Network Flow（旧称 Magic Network Monitoring）のルールは、特定の IP アドレスまたはプレフィックスを狙った分散型サービス妨害（DDoS）攻撃を、ネットワークトラフィックから監視します。トラフィックがルールのしきい値を超えるか、既知の DDoS 攻撃フィンガープリントに一致すると、アラートを受け取ります。
Network Flow は、次の 3 種類のルールに対応しています。
| ルールの種類 | 説明 | 利用可否 |
|---|---|---|
| 動的しきい値（推奨） | ネットワークのトラフィックパターンを時系列で分析し、トラフィック履歴に基づいて DDoS しきい値（ビットまたはパケット）を自動で調整します。 | API のみ |
| 静的しきい値 | DDoS トラフィック監視用に、固定のしきい値（ビットまたはパケット）を自分で定義します。 | API とダッシュボード |
| sFlow DDoS 攻撃 | sFlow データを Cloudflare に送信している場合、特定の DDoS 攻撃タイプがトラフィックで検出されたときにアラートを受け取れます。 | API のみ（sFlow データのみ） |
Cloudflare ダッシュボードで設定できるのは、静的トラフィックしきい値ルールだけです。
新しいルールを作成する手順は次のとおりです。
- Network flow ページを開きます。
- Configure Network flow を選択します。
- Configure rules タブで Add new rule を選択します。
- ルールの各フィールドを入力します。各フィールドの詳細は Static threshold rules を参照してください。
- 入力が終わったら Create a new rule を選択します。
- Network flow ページを開きます。
- Configure Network flow を選択します。
- Configure rules タブで、編集する静的しきい値ルールを探し、Edit を選択します。
- 必要なフィールドを編集します。各フィールドの役割は Rule configuration fields を参照してください。
- 編集が終わったら Save を選択します。
- Network flow ページを開きます。
- Configure Network flow を選択します。
- Configure rules タブで、削除する静的しきい値ルールを探し、Delete を選択します。
- I understand that deleting a rule is permanent を選択し、もう一度 Delete を選択します。
Auto-Advertisement は、ルールがトリガーされたときに Magic Transit を自動で有効にします。手動操作なしで、トラフィックを Cloudflare 経由にルーティングして DDoS を緩和します。
この機能は、Magic Transit On Demand を使う Enterprise のお客様が利用できます。動的しきい値、静的しきい値、sFlow DDoS 攻撃のいずれのルールでも有効にできます。
上記の手順でルールを 作成 または 編集 し、Auto-Advertisement を有効にします。
フラグ付きルール内のすべてのプレフィックスについて、自動アドバタイズの試行後に Webhook、PagerDuty、メールの通知が送られます。
各プレフィックスのアドバタイズ状態は、次のいずれかのステータスで受け取れます。
- Advertised: プレフィックスのアドバタイズに成功しました。
- Already Advertised: 自動アドバタイズの試行前に、すでにアドバタイズされていました。
- Delayed: 現時点ではアドバタイズできませんが、アドバタイズを再試行します。アドバタイズできるようになると、更新後のステータスで新しい通知が送られます。
- Locked: プレフィックスがロックされており、アドバタイズできません。
- Could not Advertise: Cloudflare はプレフィックスをアドバタイズできませんでした。このステータスは複数の理由で発生しますが、多くの場合、プレフィックスのアドバタイズが許可されていないときに発生します。
- Error: プレフィックスのアドバタイズ中に一般的なエラーが発生しました。
各ルールには、1 つ以上の IP プレフィックスを含める必要があります。ルール内のすべてのプレフィックスは、集約トラフィックとして評価されます。合計量がしきい値と比較されます。
- 複数プレフィックスの 合計 トラフィックでアラートする場合は、同じルールに追加します。
- 個別 のプレフィックストラフィックでアラートする場合は、プレフィックスごとに別のルールを作成します。
次の例では、192.168.0.0/24 と 172.118.0.0/24 の 合計 パケットトラフィックが 10000 パケットを超えると、ルールがトリガーされます。Auto-Advertisement が有効な場合、ルールがトリガーされると Cloudflare は両方のプレフィックスをアドバタイズします。
API でルールの IP プレフィックスを大規模に設定する こともできます。
{
"rules": [
{
"name": "Too many packets",
"prefixes": ["192.168.0.0/24", "172.118.0.0/24"],
"packet_threshold": 10000,
"automatic_advertisement": true,
"duration": "1m0s",
"type": "threshold"
}
]
}単一プレフィックスにしきい値を設定するには、別のルールを作成します。
{
"rules": [
{
"name": "Too many packets",
"prefixes": ["172.118.0.0/24"],
"packet_threshold": 1000,
"automatic_advertisement": true,
"duration": "1m0s",
"type": "threshold"
}
]
}