非推奨となった Cloudflare Firewall Rules は、HTTP リクエストのより大きな評価チェーンの一部です。下の図がその流れです。たとえば Firewall Rules が評価するのは、先に IP Access rules を通過したリクエストだけです。チェーンのいずれかの段階でリクエストがブロックされると、Cloudflare はその先を評価しません。
デフォルトでは、Cloudflare はファイアウォールルールを リスト順 で評価します。ルールは、ファイアウォールルール一覧に表示される順に評価されます。ルール数が少ないときはリスト順が便利で、ドラッグアンドドロップで順番を変えられます。ただしルールが増えると、リスト順での管理は難しくなります。そこで優先度順を使います。
優先度順 を有効にすると、Cloudflare はファイアウォールルールを 優先度番号 の小さいものから評価します。同じ優先度の 2 つのルールにリクエストが一致した場合は、アクションの優先順位で決着します。この場合、優先順位が最も高いルールのアクションだけが実行されます。ただし、そのアクションが Log または Bypass の場合は除きます（詳細は ファイアウォールルールのアクション を参照してください）。優先度順は、ファイアウォールルールが多いときの管理に向いています。ルール数が 200 を超えると、Cloudflare は優先度順を必須にします。
ファイアウォールルールが比較的少ない（200 以下の）ユーザーでは、リスト順がデフォルトで有効です。リスト順が有効なとき、ルール一覧では次のようにファイアウォールルールをドラッグアンドドロップできます。
アクティブでないルールを含め、合計が 200 を超えると、優先度順で評価を管理する必要があります。このしきい値を超えると、ファイアウォールルールの画面は自動で優先度順に切り替わります。
アクティブおよび非アクティブのファイアウォールルールが 200 を超えると優先度順は自動で有効になりますが、ルール一覧からいつでも手動で有効にできます。
Cloudflare Firewall Rules はデフォルトの優先度を付けません。すべてのルールに優先度を設定する必要もありません。
優先度順を手動で有効にする手順は次のとおりです。
- ルール一覧の上で Ordering を選びます。
- Priority Numbers を選びます。
優先度順が有効になると、各ファイアウォールルールに優先度番号を設定できます。
ファイアウォールルールの優先度番号を設定する手順は次のとおりです。
-
ルール一覧で対象のルールを探し、Edit（レンチアイコン）を選びます。
-
Edit firewall rule パネルの Priority に、正の整数を入力します。
-
Save を選びます。
ルール一覧の Priority 列に、各ルールの優先度が表示されます。
Cloudflare は、優先度順を柔軟に使えるよう設計しています。この柔軟性は、Cloudflare API から大規模なルールセットをプログラムで管理するときに特に役立ちます。Update firewall rules コマンドで priority プロパティを設定します。詳細は Cloudflare API: Firewall rules を参照してください。
優先度の番号付けは任意ですが、次の点を押さえてください。
-
評価は優先度番号の小さいものから 大きいものへ進みます。
-
優先度番号のないルールは最後に評価 され、アクションの優先順位に従います。たとえば Log アクションのルールは、Block アクションのルールより先に評価されます。アクションの優先順位の詳細は ファイアウォールルールのアクション を参照してください。
-
優先度に数字
1は使わない と、あとから順序を変えやすくなります。 -
優先度番号の範囲をカテゴリに分ける と、デプロイの意味が分かりやすくなります。例は次のとおりです。
- 5000-9999: 信頼できる IP アドレス
- 10000-19999: 不正なクローラー向けのブロックルール
- 20000-29999: 不正利用ユーザー / スパム向けのブロックルール