インターネットサービスプロバイダー（ISP）と通信事業者（T-Mobile や British Telecom など）は、ネットワーク層の DDoS 攻撃にさらされます。攻撃は多くの場合、エンド顧客を狙います。たとえば、ブロードバンド ISP 経由でインターネットに接続している企業やリモートワーカーへの攻撃です。これまでサービスプロバイダーは、こうした顧客を守るために、自前のオンプレミス緩和システムを置いてきました。この方式では、絶えず変わる攻撃に対抗するための投資が大きく、攻撃規模の増大に対して容量は有限です。
Cloudflare は公開ウェブサイトと API を守る DDoS 緩和でよく知られています。同じ技術はネットワーク全体の保護にも使えます。Cloudflare では、超大容量 ↗ かつ高度に洗練された攻撃が急増していることを確認しています。四半期ごとの DDoS 攻撃レポート ↗ でも取り上げています。こうした攻撃は規模が大きいため、オンプレミスの DDoS 緩和システムを圧倒し、すり抜けます。その結果、オンプレミス緩和システムは、より大きな攻撃に追いつくための継続的な保守とアップグレードが必要になり、投資が続き、予測できない攻撃規模に対してコストも上限が見えません。
Cloudflare Magic Transit は、クラウドベースのネットワーク DDoS 緩和をサービスとして提供します。サービスプロバイダーは Cloudflare Magic Transit on-demand を、既存構成の補完または置き換えとして使い、変化する脅威からネットワークインフラを守っています。
このソリューションの導入は、大きく 2 つのステップです。まず、Cloudflare がネットワーク上の DDoS 攻撃を 監視 ↗ して検知できるようにします。次に、DDoS イベントを観測したら、トラフィックを Cloudflare 経由に振り直し、そこで DDoS 緩和を行います。
注: この画像のラベルは、以前の製品名を反映している場合があります。
最初のステップは、サービスプロバイダーのネットワークに対する攻撃の可視化です。上の図は次を示します。
- 保護対象のネットワークを Cloudflare に知らせます。サービスプロバイダーは保護したいプレフィックス（例: 203.0.113.0/24）を特定し、これらのプレフィックスを Cloudflare Magic Transit へオンボードする一度きりの作業を始めます。このステップは前提条件であり、実際のネットワークトラフィックフローには影響しません。Cloudflare は、サービスプロバイダーがインターネットへ広報しているプレフィックスより、より具体的なプレフィックスをオンボードすることを推奨します。この例では、保護対象として 203.0.113.0/24 を Cloudflare にオンボードした場合、112.0/24 と 113.0/24 の両方を含む、より広い 203.0.112.0/23 を上流 ISP へ広報できます。
- サービスプロバイダーのネットワーク機器は、すべてのトラフィックフローデータ（Netflow、IPFIX、または sFlow）を Network Flow（旧 Magic Network Monitoring）へ送ります。Cloudflare はこのフローデータを分析し、DDoS 攻撃を検知します。
- 可能な場合、相互接続拠点 ↗ で冗長な Cloudflare Network Interconnect（CNI）を設定して Cloudflare ネットワークへ接続することを推奨します。これにより、ルーティングされるユーザートラフィックの最大転送単位（MTU）1500 バイトを守れます。または、インターネット上の Generic Routing Encapsulation（GRE）トンネル で Cloudflare ネットワークへ接続できます。
- 平時は、ISP ネットワークと上流のトランジットおよびピアネットワークのあいだで、Cloudflare ネットワークを経由せず、通常どおりトラフィックが流れます。
注: この画像のラベルは、以前の製品名を反映している場合があります。
上の図は、Cloudflare がサービスプロバイダーのトラフィックを監視し、ボリューム型 DDoS 攻撃の可能性を検知すると、保護対象のうち最も具体的なプレフィックスを Cloudflare のグローバルネットワークからインターネットへ自動広報する様子を示します。これにより、この保護プレフィックス宛のトラフィックはすべて Cloudflare ネットワーク経由に振り直され、悪意のあるトラフィックが緩和されます。
- ボリューム型 DDoS 攻撃の可能性を検知すると、Cloudflare は自動でアラートを生成します。サービスプロバイダーはメールや webhook でアラート通知を受け取れます。加えて、サービスプロバイダーが設定した Magic Transit の構成に従い、アラートが Cloudflare ネットワークからインターネットへの プレフィックスの自動広報 を起動できます。
- Cloudflare は、すべての Cloudflare 拠点から保護プレフィックスを広報します。Cloudflare がより具体的なプレフィックスを広報するため、攻撃対象プレフィックス宛のトラフィックだけが Cloudflare ネットワーク経由に振り直されます。
- Cloudflare のネットワークは攻撃トラフィックを緩和し、正当なトラフィックはサービスプロバイダーのネットワークへ通します。サービスプロバイダーは、Cloudflare Network Interconnect（CNI）を使う場合、MTU 1500 バイトの元のパケットを受け取ります。
- 保護プレフィックスの送信トラフィックと、ほかのプレフィックスのトラフィックは影響を受けず、サービスプロバイダーの上流リンク経由でインターネットへルーティングされ続けます。
- 信頼できるネットワークとのプライベートピアリングは影響を受けません。これらのコンテンツプロバイダー（Facebook、Netflix、YouTube など）からのトラフィックは、Cloudflare 経由に振り直されません。