Cloudflare Network Firewall（旧 Magic Firewall）のルールは、Cloudflare の DDoS 緩和が適用されたあとに実行されます。2 つのシステムは独立しているため、Cloudflare Network Firewall でトラフィックを許可しても、DDoS 緩和では許可されません。Cloudflare のシステムを通過する流れでは、DDoS 緩和が先に適用されるため、トラフィックはそこでブロックされることがあります。
デフォルトでは、Cloudflare Network Firewall は、ルールで明示的にブロックするまで、すべてのトラフィックを許可します。ルールが設定されていない場合は、Cloudflare の DDoS 緩和の適用後、すべてのトラフィックが許可されます。
セキュリティポリシーの設定には、次の 2 つの方法があります。
- ポジティブセキュリティモデルを適用し、必要なトラフィックだけを許可して、それ以外をすべてブロックします。
- 特定のトラフィックをブロックする最小限のルールセットから始めます。デフォルトでは、それ以外はすべて許可されます。
トラフィックは、設定したルールの順に照合されます。有効なルールに一度でも一致すると、それ以降のルールでは検証されません。無効なルールは通過します。ダッシュボードの Cloudflare Network Firewall では、ルールの順序は上から下へ適用されます。
たとえば、ルール #4 ですべての TCP トラフィックを許可すると、すべての TCP トラフィックが許可されます。ルール #5 で IP アドレス x.x.x.x のトラフィックをブロックしても、チェックされません。
セキュリティポリシーを設定するときのベストプラクティスは、ベストプラクティス を参照してください。
Cloudflare 発信のトラフィックも、設定した Cloudflare Network Firewall ルールの対象です。ICMP トラフィックをすべてブロックすると、Cloudflare の エンドポイントヘルスチェック もブロックされます。ICMP をブロックするときは、ICMP ブロックルールを適用する前に、Cloudflare の公開 IP からプレフィックスのエンドポイント IP への ICMP を許可するルールを先に置いてください。
Cloudflare の公開 IP の一覧は IP Ranges ↗ を参照してください。
Cloudflare Network Firewall は、トラフィックを 2 つのフェーズで処理します。最初のフェーズでは、Custom フェーズのルールに対してパケットを照合します。2 番目のフェーズでは、Managed フェーズのルールに対してパケットを照合します。
Cloudflare Network Firewall の Custom フェーズは、ユーザーが定義するルールの集合です。式、順序、アクションはユーザーがカスタマイズできます。
さらに、この Custom フェーズにルールを追加して、Managed フェーズのルールの動作を上書きできます。
Managed フェーズのルールセットは Cloudflare が更新・維持します。Cloudflare はベストプラクティス、既知の悪意あるパターン、その他の基準に基づいてこれらのルールを作成します。
Cloudflare は、Managed フェーズのルールの式と実行順序を維持します。ルールは有効化、無効化、または一致パケットのログ出力にできます。
詳細は マネージドルールセットを有効にする を参照してください。