Magic Transit On Demand では、通常運用時は Magic Transit を無効にしておき、DDoS 保護が必要なときだけ有効にできます。Network Flow は Magic Transit がオフのあいだトラフィックを監視し、攻撃を検出します。攻撃を検出したら、Magic Transit を自動または手動で有効にできます。
特定の IP プレフィックス を DDoS 攻撃から監視する Network Flow ルールを作成できます。攻撃を検出すると、Cloudflare はメール、webhook、または PagerDuty で通知します。
ルールで 自動広告 を有効にすると、対象プレフィックスを守るために Magic Transit が自動で有効になります。個々の Network Flow ルールの自動広告は、ダッシュボードまたは API から有効にできます。
Magic Transit が有効になり、トラフィックが Cloudflare を通ると、Cloudflare は悪意のある DDoS トラフィックを遮断します。オリジンサーバーには、IPsec または GRE トンネル経由でクリーンなトラフィックだけが届きます。
この流れは、次の図のとおりです。
ルールが Magic Transit を自動で有効にするには、対象プレフィックスの IP 広告を先に有効にする必要があります。ダッシュボードまたは API から設定できます。
Cloudflare ダッシュボードで IP 広告を有効にする手順は、動的広告を設定する を参照してください。
API で IP 広告を有効にする手順は、IP Address Management Dynamic Advertisement API を参照してください。
自動広告付きの Network Flow ルールを作成する手順は、ルールの自動広告 を参照してください。