BYOIP を Magic Transit と CDN で使う

BYOIP を使う Magic Transit のお客様は、HTTP ベースのアプリケーション向けに Cloudflare が提供する性能、信頼性、セキュリティも利用できます。サービスバインディング を使うと、BYOIP のお客様は IP アドレス単位でトラフィックを CDN パイプライン（Cache、Web Application Firewall (WAF) など）へ選択的にルーティングできます。

このガイドでは、Cloudflare API を使って Magic Transit と CDN を設定します。Spectrum パイプラインへトラフィックを選択的に送るサービスバインディングも定義できます。可能な構成の一覧とほかのガイドは スコープ を参照してください。

CDN パイプラインへ送ったトラフィックは、レイヤー 3 および 4 で、CDN パイプライン標準の DDoS 保護機能によって守られます。

• 契約に、必要な範囲の CDN が含まれていることを確認してください。次の手順でサブスクリプションに関する問題が出た場合は、担当チームに連絡してください。

• 使う IP を計画します。

  Cloudflare は、サービスバインディングを 集約した CIDR ブロックで実装することを 強く 推奨します。連続していない CIDR ブロックに個別のバインディングを足すより効率的です。

  例

  Magic Transit で保護されているプレフィックス: 203.0.113.0/24

  CDN へアップグレードする IP:

  203.0.113.16
203.0.113.17
203.0.113.18
203.0.113.19
203.0.113.20
203.0.113.21
203.0.113.22
203.0.113.23

  203.0.113.16 に対して、ネットマスク /29 の CDN サービスバインディングを 1 つ追加します。

  サービスバインディングを作成（または削除）すると、Cloudflare のグローバルネットワークへ反映されるまで 4〜6 時間 かかります。このあいだ、対象 IP アドレスのサービスは中断される可能性が高いです。

1. Cloudflare アカウントにログインし、アカウント ID と 認証キーまたはトークン を取得します。API トークン を使う場合、権限に Account - IP Prefixes - Edit を含めてください。
2. List Services エンドポイントへ GET リクエストを送り、CDN サービスに紐づく id を控えます。
3. List Prefixes エンドポイントを使い、設定するプレフィックス（cidr）に紐づく id を控えます。

4. 現在 Magic Transit のサービスバインディングがあり、プレフィックス全体を覆っていることを確認するには、List Service Bindings エンドポイントへ GET リクエストを送ります。URI パスの {prefix_id} は、前の手順で取得した実際のプレフィックス ID に置き換えます。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

1. Create service binding エンドポイントに POST リクエストを送り、CDN にバインドする IP アドレスを指定します。必要に応じて 対応するネットワークマスク を指定します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"cidr": "203.0.113.100/32",
		"service_id": "<SERVICE_ID>"
	}'

{
  "errors": [],
  "messages": [],
  "success": true,
  "result": {
    "cidr": "203.0.113.100/32",
    "id": "<SERVICE_BINDING_ID>",
    "provisioning": {
      "state": "provisioning"
      },
    "service_id": "<SERVICE_ID>",
    "service_name": "<SERVICE_NAME>"
  }
}

サービスバインディングの状態は、List Service Bindings エンドポイントで定期的に確認できます。

IP に CDN サービスを設定したら、Address Maps で、レコードが プロキシ されているときに Cloudflare が DNS 応答で使う IP を指定できます。

スコープは次の 2 つから選べます。

• アカウントレベル: アカウント内のすべてのゾーンの、プロキシされた DNS レコードすべてに Address Map を使います。
• ゾーンレベル: ゾーン内のプロキシされた DNS レコードすべてに Address Map を使います。

DNS レコードのプロキシ状態と Address Map は、ホスト名へのリクエストに対する Cloudflare の権威 DNS の応答を決めます。一方、A / AAAA レコードに指定した IP アドレスは、Cloudflare が設定済みオリジンへ到達する方法 を決めます。

必要に応じて、ほかの機能も活用してください。たとえば次のとおりです。

• Cache
• WAF カスタムルール
• Security Analytics