ネットワークセキュリティチームは従来、公開ネットワークの境界に各種ネットワークファイアウォールやセキュリティアプライアンスを置き、DDoS 攻撃、マルウェア、ランサムウェア、フィッシング、機密情報の漏洩といった外部・内部の脅威から守ってきました。しかし、こうしたファイアウォールやセキュリティアプライアンスは高価で、設定と運用が複雑であり、大規模攻撃に耐えるスケールが難しく、新たに見つかった脅威や脆弱性へ迅速にアップグレードやパッチを適用する柔軟性にも欠けます。
Cloudflare Magic Transit、Cloudflare Network Firewall、Cloudflare Gateway は、Cloudflare の大規模なグローバルネットワーク ↗ 上でネイティブに動作し、上記の課題を解消します。これらのサービスは、導入場所がオンプレミス、クラウド、その組み合わせ（ハイブリッドアーキテクチャ）のいずれであっても、性能を落とさずに、インターネット向けネットワーク全体へインラインで自動的かつスケーラブルなネットワーク保護を提供します。
- Magic Transit ↗ は、公開のインターネット向けネットワークに対するネットワーク層 DDoS 攻撃を、即座に検知して緩和します。
- Cloudflare Network Firewall はクラウドネイティブのネットワークファイアウォールサービスです。Magic Transit で保護するネットワークの送受信トラフィックをフィルタできます。Intrusion Detection（IDS）や パケットキャプチャ などの機能にも対応します。
- Gateway ↗ はセキュア Web ゲートウェイ（SWG）サービスです。ネットワークからインターネットへ向かうトラフィックを Cloudflare のグローバルネットワークでプロキシし、DNS、ネットワーク、HTTP ベースの ポリシー を適用して検査・制御します。
Magic Transit、Cloudflare Network Firewall、Gateway の詳細な動作と、各種ユースケース向けのアーキテクチャは、このドキュメント末尾の関連リソースに記載しています。このドキュメントでは、Cloudflare Magic Transit、Cloudflare Network Firewall、Cloudflare Gateway を使って、公開のインターネット向けネットワークインフラを保護するリファレンスアーキテクチャに絞って説明します。
アーキテクチャと動作を示すため、次の図では、公開ネットワークを持つ架空の企業を例にします。これらのネットワークは、オンプレミスと複数のパブリッククラウドを含む 5 か所に導入されています。
AWS VPC: 192.0.2.0/24
GCP VPC: 198.51.100.0/24
Azure vNet: 203.0.113.0/26
On-premises data center 1: 203.0.113.64/26
On-premises data center 2: 203.0.113.128/25次のリファレンスアーキテクチャ図は、Cloudflare Magic Transit と Cloudflare Network Firewall を使い、インターネットから届く受信トラフィックから公開ネットワークを保護する方法を示します。
注: この画像のラベルは、以前の製品名を反映している場合があります。
-
Border Gateway Protocol（BGP ↗）と IP anycast ↗ を使い、Cloudflare は顧客の保護対象 IP プレフィックスを、世界中の Cloudflare データセンターからインターネットへ広告します。これらの保護対象 IP プレフィックス宛てのインターネットトラフィックは、常に発生源に最も近い Cloudflare データセンターへルーティングされます。
同時に、オンプレミスネットワークとクラウドプロバイダーネットワークは、それぞれの境界ルーターから同一プレフィックスの広告を止めます。これにより、Magic Transit で保護する IP プレフィックス宛てのインターネットトラフィックは、すべて Cloudflare ネットワーク経由になります。
代わりに、境界ルーターからより広い（less-specific）IP プレフィックスをインターネットへ広告することもできます。こうしておくと、ごくまれに Magic Transit に障害が起きた場合でも、トラフィックをインターネットから各ネットワーク拠点へすばやく直接戻せます。
-
インターネットから保護対象 IP プレフィックス宛てに発生したトラフィックは、世界中の Cloudflare ネットワークへ取り込まれます。
-
すべての DDoS 攻撃トラフィックは、高度で自動化された DDoS 緩和 技術により、各 Cloudflare データセンターでインラインに緩和されます。
-
DDoS 緩和を通過したトラフィックは、付属の Cloudflare Network Firewall で追加のネットワークファイアウォールフィルタリングを受けます。
-
クリーンでフィルタ済みのトラフィックは、プライベートな Cloudflare Network Interconnect（CNI）接続、または GRE や IPsec トンネルを使ったパブリックインターネット経由で、保護対象ネットワークへルーティングされます。Magic Transit の IP トンネルの詳細は、Magic Transit のトンネルとカプセル化 を参照してください。
-
サーバー返送トラフィックは、Magic Transit Egress を使い、Cloudflare ネットワーク経由でインターネットへ戻ります。受信トラフィックが通ったのと同じ CNI または GRE / IPsec トンネル経由で、各拠点のポリシーベースルーティング（PBR）などの手法により、Cloudflare ネットワークへルーティングできます。
-
Magic Transit Egress のトラフィックは、ユーザーへ向かうインターネットへ送出される前に、Cloudflare Network Firewall のフィルタリングを受けます。
次のリファレンスアーキテクチャ図は、Cloudflare のサービス（Magic Transit（Egress）、Cloudflare Network Firewall、Cloudflare Gateway）を使い、公開ネットワークから発生する送信インターネットトラフィックを保護する方法を示します。
注: この画像のラベルは、以前の製品名を反映している場合があります。
- 各拠点のネットワークは、公開ネットワークから発生する送信インターネットトラフィックを、受信トラフィックが通るのと同じ CNI および IP トンネル経由で Cloudflare へルーティングします。これは各拠点で、ポリシーベースルーティング（PBR）など任意のルーティング手法で行えます。
- Cloudflare ネットワークに入ると、送信インターネットトラフィックはまず Cloudflare Network Firewall を通り、設定済みのネットワークファイアウォールポリシーが適用されます。
- 続いて送信インターネットトラフィックは Cloudflare Gateway（セキュア Web ゲートウェイサービス）へ送られます。各種 ポリシー により、送信トラフィックへ包括的なセキュリティと制御を適用し、ネットワークを保護します。
- 検査を通過すると、Gateway は送信トラフィックをインターネット上の宛先へプロキシします。送信トラフィックの送信元 IP アドレスは、Gateway サービスに紐づく Cloudflare 所有の IP アドレスです。
- インターネットからの返送トラフィックは、Gateway サービスに紐づく Cloudflare の IP アドレス宛てとなり、Cloudflare のグローバルネットワークへルーティングされます。
- トラフィックは Gateway ポリシーに対して検査されます。
- Gateway 検査を通過した返送トラフィックは、追加のパケットフィルタリングがあれば Cloudflare Network Firewall へルーティングされます。
- Cloudflare Network Firewall のフィルタリングを通過した返送トラフィックは、CNI またはインターネット上の IP トンネル経由で、Cloudflare から各ネットワーク拠点へルーティングされます。