INTEGRITY Dokumentace

← Cloudflare Magic Transit / magic-transit

Začínáme

Než začnete Magic Transit používat, dokončete následující kroky onboardingu. Cloudflare dokáže tento časový plán výrazně zkrátit v případě aktivního útoku.

Vymezte rozsah konfigurace

Magic Transit není samoobslužný produkt. Začněte tím, že kontaktováním našeho týmu ↗ k posouzení vašich potřeb a harmonogramu implementace. Při tomto posouzení Cloudflare kontroluje konkrétní požadavky, jako je počet vašich prefixů a rychlost, se kterou dokážete projít potřebnými kroky k implementaci Magic Transit ve vaší síti.

IP adresy

Pro používání Magic Transit musíte vlastnit veřejně směrovatelný blok IP adres o minimální velikosti /24. Pokud nevlastníte /24 blok adres, můžete Magic Transit používat s IP adresou vlastněnou Cloudflare. Tato možnost se hodí, pokud nesplňujete /24 požadavky na délku prefixu nebo chcete chránit menší síť.

Pokud chcete svou síť chránit pomocí IP adresy Cloudflare, kontaktujte manažera vašeho účtu. Po obdržení IP adresy:

Pokud používáte IP prostor vlastněný Cloudflare, nepotřebujete Dopis o zmocnění (LOA). Pokud používáte IP adresy pronajaté od Cloudflare, Cloudflare automaticky povolí Magic Transit Egress, což směruje váš odchozí provoz do Cloudflare místo do internetu. Na své straně nastavte směrování na základě zásad, aby se zpětný provoz směroval správně.

Ověřte kompatibilitu routeru

Magic Transit se spoléhá na anycast tunely pro přenos pakety z globální sítě Cloudflare do vaší origin sítě.

Směrovače na koncových bodech vašeho tunelu musí splňovat následující požadavky na kompatibilitu s Magic Transit.

Návrh dopisu o zmocnění

Vytvořte Dopis o zmocnění (LOA) která identifikuje prefixy, jež chcete oznamovat, a opravňuje Cloudflare k jejich oznamování. Naši tranzitní poskytovatelé vyžadují LOA, aby mohli přijmout trasy, které oznamujeme vaším jménem.

Pokud jste poskytovatelem internetových služeb (ISP) a oznamujete prefixy jménem zákazníka, potřebujete LOA pro ISP i pro zákazníka.

Pokud používáte IP adresa Cloudflare, nemusíte předkládat LOA.

Příklad dopisu o zmocnění

Šablona dopisu o zmocnění
[COMPANY LETTERHEAD]

LETTER OF AGENCY ("LOA")

[DATE]


To whom it may concern:

[COMPANY NAME] (the "Company") authorizes Cloudflare, Inc. with AS13335 to advertise the following IP address blocks / originating ASNs:

- - - - - - - - - - - - - - - - - - -
[Subnet & Originating ASN]
[Subnet & Originating ASN]
[Subnet & Originating ASN]
- - - - - - - - - - - - - - - - - - -

As a representative of the Company that is the owner of the aforementioned IP address blocks / originating ASNs, I hereby declare that I am authorized to sign this LOA on the Company’s behalf.

Should you have any questions please email me at [E-MAIL ADDRESS], or call: [TELEPHONE NUMBER]

Regards,


[SIGNATURE]


[NAME TYPED]
[TITLE]
[COMPANY NAME]
[COMPANY ADDRESS]
[COMPANY STAMP]

Ověřte záznamy IRR

Ověřte, že vaše záznamy Internet Routing Registry (IRR) odpovídají číslům autonomních systémů (ASN) vašeho původu, aby Magic Transit směrovala provoz do správných autonomních systémů (AS). Pokyny najdete v Ověřte záznamy IRR.

Pokud používáte IP adresa Cloudflare, nemusíte ověřovat své záznamy IRR.

Volitelné: kontrola RPKI pro ověření prefixu

K ověření svých prefixů můžete dodatečně použít také Resource Public Key Infrastructure (RPKI). RPKI je metoda bezpečnostního rámce ↗ který spojuje trasu s autonomním systémem. Před předáním těchto informací routerům je ověřuje pomocí kryptografie.

