Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

はじめに

最終更新 Markdown で表示Agent セットアップ

Magic Transit を使い始める前に、次のオンボーディング手順を完了してください。攻撃を受けている場合、Cloudflare はこのスケジュールを大幅に短縮できます。

構成の範囲を決める

Magic Transit はセルフサーブ製品ではありません。まず チームに相談 ↗し、要件と導入スケジュールを確認してください。この評価で Cloudflare は、プレフィックス数や、ネットワーク上で Magic Transit を導入するために必要な手順をどれだけ早く進められるかなど、具体的な要件を確認します。

IP

Magic Transit を使うには、最小サイズが /24 の、公開ルーティング可能な IP アドレスブロックを所有している必要があります。/24 のアドレスブロックを所有していない場合は、Cloudflare 所有の IP アドレスで Magic Transit を使えます。/24 のプレフィックス長要件を満たさない場合や、より小さなネットワークを保護したい場合に便利です。

Cloudflare の IP アドレスでネットワークを保護するには、アカウントマネージャーに連絡してください。IP アドレスを受け取ったあとは、次を行います。

Cloudflare 所有の IP 空間を使う場合、Letter of Agency（LOA） は不要です。Cloudflare からリースした IP を使う場合、Cloudflare は自動で Magic Transit Egress を有効にし、送信トラフィックをインターネットではなく Cloudflare へルーティングします。戻りトラフィックが正しくルーティングされるよう、自社側でポリシーベースルーティングを設定してください。

ルーターの互換性を確認する

Magic Transit は anycast トンネルを使い、Cloudflare のグローバルネットワークからオリジンネットワークへ パケット を送ります。

トンネルエンドポイントのルーターは、Magic Transit との互換性のために次の要件を満たす必要があります。

  • GRE トンネルに対応していること（GRE が使えない場合は IPsec）。
  • インターネットサービスプロバイダー（ISP）ごとに、少なくとも 1 本のトンネルに対応していること。
  • 最大セグメントサイズ（MSS） クランプに対応していること。
  • 非対称トラフィックフローに対応していること（受信専用の Magic Transit の場合）。

Letter of Agency を作成する

広告したいプレフィックスを明記し、Cloudflare によるアナウンスを許可する Letter of Agency（LOA） を作成します。トランジットプロバイダーは、Cloudflare がお客様に代わって広報する経路を受け入れるために LOA を求めます。

インターネットサービスプロバイダー（ISP）であり、顧客に代わって プレフィックス を広告する場合は、ISP 用と顧客用の両方の LOA が必要です。

Cloudflare の IP アドレス を使う場合は、LOA の提出は不要です。

Letter of Agency の例

Letter of Agency のテンプレートtxt
[COMPANY LETTERHEAD]

LETTER OF AGENCY ("LOA")

[DATE]


To whom it may concern:

[COMPANY NAME] (the "Company") authorizes Cloudflare, Inc. with AS13335 to advertise the following IP address blocks / originating ASNs:

- - - - - - - - - - - - - - - - - - -
[Subnet & Originating ASN]
[Subnet & Originating ASN]
[Subnet & Originating ASN]
- - - - - - - - - - - - - - - - - - -

As a representative of the Company that is the owner of the aforementioned IP address blocks / originating ASNs, I hereby declare that I am authorized to sign this LOA on the Company’s behalf.

Should you have any questions please email me at [E-MAIL ADDRESS], or call: [TELEPHONE NUMBER]

Regards,


[SIGNATURE]


[NAME TYPED]
[TITLE]
[COMPANY NAME]
[COMPANY ADDRESS]
[COMPANY STAMP]

IRR エントリを確認する

Internet Routing Registry（IRR）のエントリが、対応するオリジンの自律システム番号（ASN）と一致することを確認します。Magic Transit が正しい自律システム（AS）へトラフィックをルーティングするために必要です。手順は IRR エントリの確認 を参照してください。

Cloudflare IP を使う場合は、IRR エントリの確認は不要です。

任意: プレフィックス検証のための RPKI チェック

プレフィックスの検証には、追加の選択肢として Resource Public Key Infrastructure（RPKI）も使えます。RPKI は、経路を自律システムに結びつける セキュリティの枠組み ↗ です。ルーターへ情報が渡る前に、暗号で検証します。

ネットワークを運用している場合（ISP、クラウドプロバイダー、エンタープライズなど）、RPKI を使うとルーターが自社の IP プレフィックスを正しく認識します。サービス停止を防ぎ、ブランドの評判も守れます。RPKI がないと、攻撃者が自社の IP 空間をアナウンスし、トラフィックを誤誘導し、事業に被害を与える可能性があります。

プレフィックスの確認には Cloudflare の RPKI Portal ↗ を使えます。

最大セグメントサイズを設定する

Magic Transit を有効にする前に、ネットワークで最大セグメントサイズを設定してください。Cloudflare Magic Transit はトンネルを使い、グローバルネットワークからデータセンターへ パケット ↗ を届けます。Cloudflare はこれらのパケットをカプセル化し、新しいヘッダーを追加します。ネットワークの最大伝送単位（MTU）と最大セグメントサイズ（MSS）を設定するときは、このヘッダーが占める領域を考慮してください。

