Magic Transit をエグレストラフィック付きで導入している場合は、Cloudflare への接続を成功させるために、次の技術的な点を考慮してください。
- Cloudflare へ送る パケット ↗ の送信元 IP は、Magic Transit プレフィックス由来である必要があります。Magic Transit の リース IP または Bring Your Own IP（BYOIP） プレフィックスがある場合は、エッジ機器で Network Address Translation（NAT）を実装するか、自社側でプレフィックスをルーティングされた Local Area Network（LAN）インターフェイスとして使うかを選べます。
- GRE/IPsec トンネル経由で Cloudflare へ送り、インターネットへエグレスするトラフィックは、BYOIP プレフィックスまたは Magic Transit リース IP アドレスからのものだけになるよう、ポリシーベースルーティング（PBR）ルールの作成を推奨します。Cloudflare は認可されたプレフィックスからのエグレストラフィックだけを受け付けます。そのため、PBR ポリシーをこれに合わせる必要があります。 PBR の実装が難しく、Magic Transit トンネル経由のデフォルトルートが必要な場合は、トンネル宛先の anycast IP へのルートがアンダーレイのトランジット経路を通るようにしてください。
- PBR トラフィックを再ルーティングするための、トンネル障害検出の仕組みが必要です。Cloudflare へのアップストリーム経路で障害が起きたときに、機器がパケットを再ルーティングできるようにします。たとえば、トンネルの対向側へ ping するか、インターネット上のウェブサイトへプローブを送るように機器を設定できます。プローブが失敗したら、機器が PBR の転送経路を廃止し、バックアップトンネルへ切り替えるようにします。実装方法は、機器の設定ガイドを参照してください。
- インターネットへ送るトラフィックを Cloudflare 経由で負荷分散するために、複数の GRE/IPsec トンネルが必要になることがあります。2 つの異なる PBR ルールを適用すれば実現できます。ある IP/サブネットからのトラフィックは 1 本のトンネルを通り、別の IP/サブネットからのトラフィックは別のトンネルを通ります。
- Cloudflare Network Firewall のルールは両方向に適用されます。意図したトラフィックフロー（着信と送信の両方）に合わせて、Cloudflare Network Firewall のルールを設定してください。
- Magic Transit のエグレスを使う場合は、Cloudflare のヘルスチェックが データプレーン ↗ のトラフィックフローと同期するよう、GRE または IPsec トンネルのヘルスチェック設定を 双方向 にすることを推奨します。
- GRE/IPsec トンネル経由でエグレスするようトラフィックを設定すると、Cloudflare はそれをカプセル化し、Cloudflare の anycast エンドポイントへ送ります。その後、インターネットサービスプロバイダー（ISP）がカプセル化トラフィックを、利用可能な最も近い Cloudflare の拠点（PoP）へルーティングします。そこで、その拠点の Cloudflare 接続オプション経由でインターネットへ出ていきます。