CDN と Spectrum で BYOIP を使う

サービスバインディング を使うと、BYOIP を使っている CDN¹ のお客様は、Cloudflare にオンボーディング済みの同じプレフィックスを、IP アドレス単位で選択的に Spectrum² へルーティングできます。逆方向も同様です。つまり、次ができます。

• CDN プレフィックス内の個別 IP を Spectrum IP にアップグレードできます。たとえば、CDN プレフィックス 203.0.113.0/24 がある場合、203.0.113.1 を Spectrum にアップグレードできます。

• Spectrum プレフィックス内の個別 IP を CDN IP にアップグレードできます。たとえば、Spectrum プレフィックス 203.0.113.0/24 がある場合、203.0.113.1 を CDN にアップグレードできます。

このガイドでは、1 つ目の例を使い、CDN にオンボーディングしたプレフィックスのうち、一部の IP を Spectrum にアップグレードする流れを説明します。

Cloudflare は、サービスバインディングを 集約した CIDR ブロックで実装することを 強く 推奨します。連続していない CIDR ブロックに個別のバインディングを足すより効率的です。

サービスバインディングを作成（または削除）すると、Cloudflare のグローバルネットワークへ反映されるまで 4〜6 時間 かかります。このあいだ、対象 IP アドレスのサービスは中断される可能性が高いです。

1. Cloudflare アカウントにログインし、アカウント ID と 認証キーまたはトークン を取得します。API トークン を使う場合、権限に Account - IP Prefixes - Edit を含めてください。
2. List Services エンドポイントへ GET リクエストを送り、Spectrum サービスに紐づく id を控えます。
3. List Prefixes エンドポイントを使い、設定するプレフィックス（cidr）に紐づく id を控えます。

4. 現在 CDN のサービスバインディングがあり、プレフィックス全体を覆っていることを確認するには、List Service Bindings エンドポイントへ GET リクエストを送ります。URI パスの {prefix_id} は、前の手順で取得した実際のプレフィックス ID に置き換えます。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

1. Create service binding エンドポイントに POST リクエストを送り、Spectrum にバインドする IP アドレスを指定します。必要に応じて 対応するネットワークマスク を指定します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"cidr": "203.0.113.100/32",
		"service_id": "<SERVICE_ID>"
	}'

{
  "errors": [],
  "messages": [],
  "success": true,
  "result": {
    "cidr": "203.0.113.100/32",
    "id": "<SERVICE_BINDING_ID>",
    "provisioning": {
      "state": "provisioning"
      },
    "service_id": "<SERVICE_ID>",
    "service_name": "<SERVICE_NAME>"
  }
}

サービスバインディングの状態は、List Service Bindings エンドポイントで定期的に確認できます。

伝播時間（4〜6 時間）のあと、List Service Bindings エンドポイントは、そのプレフィックスに含まれるすべてのサービスバインディングを返す必要があります。この例では CDN と Spectrum です。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

すでに CDN で BYOIP を使っている場合は、この手順を飛ばせる場合があります。ただし、このガイドで Spectrum プレフィックスの一部 IP を CDN にアップグレードする場合は、次の Address maps と DNS レコード のセクションを確認してください。

Address maps を使い、レコードが プロキシされている ときに、DNS レスポンスで Cloudflare が使う IP を指定します。

次の 2 つのスコープから選べます。

• アカウントレベル: アカウント内のすべてのゾーンの、プロキシされた DNS レコードすべてに Address map を使います。
• ゾーンレベル: ゾーン内の、プロキシされた DNS レコードすべてに Address map を使います。

DNS レコードのプロキシ状態と Address map は、ホスト名へのリクエストに対する Cloudflare 権威 DNS の応答方法を決めます。一方、A/AAAA レコードに指定した IP アドレスは、Cloudflare が設定済みオリジンへ到達する方法 を決めます。

Spectrum で自身の IP アドレスを使う設定は、Cloudflare API からのみ行えます。

origin_direct フィールドにはオリジン IP アドレスを指定します。edge_ips では、Spectrum アプリケーションへのリクエスト処理に Cloudflare が使う、BYOIP プレフィックス内の IP アドレスを定義できます。

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/spectrum/apps" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '[
		{
				"protocol": "tcp/22",
				"dns": {
						"type": "CNAME",
						"name": "ssh.example.com"
				},
				"origin_direct": [
						"tcp://192.0.2.1:22"
				],
				"proxy_protocol": "off",
				"ip_firewall": true,
				"tls": "full",
				"edge_ips": {
						"type": "static",
						"ips": [
								"203.0.113.18"
						]
				},
				"traffic_type": "direct"
		}
	]'

必要に応じて、ほかの機能も活用してください。たとえば次のとおりです。

• Cache
• WAF カスタムルール
• Security Analytics