MSS クランプの推奨値

オフランプとしての GRE トンネル

MSS の値は、ネットワークの構成によって変わります。

  • Magic Transit の受信専用トラフィック（DSR）:

    • エッジルーターのトランジットポート: TCP MSS クランプを最大 1,436 バイトに設定します。
    • Magic Transit プレフィックス上の、第三者との IPsec/GRE トンネル: 内部トンネルインターフェイス（多くの場合、GRE 終端ルーターの背後にある別のファイアウォール）に MSS クランプを適用し、現在の値から 24 バイト減らします。

  • Magic Transit の受信 + 送信トラフィック:

    • Magic Transit GRE トンネルの内部インターフェイス: Magic Transit の送信トラフィックが通る側です。トンネル設定後に機器が自動で行う場合もありますが、機器によります。TCP MSS クランプを最大 1,436 バイトに設定します。
    • Magic Transit プレフィックス上の、第三者との IPsec/GRE トンネル: 内部トンネルインターフェイス（多くの場合、GRE 終端ルーターの背後にある別のファイアウォール）で、現在の値から 24 バイト減らします。

IPsec トンネル

IPsec トンネルでは、指定する値はネットワークの構成によって変わります。物理インターフェイスが見るのは IPsec で暗号化された パケット ↗ であり TCP パケットではないため、MSS クランプはそれらに適用されません。そのため GRE トンネルより低い値になります。

  • Magic Transit の受信専用トラフィック（DSR）:

    • エッジルーターのトランジットポート: TCP MSS クランプを最大 1,436 バイトに設定します。
    • Magic Transit プレフィックス上の、第三者との IPsec/GRE トンネル: 内部トンネルインターフェイス（多くの場合、GRE 終端ルーターの背後にある別のファイアウォール）で、現在の値から 140 バイト減らします。

  • Magic Transit の受信 + 送信トラフィック:

    • エッジルーター上: Magic Transit の IPsec トンネル内部インターフェイス（送信トラフィックが通る側）に適用します。トンネル設定後に機器が自動で行う場合もありますが、機器によります。TCP MSS クランプを最大 1,360 バイトに設定します。
    • Magic Transit プレフィックス上の、第三者との IPsec/GRE トンネル: 内部トンネルインターフェイス（多くの場合、構内の IPsec 終端機器の背後にある別のファイアウォール）で、現在の値から 140 バイト減らします。

詳細は 最大伝送単位と最大セグメントサイズ を参照してください。

Don't Fragment（DF）ビットをクリアする

物理インターフェイスの MSS を 1500 バイト未満に設定できない場合は、IP ヘッダーの do not fragment ビットをクリアできます。このオプションを有効にすると、Cloudflare は 1500 バイトを超える パケット ↗ をフラグメントし、デカプセル化後にお客様のインフラで再組み立てされます。ほとんどの環境では、このオプションを有効にしてもトラフィックスループットへの影響は大きくありません。

このオプションをネットワークで有効にするには、アカウントチームに連絡してください。

詳細は 最大伝送単位と最大セグメントサイズ を参照してください。

ルーターベンダーのガイドラインに従う

MSS クランプの適用手順は、ルーターのベンダーによって異なります。

次の表は、よく使われるルーターベンダーと、MSS クランプの手順へのリンクです。

ルーター機器 URL
Cisco TCP IP Adjust MSS ↗
Juniper TCP MSS - Edit System ↗

トンネルを設定する

Cloudflare 側とルーター側の両方で トンネルを設定 し、オリジンインフラへ接続します。

静的ルートまたは BGP ピアリング（ベータ）を設定する

静的ルート または BGP ピアリング を設定し、Cloudflare のグローバルネットワークから各拠点へトラフィックをルーティングします。

事前チェックを実行する

トンネルとルートを設定したあと、Cloudflare は次を検証します。

  • トンネルの接続性
  • トンネルとエンドポイントの ヘルスチェック
  • Letter of Agency（LOA）
  • Internet Routing Registry（IRR）
  • 最大セグメントサイズ（MSS）の設定

Cloudflare はグローバルネットワークへ設定を適用します。展開にはおおよそ 1 日かかります。

事前チェックが完了すると、Cloudflare は プレフィックス のロックを解除します。希望するタイミングで ダッシュボード、API、または BGP から広告 できます。プレフィックス広告の詳細は 動的広告のベストプラクティス を参照してください。

Cloudflare IP を使う場合は、プレフィックスの広告は不要です。

次のステップ

プレフィックスを広告したあと、DDoS 保護の設定を行います。

  1. ネットワーク層 DDoS マネージドルールセット を含め、DDoS 保護 の設定を確認してカスタマイズします。
  2. ネットワークが TCP トラフィックを扱う場合は Advanced TCP Protection を有効にします。ネットワークが UDP 上の DNS トラフィックを受け取る場合は Advanced DNS Protection を有効にします。これらのシステムは、マネージドルールセットを超えるステートフルな分析を提供します。

役に立ちましたか？