Cloudflare の Advanced TCP Protection は flowtrackd ↗ を基盤とする、ステートフルな TCP 検査エンジンです。ランダム化および偽装された ACK フラッド、SYN および SYN-ACK フラッドなど、高度な out-of-state TCP 攻撃を検出して緩和します。
Advanced TCP Protection は、次のような異なる種類の攻撃を同時に防げます。
- 特定の宛先 IP / ポートの組み合わせを狙うピンポイント攻撃。
- IP プレフィックス内の複数の IP アドレスを同時に狙う広域攻撃。
Advanced TCP Protection は、TCP 接続が Cloudflare データセンター間を移動しても追跡できます。
この機能は、次の 2 種類の保護を提供します。
- SYN Flood Protection: 完全にランダム化された SYN フラッドや SYN-ACK フラッドなどの攻撃から保護します。
- Out-of-state TCP Protection: 完全にランダム化された ACK フラッドや RST フラッドなど、状態外の TCP DDoS 攻撃から保護します。
各保護タイプは、ルールと（任意で）フィルターを使って独立に設定します。Advanced TCP Protection を有効にする前に、保護タイプごとに少なくとも 1 つのルールを設定してください。
このシステムは、完全にランダム化された SYN フラッドや SYN-ACK フラッドなどの攻撃から保護します。Advanced TCP Protection を有効にする前に、SYN flood ルールを少なくとも 1 つ設定してください。
緩和モードでは、設定した秒あたりパケット数のしきい値を超えた場合、SYN flood ルールは新しい接続開始リクエスト（SYN、SYN-ACK）にチャレンジします。しきい値は、ネットワークが受け取る正規の SYN および SYN-ACK パケットの通常レートより高くしてください。しきい値未満のパケットはチャレンジされません。rate sensitivity と burst sensitivity の設定で、SYN および SYN-ACK パケットへの許容度を上げ下げできます。
SYN flood ルールの設定項目の詳細は Rule settings を参照してください。
このシステムは、完全にランダム化された ACK フラッドや RST フラッドなど、状態外の TCP DDoS 攻撃から保護します。Advanced TCP Protection を有効にする前に、状態外 TCP ルールを 1 つ設定してください。
緩和モードでは、状態外 TCP ルールは、既存の（追跡中の）TCP 接続に属さない状態外パケットを、レートが設定しきい値を超えた場合に破棄します。しきい値は、ネットワークが受け取る SYN または SYN-ACK 以外の TCP パケットの通常レートより高くしてください。しきい値未満のパケットは評価されません。rate sensitivity と burst sensitivity の設定で、状態外 TCP パケットへの許容度を上げ下げできます。
状態外 TCP ルールの設定項目の詳細は Rule settings を参照してください。
Advanced TCP Protection の SYN Flood および Out-of-state TCP のルールとフィルターを設定するには、グローバル構成を作成 します。