 感度が低いと、パケットレートのより大きな急増で緩和アクションが発動する場合があります。
• 感度が高いと、パケットレートのより小さな急増で緩和アクションが発動する場合があります。

既定のバースト感度は Medium です。

レート感度は、持続的なパケットレートに対するルールの感度です。

• 感度が低いと、より高い持続パケットレートで緩和アクションが発動する場合があります。
• 感度が高いと、より低い持続パケットレートで緩和アクションが発動する場合があります。感度が高いほど保護は強まりますが、誤検知（正規トラフィックに属するパケットの緩和）が増えることがあります。

既定のレート感度は Medium です。

最近観測していない DNS クエリに対する感度です。

• 感度レベルが高いほど、緩和システムはより早く緩和を開始します。
• 感度が低いほど、不審な可能性のある DNS クエリへの許容度が上がります。

既定のプロファイル感度、および推奨設定は Low です。観測した攻撃に基づいて必要な場合にだけ、感度を上げてください。

フィルターは、式に一致するすべての受信パケットに対して、Advanced TCP Protection の 実行モード（monitoring、mitigation（enabled）、または disabled）を変更します。

フィルター式は、送信元と宛先の IP アドレスおよびポートを参照できます。各システムコンポーネント（SYN flood protection と out-of-state TCP protection）には 1 件以上の ルール が必要ですが、フィルターは任意です。

各システムコンポーネントには独自のフィルターがあります。実行モードごとにフィルターを設定できます。

• Mitigation Filter: フィルター式に一致するパケットを破棄します。
• Monitoring Filter: フィルター式に一致するパケットをログに記録します。
• Off Filter: フィルター式に一致するパケットを無視します。

一致すると、フィルターは、指定したシステムコンポーネント（SYN flood protection または out-of-state TCP protection）の設定済みルールすべての実行モードを変更します。無効化したルールも含みます。

Cloudflare ダッシュボードでフィルターを作成する手順は フィルターの作成 を参照してください。API の例は よく使う API 呼び出し を参照してください。

オンボーディング中の新しいプレフィックスに対して、そのプレフィックスに一致する式でモニターフィルターを作成できます。

すでにオンボード済みのプレフィックスは、緩和モードのルールを 1 件以上設定したまま保護できます。

新しいプレフィックスをオンボードするときは、このプレフィックス用のモニタリングフィルターを設定してから、Advanced TCP Protection に追加します。

ルールとフィルターの両方を設定している場合、実行モードは次の順で決まります。

1. 設定済みフィルターのいずれかに一致した場合は、そのフィルターの実行モードを使います。フィルターの評価順はモードに基づき、次の順です。
   1. Mitigation filter（enabled モードのフィルター）
   2. Monitoring filter（monitoring モードのフィルター）
   3. Off filter（disabled モードのフィルター）
2. どのフィルターにも一致しなかった場合は、既存ルールが決める実行モードを使います。
3. どのルールにも一致しない場合は、Advanced TCP Protection を無効にします。

Advanced TCP Protection システムは、接続状態に基づいて異なる理由で緩和アクションを適用します。Network Analytics ダッシュボードの Advanced TCP Protection タブに表示される Mitigation reason フィールドで、そのパケットが破棄された理由の詳細を確認できます。

接続状態は次のとおりです。

• New: 新しい接続を開くために、SYN または SYN-ACK パケットが送られています。
• Open: TCP の 3 ウェイハンドシェイクが完了し、TCP 接続は開いています。
• Closing: 接続を閉じるために、FIN または FIN-ACK パケットが観測されています。
• Closed: 終了用の 3 ウェイハンドシェイクが完了したか、RST パケットが接続を閉じました。

緩和の理由は次のとおりです。

緩和は、Advanced TCP Protection の設定（ルール感度、設定済みの許可リストとプレフィックス）に基づいてのみ発生します。保護システムは、インターネットルーティングの自然なばらつきに対応するため、状態外パケットにある程度の許容度を持たせます。