Minimal ruleset と Extended ruleset の提案は、イングレス（受信）トラフィック向けの推奨です。このページでは、エグレス（送信）トラフィックで追加で考慮すべき点を説明します。
Cloudflare Network Firewall は接続状態を追跡しません（「ステートフル」ではありません）。ステートフルファイアウォールは、アクティブな接続の戻りトラフィックを自動的に許可します。たとえば、送信リクエストを出すと、応答は受信側で許可されます。Network Firewall はステートフルではないため、イングレスかエグレスかに関係なく、各パケットはルールに対して独立して評価されます。そのため、イングレスのブロックルールが、意図せずエグレストラフィックをブロックすることがあります。
Magic Transit のエグレストラフィックでは、次の点を考慮してください。
-
Network Firewall のルールは、Cloudflare を通過する Magic Transit のイングレスとエグレスの両方のトラフィックに適用されます。
-
イングレストラフィック向けに「デフォルトドロップ」のキャッチオールルール（それより前のルールに一致しなかったトラフィックをすべてブロックする最終ルール）がある場合は、Magic Transit プレフィックスを送信元とし、宛先を any とするトラフィックを許可するルールを、より前に追加して、アウトバウンドのエグレストラフィックを許可する必要があります。
たとえば、デフォルトドロップのキャッチオールルールより前に、次の許可ルールを置きます。
Match:
ip.src in {<YOUR_MAGIC_TRANSIT_PREFIX>}
Action: Allow