ネットワークセキュリティチームは従来、データセンターネットワークを外部と内部の脅威から守るため、境界に各種ネットワークファイアウォールやセキュリティアプライアンスを置いてきました。対象はたとえば、DDoS 攻撃、マルウェア、ランサムウェア、フィッシング、機密情報の漏洩などです。さらに、広域ネットワーク（WAN）をまたぐ複数データセンター間の内部プライベートネットワークトラフィックを制御・保護するため、同じ、または追加のファイアウォールやセキュリティアプライアンスを、データセンターネットワークの DMZ ↗ やコアレヤーにも導入します。
ただし、これらのファイアウォールやセキュリティアプライアンスは高価で、設定と運用が複雑です。大規模攻撃への拡張も難しく、新たに見つかった脅威や脆弱性への防御には、アップグレードとパッチ適用が必要です。
Cloudflare の大規模なグローバルネットワーク ↗ 上でネイティブに動く Cloudflare Magic Transit、Cloudflare WAN（旧 Magic WAN）、Cloudflare Network Firewall、Cloudflare Gateway は、上記の弱点を含む課題への解決策を提供します。これらのサービスは、単一のクラウドネットワークプラットフォームから、データセンターネットワークに対してインラインで、スケーラブルかつ高性能なグローバル保護を提供します。
- Magic Transit ↗ は、公開されたインターネット向けネットワークに対するネットワーク層 DDoS 攻撃を、即座に検知して緩和します。
- Cloudflare WAN ↗ は、プライベートなエンタープライズネットワーク間に、any-to-any のハイブリッド / マルチクラウドのセキュアな接続を提供します。
- Cloudflare Network Firewall は、クラウドネイティブのネットワークファイアウォールサービスです。Magic Transit で保護するネットワークとの間でルーティングされるトラフィックをフィルタできます。侵入検知（IDS）や パケットキャプチャ などの機能も使えます。
- Gateway ↗ は、セキュア Web ゲートウェイ（SWG）サービスです。ネットワークから発生するインターネット向けトラフィックと、プライベートネットワーク間（east-west）のトラフィックの両方を検査・制御できます。こうしたトラフィックを Cloudflare のグローバルネットワーク経由でプロキシし、DNS、ネットワーク、HTTP ベースの ポリシー を適用します。
このドキュメントは、Cloudflare Magic Transit、Cloudflare WAN、Cloudflare Network Firewall、Cloudflare Gateway を使い、データセンターネットワークへの外部通信と内部通信の両方を保護するリファレンスアーキテクチャに絞って説明します。Magic Transit、Cloudflare WAN、Cloudflare Network Firewall、Cloudflare Gateway の動作と、各種ユースケース向けのアーキテクチャは、末尾の関連リソースを参照してください。
アーキテクチャと動作を示すため、次の図では、公開向け（インターネット上のユーザーと接続する）またはプライベート（企業内部の通信に使う）のデータセンターネットワークを持つ企業の例を使います。これらのネットワークは、2 か所のオンプレミス拠点に導入されています。公開向けネットワークのプレフィックスは、Cloudflare Magic Transit で保護します。
| データセンター 1 | データセンター 2 |
|---|---|
公開向けネットワーク: 192.0.2.0/24 |
公開向けネットワーク: 203.0.113.0/24 |
プライベートネットワーク: 192.168.1.0/24 |
プライベートネットワーク: 172.16.2.0/24 |
各データセンターのエッジルーターは、2 本の Direct Cloudflare Network Interconnect（CNI）接続で Cloudflare ネットワークとつながります。CNI は、自社ネットワークと Cloudflare ネットワークの間の直接のプライベート接続です。1 本の Direct CNI は公開向けネットワークトラフィック用、もう 1 本はプライベートネットワークトラフィック用です。公開向けとプライベートのトラフィックを 1 本の CNI にまとめることもできます。ただし、多くの組織では、セキュリティ運用上、外部トラフィックと内部トラフィックを別接続で運びたいと考えます。
- データセンター 1 では、CNI 接続 1 が公開向けネットワークトラフィック、接続 2 がプライベートネットワークトラフィックを運びます。
- データセンター 2 では、CNI 接続 3 が公開向けネットワークトラフィック、接続 4 がプライベートネットワークトラフィックを運びます。
次のリファレンスアーキテクチャ図は、インターネットから届く受信トラフィックから、データセンターの公開向けネットワークを保護するために、Cloudflare Magic Transit と Cloudflare Network Firewall を使う方法を示します。
注: この画像のラベルは、以前の製品名を反映している場合があります。
- Border Gateway Protocol（BGP ↗）と IP anycast ↗ を使い、Cloudflare は保護対象の顧客 IP プレフィックスを、Cloudflare の全世界のデータセンター ↗ からインターネットへ広告します。同時に、オンプレミスネットワークは、それぞれの境界ルーターから同一プレフィックスの広告を止めます。これにより、Magic Transit の DDoS 防御とポリシー適用を経てから顧客データセンターへ届くよう、すべてのトラフィックが Cloudflare を経由します。これらの保護対象プレフィックス宛てのインターネットトラフィックは、常に発生源に最も近い Cloudflare データセンターへルーティングされます。 代わりに、境界ルーターからより広い（less-specific）IP プレフィックスをインターネットへ広告することもできます。こうしておくと、ごくまれに Magic Transit に障害が起きた場合でも、トラフィックをインターネットから各ネットワーク拠点へすばやく直接戻せます。
