Cloudflare の DDoS 保護 は、Autonomous Edge を使って DDoS 攻撃を自動で検知し、緩和します。Magic Transit のお客様は、常時オンのマネージドルールセットから、トラフィックの傾向に合わせて設定できる高度なシステムまで、複数層の保護を利用できます。
ネットワーク層 DDoS マネージドルールセット は、L3/L4 の DDoS 攻撃を検知して緩和する、事前設定済みのルールを提供します。このルールセットは常に有効で、オフにはできません。Magic Transit と Spectrum Enterprise のお客様は、個別のルールまたはルールグループごとにアクションと感度レベルを調整して、ルールセットの動作をカスタマイズ できます。
Advanced TCP Protection は、SYN フラッド攻撃と状態外の TCP 攻撃を検知して緩和します。flowtrackd を使い、通常の TCP トラフィックパターンを学習して異常なフローを特定します。ルールはグローバル、リージョン、データセンター単位でスコープでき、各ルールを監視モードまたは緩和モードに設定できます。
Advanced DNS Protection は、DNS-over-UDP の DDoS 攻撃を検知して緩和します。Advanced TCP Protection と同様に、flowtrackd でトラフィックプロファイルを構築し、ボリューム型の DNS 異常を特定します。バースト、レート、プロファイルの感度レベルを設定できるルールを作成できます。
Programmable Flow Protection では、カスタムの eBPF プログラムを書いて、パケットレベルで UDP ペイロードを検査できます。ゲーム、VoIP、金融サービス、ストリーミングなど、独自または標準化された L7 UDP ベースのプロトコル向けです。Programmable Flow Protection は、Magic Transit のお客様向けのアドオンとして利用できます。
Cloudflare Network Firewall では、プロトコル、ポート、IP アドレス、パケット長などの属性でトラフィックをフィルタする、パケットレベルのカスタムファイアウォールルールを作成できます。Network Firewall は Magic Transit に含まれます。
最初の監視期間のあと、Network Analytics でトラフィックを確認し、緩和されていた内容を把握してから、ルールを監視モードから緩和モードに切り替えてください。詳細は、Advanced DDoS Systems の一般設定 を参照してください。
トラフィックが Cloudflare ネットワークに入ると、次の順で緩和システムを通過します。
Programmable Flow Protection は、UDP ベースのプロトコル向けに、Advanced DDoS Protection レイヤー内で動作します。
- DDoS 保護を確認する: DDoS 緩和レイヤーが有効で、正しく設定されていることを確認します。
- DDoS Protection の概要: すべての製品にわたる Cloudflare DDoS Protection について説明します。
- DDoS 保護のベストプラクティス: 予防的な防御の推奨事項を確認します。Magic Transit 固有の手順も含みます。