Pokud provozujete síť (ISP, poskytovatel cloudu, podnik a další), použití RPKI zajistí, že routery správně rozpoznají vaše IP prefixy. Předchází to výpadkům služeb a chrání to reputaci vaší značky. Bez RPKI by útočníci mohli oznamovat váš IP prostor, přesměrovávat váš provoz a případně poškodit vaše podnikání.

Ke kontrole svých prefixů můžete použít RPKI portál Cloudflare ↗.

Nastavit maximální velikost segmentu

Než povolíte Magic Transit, musíte se ujistit, že máte ve své síti nastavenou maximální velikost segmentu. Cloudflare Magic Transit doručuje provoz pomocí tunelů pakety ↗ z naší globální sítě do vašich datových center. Cloudflare tyto pakety zapouzdřuje a přidává k nim nové hlavičky. Při konfiguraci hodnot maximální přenosové jednotky (MTU) a maximální velikosti segmentu (MSS) pro vaši síť musíte počítat s místem, které tyto hlavičky zabírají.

doporučení pro omezování MSS

Tunely GRE jako off-ramp

Hodnota MSS závisí na uspořádání vaší sítě.

Tunely IPsec

U tunelů IPsec závisí hodnota, kterou je třeba nastavit, na uspořádání vaší sítě. Hodnota MSS clamping je nižší než u tunelů GRE, protože fyzické rozhraní vidí provoz šifrovaný IPsec pakety ↗, nikoli TCP pakety, a MSS clamping se na ně nevztahuje.

Viz Maximální přenosová jednotka a maximální velikost segmentu pro další podrobnosti.

Zrušte příznak Do not fragment (DF)

Pokud nemůžete na svých fyzických rozhraních nastavit MSS na hodnotu nižší než 1500 bajtů, můžete vymazat do not fragment bit v hlavičce IP. Když je tato možnost zapnutá, Cloudflare fragmentuje pakety ↗ větší než 1500 bajtů a pakety se po dekapsulaci znovu sestaví ve vaší infrastruktuře. Ve většině prostředí nemá povolení této možnosti významný vliv na propustnost provozu.

Pokud chcete tuto možnost povolit pro svou síť, kontaktujte tým odpovědný za váš účet.

Viz Maximální přenosová jednotka a maximální velikost segmentu pro další podrobnosti.

Postupujte podle pokynů výrobce routeru

Postup úpravy MSS pomocí MSS clamp se liší podle výrobce vašeho routeru.

Následující tabulka uvádí několik běžně používaných výrobců routerů s odkazy na pokyny k MSS clamping:

Zařízení typu router URL
Cisco TCP IP Adjust MSS ↗
Juniper TCP MSS - Edit System ↗

Konfigurace tunelů

Konfigurace tunelů na straně Cloudflare i na straně vašeho routeru, abyste se připojili ke své origin infrastruktuře.

Konfigurace statických tras nebo BGP peeringu (beta)

Nakonfigurujte statické trasy nebo BGP peering ke směrování provozu z globální sítě Cloudflare do vašich lokalit.

Spusťte předběžné kontroly

Po nastavení tunelů a tras Cloudflare ověří:

Cloudflare aplikuje konfigurace do globální sítě, což trvá přibližně jeden den.

Jakmile jsou předletové kontroly dokončené, Cloudflare odemkne váš prefixy, abyste mohli inzerovat přes dashboard, API nebo BGP v čase, který si sami zvolíte. Další informace najdete v Osvědčené postupy pro dynamické oznamování se dozvíte více o inzerci prefixů.

Pokud používáte IP adresu Cloudflare, nemusíte své prefixy oznamovat.

Další kroky

Jakmile jsou vaše prefixy inzerovány, nakonfigurujte nastavení ochrany proti DDoS:

  1. Zkontrolujte a přizpůsobte si Ochrana před DDoS nastavení, včetně spravované sady pravidel proti DDoS útokům na síťové vrstvě.
  2. Pokud vaše síť zpracovává provoz TCP, povolte Advanced TCP Protection. Pokud vaše síť přijímá provoz DNS přes UDP, povolte Advanced DNS Protection. Tyto systémy poskytují stavovou analýzu nad rámec spravovaných sad pravidel.