- インターネットから保護対象 IP プレフィックス宛てに発生したトラフィックは、世界中の Cloudflare ネットワークへ取り込まれます。
- すべての DDoS 攻撃トラフィックは、高度で自動化された DDoS 緩和 技術により、発生源の近くで、各 Cloudflare データセンターでインラインに緩和されます。
- DDoS 緩和を通過したトラフィックは、Cloudflare Network Firewall で追加のネットワークファイアウォールフィルタリングを受けます。
- クリーンでフィルタ済みのトラフィックは、Direct Cloudflare Network Interconnect（CNI）接続経由で、保護対象ネットワークへルーティングされます。
- サーバー返送トラフィックをクライアントへ戻す方法は 2 つあります。1 つは、データセンターからインターネットへネイティブに送り、Cloudflare ネットワークを経由しない方法です。これをダイレクトサーバーリターン（DSR）と呼びます。双方向トラフィックが非対称ルーティングになるため、データセンター内部や、データセンターとインターネットの間に、ステートフルファイアウォールや NAT 機器があると、ネットワークセキュリティやトラフィックフィルタで問題が起きることがあります。自社ネットワークにこうした問題がないことを確認してください。 もう 1 つは、Magic Transit Egress を使い、クライアントからサーバーへのトラフィックと同じ接続で、サーバー返送トラフィックを対称的に Cloudflare ネットワーク経由で戻す方法です。上の図はこの方法です。サーバー返送トラフィックは、Cloudflare からデータセンターへ公開向けネットワークトラフィックを運ぶのと同じ CNI 経由で Cloudflare ネットワークへ戻ります。拠点では、ポリシーベースルーティング（PBR）などのルーティング技術を使います。
- Magic Transit Egress のトラフィックは、Cloudflare Network Firewall のフィルタリングを受けたあと、ユーザー向けにインターネットへルーティングされます。
次のリファレンスアーキテクチャ図は、データセンターの公開向けネットワーク（パブリック IP アドレスを持つサーバー）から発生する送信インターネットトラフィックを保護するために、Cloudflare のサービス（Magic Transit（Egress）、Cloudflare Network Firewall、Cloudflare Gateway）を使う方法を示します。
注: この画像のラベルは、以前の製品名を反映している場合があります。
- 各拠点ネットワークは、公開向けネットワークから発生する送信インターネットトラフィックを、受信トラフィックと同じ CNI 経由で Cloudflare へルーティングします。拠点では、ポリシーベースルーティング（PBR）など、任意のルーティング技術を使えます。
- Cloudflare ネットワークへ入った送信インターネットトラフィックは、まず Cloudflare Network Firewall を通り、設定済みのネットワークファイアウォールポリシーを適用されます。
- 送信インターネットトラフィックは続いて Cloudflare Gateway（セキュア Web ゲートウェイ）へ送られます。各種 ポリシー が送信トラフィックに包括的なセキュリティと制御を適用し、ネットワークを保護します。たとえば、Gateway の DNS ポリシーと HTTP ポリシーの両方を設定し、サーバーが疑わしいインターネットサイトへ接続したり、マルウェアなどの悪意あるコンテンツをダウンロードしたりするのを防げます。
- 検査を通過したトラフィックは、Gateway がインターネット上の宛先へプロキシします。送信トラフィックの送信元 IP アドレスは、Gateway サービスに紐づく Cloudflare 所有の IP アドレスです。必要なら 独自の egress IP を購入して設定できます。
- インターネットからの返送トラフィックは、Gateway サービスに紐づく Cloudflare の IP アドレス宛てに、Cloudflare のグローバルネットワークへルーティングされます。
- トラフィックは Gateway ポリシーで検査されます。
- Gateway の検査を通過した返送トラフィックは、追加のパケットフィルタリングのため Cloudflare Network Firewall へルーティングされます。
- Cloudflare Network Firewall のフィルタリングを通過した返送トラフィックは、公開向けネットワークトラフィックを運ぶ CNI 経由で、Cloudflare から各ネットワーク拠点へルーティングされます。
次のリファレンスアーキテクチャ図は、プライベートネットワーク間のサイト間・データセンター間トラフィックを保護するために、Cloudflare のサービス（Cloudflare WAN、Cloudflare Network Firewall、Cloudflare Gateway）を使う方法を示します。
サイト間プライベートネットワークトラフィックの接続
まず、サイト間のプライベートネットワークトラフィックを Cloudflare Gateway のプロキシファイアウォールにかけず、Cloudflare WAN だけでルーティングする場合を見ます。
