一部の Cloudflare のお客様は、リソースのキャッシュと配信のために、Cloudflare の前段に CDN（コンテンツ配信ネットワーク） を置きます。
Cloudflare は、Cloudflare の前段にサードパーティ CDN を使わないこと を推奨します。一部の CDN プロバイダーは、プロトコル標準やベストプラクティスから外れた HTTP リクエストの振る舞いを導入することがあります。さらに、Cloudflare へのトラフィックはサードパーティ CDN の限られた IP アドレス群から届くため、まれに — Cloudflare の前段に Akamai CDN を使う場合など — これらの限られた IP からのトラフィック量により、CDN が Cloudflare に対して DDoS 攻撃を仕掛けているように見えることがあります。
そのため、Cloudflare CDN を使うこと を推奨します。次の利点があります。
- ベンダーのデータセンター間の追加ホップがなくなり、ユーザーのレイテンシが下がります。
- インターネットからの最初の接点で DDoS フィルタリングを行えます。これは推奨されるベストプラクティスです。
サードパーティベンダーを含む特定のアーキテクチャが必要な場合は、複雑な環境でセキュリティ態勢を維持するための詳細を Magic Transit のデプロイアーキテクチャ で確認してください。
Cloudflare の前段にサードパーティ CDN を使っているときに Cloudflare が DDoS 攻撃を緩和しても、緩和前に処理した攻撃トラフィックについては、ファーストホップの CDN プロバイダーへの料金が発生します。
Cloudflare の前段に CDN またはプロキシを使っている場合は、次の名前の DDoS ルールについて、アクションや感度レベルの変更を推奨します。
HTTP requests with unusual HTTP headers or URI path (signature #1)（ルール ID ）HTTP requests with unusual HTTP headers or URI path (signature #56)（ルール ID ）HTTP requests with unusual HTTP headers or URI path (signature #57)（ルール ID ）Requests coming from known bad sources（ルール ID ）
ルールのアクションを Log（Enterprise プランのみ）に変更すると、フラグ付けされたトラフィックを 分析ダッシュボード で確認できます。あるいは、ルールの Sensitivity Level を Essentially Off に変更すると、ルールが発動しなくなります。
詳細は HTTP DDoS Attack Protection マネージドルールセット: ルールセットの設定 を参照してください。
一部の Cloudflare Magic Transit のお客様は、リモート従業員が組織のサービスへ安全に接続できるよう、VPN（仮想プライベートネットワーク） を運用しています。また、大規模組織では、ネットワーク内外の接続を管理する NAT（ネットワークアドレス変換）を使います。
Cloudflare Magic Transit のお客様は、社内コミュニケーションのために Zoom、Webex、Microsoft Teams などのサードパーティサービスを使うこともあります。Cloudflare へのトラフィックはこれらのサードパーティサービスの限られた IP アドレス群から届くため、トラフィック量により、これらのサービスが Cloudflare に対して DDoS 攻撃を仕掛けているように見えることがあります。
さらに、このトラフィックは限られた宛先（指定のサービスポート、VPN エンドポイント、NAT IP アドレスなど）を狙うこともあるため、限られた IP 群から限られた IP 群へのトラフィック量により、CDN が Cloudflare に対して DDoS 攻撃を仕掛けているように見えることがあります。
組織が VPN、NAT、またはサードパーティサービスを 100 Mbps を超える高いレートで使う場合は、次のいずれかを推奨します。
- 該当ルールの Sensitivity Level を下げます。Essentially Off にすると、ルールは発動しません。ルールセットごとの調整項目と手順は、HTTP DDoS Attack Protection マネージドルールセット と Network-layer DDoS Attack Protection マネージドルールセット を参照してください。
- 式フィルターで、対象トラフィックをマネージド DDoS ルールから除外します。送信元ポート、送信元 IP アドレス、宛先ポート、宛先 IP アドレス、プロトコルの組み合わせを除外できます。詳細は API で Network-layer DDoS Attack Protection を設定する を参照してください。
Enterprise プランの場合は、ルールのアクションを Log に変更し、フラグ付けされたトラフィックを 分析ダッシュボード で確認できます。情報を集めたあと、前述の方法でルール調整を定義できます。