Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

はじめに

最終更新 Markdown で表示Agent セットアップ

構成の範囲を決める

Magic Transit はセルフサーブ製品ではありません。まず チームに相談 ↗し、要件と導入スケジュールを確認してください。この評価で Cloudflare は、プレフィックス数や、ネットワーク上で Magic Transit を導入するために必要な手順をどれだけ早く進められるかなど、具体的な要件を確認します。

IP

Magic Transit を使うには、最小サイズ /24 の、公開ルート可能な IP アドレスブロックを所有している必要があります。/24 のアドレスブロックを所有していない場合は、Cloudflare 所有の IP アドレスで Magic Transit を使えます。/24 のプレフィックス長要件を満たさない場合や、より小さなネットワークを保護したい場合に役立ちます。

ネットワークを Cloudflare の IP アドレスで保護するには、アカウントマネージャーに連絡してください。IP アドレスを受け取ったあとは、次を行います。

Cloudflare 所有の IP 空間を使う場合、委任状（Letter of Agency、LOA） は不要です。Cloudflare からリースした IP を使うと、Cloudflare は Magic Transit Egress を自動で有効にします。エグレストラフィックはインターネットではなく Cloudflare へ送られます。戻りトラフィックが正しくルーティングされるように、自身の環境でポリシーベースルーティングを設定してください。

ルーターの互換性を確認する

Magic Transit は anycast トンネルを使い、Cloudflare のグローバルネットワークからオリジンネットワークへ パケット を送ります。

トンネルエンドポイントのルーターは、Magic Transit との互換性のために次の要件を満たす必要があります。

  • GRE トンネルに対応していること（GRE が使えない場合は IPsec）。
  • インターネットサービスプロバイダー（ISP）ごとに、少なくとも 1 本のトンネルに対応していること。
  • 最大セグメントサイズ（MSS） クランプに対応していること。
  • 非対称トラフィックフローに対応していること（受信専用の Magic Transit の場合）。

Letter of Agency を作成する

広告したいプレフィックスを明記し、Cloudflare によるアナウンスを許可する Letter of Agency（LOA） を作成します。トランジットプロバイダーは、Cloudflare がお客様に代わって広報する経路を受け入れるために LOA を求めます。

インターネットサービスプロバイダー（ISP）であり、顧客に代わって プレフィックス を広告する場合は、ISP 用と顧客用の両方の LOA が必要です。

Cloudflare の IP アドレス を使う場合は、LOA の提出は不要です。

Letter of Agency の例

Letter of Agency（LOA）のテンプレートtxt
[COMPANY LETTERHEAD]

LETTER OF AGENCY ("LOA")

[DATE]


To whom it may concern:

[COMPANY NAME] (the "Company") authorizes Cloudflare, Inc. with AS13335 to advertise the following IP address blocks / originating ASNs:

- - - - - - - - - - - - - - - - - - -
[Subnet & Originating ASN]
[Subnet & Originating ASN]
[Subnet & Originating ASN]
- - - - - - - - - - - - - - - - - - -

As a representative of the Company that is the owner of the aforementioned IP address blocks / originating ASNs, I hereby declare that I am authorized to sign this LOA on the Company’s behalf.

Should you have any questions please email me at [E-MAIL ADDRESS], or call: [TELEPHONE NUMBER]

Regards,


[SIGNATURE]


[NAME TYPED]
[TITLE]
[COMPANY NAME]
[COMPANY ADDRESS]
[COMPANY STAMP]

IRR エントリを確認する

Internet Routing Registry（IRR）のエントリが、対応するオリジンの自律システム番号（ASN）と一致することを確認します。Magic Transit が正しい自律システム（AS）へトラフィックをルーティングするために必要です。手順は IRR エントリの確認 を参照してください。

Cloudflare IP を使う場合は、IRR エントリの確認は不要です。

任意: プレフィックス検証のための RPKI チェック

プレフィックスの検証には、追加の選択肢として Resource Public Key Infrastructure（RPKI）も使えます。RPKI は、経路を自律システムに結びつける セキュリティの枠組み ↗ です。ルーターへ情報が渡る前に、暗号で検証します。

ネットワークを運用している場合（ISP、クラウドプロバイダー、エンタープライズなど）、RPKI を使うとルーターが自社の IP プレフィックスを正しく認識します。サービス停止を防ぎ、ブランドの評判も守れます。RPKI がないと、攻撃者が自社の IP 空間をアナウンスし、トラフィックを誤誘導し、事業に被害を与える可能性があります。