注: この画像のラベルは、以前の製品名を反映している場合があります。
- 各拠点は、相手データセンター宛てのサイト間プライベートネットワークトラフィックを、対応する CNI 接続経由で Cloudflare WAN へルーティングします。拠点では、ポリシーベースルーティング（PBR）など、任意のルーティング技術を使えます。
- Cloudflare ネットワークへ入ったトラフィックは、Cloudflare Network Firewall を通ります。
- Cloudflare Network Firewall は、設定済みのネットワークファイアウォールポリシーをトラフィックに適用します。
- Cloudflare Network Firewall のルールを通過し、Cloudflare Gateway で追加プロキシしないトラフィックは、対応する CNI 経由で宛先ネットワークへルーティングされます。
アプリケーションレベルのセキュリティ制御を伴うサイト間プライベートネットワークトラフィック
特定のプライベートネットワークトラフィックに、きめ細かい制御とセキュリティのためのアプリケーションレベルポリシーを適用したい場合は、Cloudflare WAN と Cloudflare Gateway 経由でルーティングおよびプロキシできます。次の図は、こうしたユースケースのアーキテクチャとパケットフローです。
注: この画像のラベルは、以前の製品名を反映している場合があります。
- 各拠点は、相手データセンター宛てのプライベートネットワークトラフィックを、対応する CNI 接続経由で Cloudflare WAN へルーティングします。拠点では、ポリシーベースルーティング（PBR）など、任意のルーティング技術を使えます。
- Cloudflare ネットワークへ入ったトラフィックは、Cloudflare Network Firewall を通り、設定済みのネットワークファイアウォールポリシーを適用されます。
- Cloudflare Network Firewall を通過したトラフィックは、続いて Cloudflare Gateway（セキュア Web ゲートウェイ）へルーティングされます。
- Cloudflare Gateway は、設定済みの L3-7 ポリシー をトラフィックに適用し、包括的なセキュリティと制御でネットワークを保護します。検査を通過したトラフィックは、Gateway が宛先のプライベートネットワークへプロキシします。プロキシされたトラフィックの送信元 IP アドレスは、Gateway サービスに紐づく Cloudflare 所有の IP アドレスです。
- 宛先のプライベートネットワークへ向かうプロキシ済みトラフィックは、追加のパケットフィルタリングのため、再度 Cloudflare Network Firewall を通ります。
- Cloudflare Network Firewall のフィルタリングを通過したトラフィックは、プライベートネットワークトラフィックを運ぶ対応 CNI 経由で、Cloudflare から各ネットワーク拠点へルーティングされます。
次のリファレンスアーキテクチャ図は、データセンターのプライベートネットワークから発生する送信インターネットトラフィックを保護するために、Cloudflare のサービス（Cloudflare WAN、Cloudflare Network Firewall、Cloudflare Gateway）を使う方法を示します。ユースケースと、プライベートネットワーク上のサーバーへの保護は、公開向けネットワークからのインターネットアクセスを保護する前のセクションとよく似ています。違いは、サーバーがプライベート IP アドレスを持つことと、このセクションでは Cloudflare WAN を使うことです。前のセクションでは、サーバーにパブリック IP アドレスが割り当てられ、Magic Transit を使います。
注: この画像のラベルは、以前の製品名を反映している場合があります。
- 各拠点は、プライベートネットワークから発生する送信インターネットトラフィックを、対応する CNI 接続経由で Cloudflare WAN へルーティングします。拠点では、ポリシーベースルーティング（PBR）など、任意のルーティング技術を使えます。
- Cloudflare ネットワークへ入った送信インターネットトラフィックは、まず Cloudflare Network Firewall を通り、設定済みのネットワークファイアウォールポリシーを適用されます。
- Cloudflare Network Firewall を通過したトラフィックは、続いて Cloudflare Gateway（セキュア Web ゲートウェイ）へ送られます。設定済みの L3-7 ポリシー が送信トラフィックに包括的なセキュリティと制御を適用し、ネットワークを保護します。
- 検査を通過したトラフィックは、Gateway がインターネット上の宛先へプロキシします。送信トラフィックの送信元 IP アドレスは、Gateway サービスに紐づく Cloudflare 所有の IP アドレスです。
- インターネットからの返送トラフィックは、Gateway サービスに紐づく Cloudflare の IP アドレス宛てに、Cloudflare のグローバルネットワークへルーティングされます。
- トラフィックは Gateway ポリシーで検査されます。
- Gateway の検査を通過した返送トラフィックは、追加のパケットフィルタリングのため Cloudflare Network Firewall へルーティングされます。
- Cloudflare Network Firewall のフィルタリングを通過した返送トラフィックは、プライベートネットワークトラフィックを運ぶ CNI 経由で、Cloudflare から各ネットワーク拠点へルーティングされます。