Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

自社の IP 空間を Cloudflare へ持ち込む

最終更新 Markdown で表示Agent セットアップ

はじめに

Cloudflare は顧客のデジタル資産にセキュリティと性能をもたらします。ただし、プロキシサービスの特性として、Cloudflare へ向かう Web 上のやり取り（DNS クエリや SaaS プロバイダーへのリクエストなど）は、外界からは Cloudflare の IP 空間からの通信に見えます。これが一部の企業で課題になることがあります。

たとえば、パートナーやその他の B2B 関係では、顧客が所有するパブリック IP 空間を、さまざまな取引での証明や帰属に使うことがあります。パブリックホスト名（例: www.example.com）の解決アドレスを見て、顧客所有として知られている特定のレンジやアドレスと一致することを期待する場合があります。

Bring Your Own IP（BYOIP） を使うと、企業は自社の IP 空間を Cloudflare へ持ち込めます。Cloudflare プラットフォームのセキュリティと性能を得つつ、外界には自社のパブリック IP 空間として見せられます。このリファレンスアーキテクチャ図は、顧客が IP 空間を Cloudflare ネットワークへ持ち込む方法と、得られる利点を示します。

BYOIP シナリオ 1 — Cloudflare プロキシサービス

Cloudflare でプロキシしたホスト名への DNS クエリのデフォルト動作は、Cloudflare の デフォルト anycast IP アドレス ↗ の 1 つを返すことです。トラフィックは高速化・保護され、Cloudflare キャッシュで応答できない場合は顧客のオリジンサーバーへ送られます。

次の図では、デフォルト動作の代わりに、トラフィックは Cloudflare のアプリケーションサービスプラットフォームを経由しますが、DNS クエリは顧客所有の IP アドレスを返し、Cloudflare の anycast ネットワークの恩恵も受けます。

この例では 2 つのネットワークレンジを使います。

  • 152.3.15.0/24 — Cloudflare ネットワークに関連付ける、顧客所有の IP レンジです。
  • 152.3.14.0/24 — オリジンネットワークに関連付けたままにする、顧客所有の IP レンジです。
図 1: Cloudflare が顧客 IP レンジをアナウンスし、オリジンサーバー IP へプロキシします。
図 1: Cloudflare が顧客 IP レンジをアナウンスし、オリジンサーバー IP へプロキシします。
  1. Cloudflare が顧客空間のアドレスで DNS クエリに応答するには、顧客から Letter of Agency（LOA）を受け取り、アドレスをプロビジョニングして広告できるようにする必要があります。このアドレス空間（例では 152.3.15.0/24）は Cloudflare の構成専用とし、顧客環境内では使わないでください。
  2. オリジンサーバー www.abc.com の Cloudflare DNS 構成は、IP アドレス 152.3.14.10/32 です。
  3. www.abc.com への DNS クエリが行われます。
  4. Cloudflare は、顧客が提供した BYOIP 空間から事前に構成した顧客空間のアドレスを返します。この例では応答は 152.2.15.200 で、152.2.15.0/24 の /24 プレフィックスの一部です。
  5. アイボールは 152.2.15.200 へリクエストを送り、Cloudflare へルーティングされます。
  6. Cloudflare は接続をプロキシし、SNI（www.abc.com）から実際のオリジン IP 152.3.14.10 を特定します。リクエストは DDoS 対策、Web Application Firewall、Bot Management などのプロキシサービスを通ります。
  7. 成功したリクエストは（キャッシュで応答しない場合）ソース IP を Cloudflare ネットワークとしてオリジン 152.3.14.10 へ送られます。

BYOIP シナリオ 2 — ネットワーク DDoS 対策

Cloudflare は公開 Web サイトと API を守る DDoS 緩和でよく知られています。同じ技術をネットワーク全体の保護にも使えます。Cloudflare の Magic Transit は、顧客のパブリック IP 空間向けのクラウドベースのネットワーク DDoS 緩和サービスです。

図 2: Cloudflare トンネル経由のネットワークの前に置く BYOIP レンジの前に、DDoS 攻撃対策を配置できます。
図 2: Cloudflare トンネル経由のネットワークの前に置く BYOIP レンジの前に、DDoS 攻撃対策を配置できます。
  1. Cloudflare が顧客ネットワークプレフィックス宛のトラフィックを引き付けるには、顧客から Letter of Agency（LOA）を受け取り、ネットワークプレフィックスをプロビジョニングして広告できるようにする必要があります。
  2. プロビジョニング後、Cloudflare は顧客プレフィックスをインターネットへ広告し、それらのネットワーク宛のトラフィックを Cloudflare ネットワークへ引き付けます。
  3. それらのプレフィックス宛のすべてのトラフィックは Cloudflare へルーティングされます。
  4. DDoS トラフィックは Cloudflare が緩和し、正規トラフィックは トンネル、または顧客環境へのオンランプである Cloudflare Network Interconnect（CNI）経由で顧客ネットワークへ戻します。

Magic Transit の機能の詳細は Magic Transit リファレンスアーキテクチャ を参照してください。

関連リソース

役に立ちましたか？