Advanced TCP Protection のトラブルシューティング

モード移行の動作

Advanced TCP Protection のルールには、3 つの実行モードがあります。Disabled、Monitoring（ログのみ、破棄なし）、Mitigation (Enabled)（アクティブな緩和）です。

必ず Monitoring モードから Mitigation (Enabled) モードへ移行してください。Disabled から Mitigation (Enabled) へ直接切り替えないでください。

Disabled から Mitigation (Enabled) へ直接切り替えると、Advanced TCP Protection は既存の接続状態を観測する学習期間を開始します。この学習期間より前から続く長時間接続は、トラッカーに状態がないため破棄される場合があります。

推奨手順:

Network Analytics の Advanced TCP Protection タブで Mitigation reason フィールドを確認し、理由から原因を特定します。

緩和の理由	想定される原因	対応
Not found	学習期間が不十分だったか、長時間接続が ATP 有効化より前から続いていた	Monitoring モードを 4 時間以上設定してから、Mitigation (Enabled) に切り替える
Unexpected	ECMP のリハッシュ — 同一フローのパケットが異なる Cloudflare データセンターに到着している	Monitoring モードに設定する。影響を受ける colo のバースト感度しきい値を上げる。続く場合はエスカレーションする
Out of sequence	ネットワーク経路上のパケット順序の乱れ、またはパケットロス	影響を受ける colo のバースト感度しきい値を上げる
トラフィックスパイク時のみ破棄	バースト感度のしきい値が低すぎる	バースト感度を上げる（レート感度はそのまま）

しきい値の調整: レート感度より先にバースト感度を調整します。バースト感度は瞬間的な急増を扱い、レート感度は持続的なパケットレートを制御します。

ATP の許可リストでは、特定の送信元 IP プレフィックスに対する緩和をバイパスできます。ただし次の点に注意してください。

許可リストは、許可リスト式あたり約 200 件の IP アドレス に対応します。詳細は許可リストへの IP またはプレフィックスの追加を参照してください。
許可リストは セキュリティ制御ではありません。IP アドレスによるバイパスであり、IP アドレスの詐称に弱いです。大きな IP 範囲（データセンター全体の IP ブロックなど）を許可リストに追加しないでください。
大規模な正規トラフィック源については、広い許可リストエントリを追加するより、ルール感度の調整を優先してください。

TCP のみ: Advanced TCP Protection は TCP トラフィックを対象にします。UDP と ICMP のフラッド攻撃は、HTTP DDoS Attack Protection マネージドルールセットまたは Cloudflare Network Firewall のルールで扱います。
ECMP の「shifty flows」: 同一 TCP フローのパケットが（上流の ECMP 負荷分散により）異なる Cloudflare データセンターに到着すると、ATP は接続状態を失い、Unexpected の緩和理由でパケットを破棄する場合があります。これは既知のアーキテクチャ上の制約です。緩和策: バースト感度を下げるか、影響を受ける colo ごとにしきい値を調整します。

ルールモードが Monitoring ではなく Mitigation (Enabled) であることを確認します。Monitoring モードはログに記録しますが、破棄はしません。
攻撃トラフィック量に対して、ルール感度が適切か確認します。感度を下げると、緩和が発動するまでに、より多くのトラフィックがしきい値を超える必要があります。
多数の送信元 IP と colo に分散した攻撃では、トラフィックが多い上位 colo のしきい値を調整します。
フィルターが緩和をバイパスしていないことを確認します。攻撃トラフィックに一致するフィルターは、ルールの実行モードを上書きします。