プレフィックスの確認には Cloudflare の RPKI Portal ↗ を使えます。

最大セグメントサイズを設定する

Magic Transit を有効にする前に、ネットワークで最大セグメントサイズを設定してください。Cloudflare の Magic Transit はトンネルを使い、グローバルネットワークからデータセンターへ パケット ↗ を届けます。Cloudflare はこれらのパケットをカプセル化し、新しいヘッダーを追加します。ネットワークの最大伝送単位（MTU）と最大セグメントサイズ（MSS）を設定するときは、このヘッダーが占める領域を考慮してください。

MSS クランプの推奨値

オフランプとしての GRE トンネル

MSS の値は、ネットワークの構成によって変わります。

  • Magic Transit の受信専用トラフィック（DSR）:

    • エッジルーターのトランジットポート: TCP MSS クランプを最大 1,436 バイトに設定します。
    • Magic Transit プレフィックス上の、第三者との IPsec/GRE トンネル: 内部トンネルインターフェイス（多くの場合、GRE 終端ルーターの背後にある別のファイアウォール）に MSS クランプを適用し、現在の値から 24 バイト減らします。

  • Magic Transit の受信 + 送信トラフィック:

    • Magic Transit GRE トンネルの内部インターフェイス: Magic Transit の送信トラフィックが通る側です。トンネル設定後に機器が自動で行う場合もありますが、機器によります。TCP MSS クランプを最大 1,436 バイトに設定します。
    • Magic Transit プレフィックス上の、第三者との IPsec/GRE トンネル: 内部トンネルインターフェイス（多くの場合、GRE 終端ルーターの背後にある別のファイアウォール）で、現在の値から 24 バイト減らします。

IPsec トンネル

IPsec トンネルでは、指定する値はネットワークの構成によって異なります。物理インターフェースが見るのは TCP パケットではなく、IPsec で暗号化された パケット ↗ です。MSS クランプはそのパケットには適用されないため、GRE トンネルより低い値になります。

  • Magic Transit のイングレス専用トラフィック（DSR）:

    • エッジルーターのトランジットポート: TCP MSS クランプを最大 1,436 バイトに設定します。
    • Magic Transit プレフィックス上の第三者向け IPsec/GRE トンネル: 内部トンネルインターフェース（多くの場合、GRE を終端するルーターの背後にある別ファイアウォール）で、現在の値を 140 バイト減らします。

  • Magic Transit のイングレス + エグレストラフィック:

    • エッジルーター: Magic Transit の IPsec トンネル内部インターフェース（Magic Transit のエグレストラフィックが通過する箇所）に適用します。トンネル設定後に自動で行われる機器もありますが、機器次第です。TCP MSS クランプを最大 1,360 バイトに設定します。
    • Magic Transit プレフィックス上の第三者向け IPsec/GRE トンネル: 内部トンネルインターフェース（多くの場合、拠点で IPsec を終端する機器の背後にある別ファイアウォール）で、現在の値を 140 バイト減らします。

詳細は 最大伝送ユニットと最大セグメントサイズ を参照してください。

Don't Fragment（DF）ビットをクリアする

物理インターフェイスの MSS を 1500 バイト未満に設定できない場合は、IP ヘッダーの do not fragment ビットをクリアできます。このオプションを有効にすると、Cloudflare は 1500 バイトを超える パケット ↗ をフラグメントし、デカプセル化後にお客様のインフラで再組み立てされます。ほとんどの環境では、このオプションを有効にしてもトラフィックスループットへの影響は大きくありません。

このオプションをネットワークで有効にするには、アカウントチームに連絡してください。

詳細は 最大伝送ユニットと最大セグメントサイズ を参照してください。

ルーターベンダーのガイドラインに従う

MSS クランプを適用して MSS を調整する手順は、ルーターのベンダーによって異なります。

次の表は、よく使われるルーターベンダーと、MSS クランプの手順へのリンクです。

ルーター機器 URL
Cisco TCP IP Adjust MSS ↗
Juniper TCP MSS - Edit System ↗

Magic Transit のプレフィックス広告制御に BGP を使う（任意）

プレフィックス広告制御に BGP を使う 場合は、BGP ピアリングに使う顧客構内設備（CPE）の IP と ASN をアカウントチームに伝えてください。Cloudflare が Route Reflector に追加するまで、およそ 5 営業日を見込んでください。

役に立ちましたか？