Magic Transit On Demand を使うと、通常運用時は Magic Transit を無効にしておき、DDoS 保護が必要なときだけ有効にできます。Network Flow は、Magic Transit がオフのあいだトラフィックを監視し、攻撃を検知します。攻撃を検知したら、Magic Transit を自動または手動で有効にできます。
特定の IP プレフィックス への DDoS 攻撃を監視する Network Flow ルールを作成できます。攻撃を検知すると、Cloudflare はメール、webhook、または PagerDuty で通知します。
ルールで 自動アドバタイズ を有効にすると、対象プレフィックスを保護するために Magic Transit が自動で有効になります。個々の Network Flow ルールの自動アドバタイズは、ダッシュボードまたは API で有効にできます。
Magic Transit が有効になり、トラフィックが Cloudflare を経由すると、Cloudflare は悪意のある DDoS トラフィックをブロックします。オリジンサーバーには、IPsec または GRE トンネル経由でクリーンなトラフィックだけが届きます。
この流れは、次の図で確認できます。
ルールが Magic Transit を自動で有効にするには、対象プレフィックスの IP アドバタイズを先に有効にする必要があります。ダッシュボードまたは API で設定できます。
Cloudflare ダッシュボードで IP アドバタイズを有効にする手順は、動的アドバタイズを設定する を参照してください。
API で IP アドバタイズを有効にする手順は、IP Address Management Dynamic Advertisement API を参照してください。
自動アドバタイズ付きの Network Flow ルールを作成する手順は、ルールの自動アドバタイズ を参照してください。