DNS Firewall を設定する

前提条件

DNS Firewall を設定する前に、次のものが必要です。

Cloudflare ダッシュボードで、DNS Firewall Clusters ページを開きます。
Clusters を開く ↗
Add Firewall Cluster を選択します。
必須項目を入力します。次の項目を含みます。
- IP Addresses: 権威ネームサーバーの上流 IPv4 および / または IPv6 アドレスです。
- Minimum Cache TTL: 推奨設定は 30 秒 です。
- Maximum Cache TTL: 推奨設定は 4 時間 です。値を大きくするとキャッシュヒット率は上がりますが、DNS 変更の伝播にかかる時間も長くなります。
- ANY queries: 推奨設定は Off です。DDoS 攻撃の一部として使われることが多いためです。ブログ記事 ↗ も参照してください。
任意で、同じフォームにある追加オプションを設定します。
Continue を選択します。
次の画面で、Your new DNS Firewall IP Addresses の値を保存します。

API に POST リクエストを送信して、DNS Firewall クラスターを作成することもできます。

レジストラで、ネームサーバーホスト名の A/AAAA グルーレコードを、DNS Firewall クラスターの IP アドレスに更新します。

DNS サーバーで、DNS ゾーンファイル内のネームサーバーホスト名の A/AAAA レコードを、DNS Firewall クラスターの IP アドレスに更新します。

dig コマンドを実行し、ネームサーバーが正しく動作していることを確認します。

DNS サーバーとファイアウォールのセキュリティポリシーを設定し、Cloudflare の IP ↗ と TCP/UDP ポート 53 だけを許可します。

必須項目以外に、DNS Firewall クラスターでは次の設定ができます。Cloudflare ダッシュボードでクラスターを作成または編集するとき、または API 経由で設定します。

Rate limit（データセンターあたり、1 秒あたりのクエリ数）。
REFUSED、NXDOMAIN、SERVFAIL 応答向けの Negative cache TTL。
EDNS Client Subnet (ECS) fallback — 受信クエリに ECS データが含まれない場合に、リゾルバーの IP サブネットを転送します。詳細は FAQ を参照してください。
ランダムプレフィックス攻撃向けの Attack mitigation。

パラメーターの一覧は、DNS Firewall Cluster API の Create および Update エンドポイントを参照してください。