← Cloudflare Magic Transit / magic-transit / reference

Odchozí provoz

Pokud jste Magic Transit implementovali s odchozím provozem, zvažte při vytváření úspěšného připojení k Cloudflare následující technické aspekty.

• Zdrojová IP adresa pro pakety ↗ které odesíláte do Cloudflare, musí pocházet z vašeho prefixu Magic Transit. Pokud máte Magic Transit pronajaté IP adresy nebo Bring Your Own IP (BYOIP) prefixy, můžete si zvolit, zda na svém edge zařízení implementujete překlad síťových adres (Network Address Translation, NAT), nebo prefix použijete jako směrované rozhraní lokální sítě (Local Area Network, LAN) na své straně.
• Cloudflare doporučuje vytvořit pravidla směrování na základě zásad (policy-based routing, PBR), která zajistí, že přes vaše tunely GRE/IPsec ke Cloudflare bude pro odchozí provoz do internetu procházet pouze provoz z vašich prefixů BYOIP nebo z IP adres pronajatých v rámci Magic Transit. Cloudflare přijímá odchozí provoz pouze z autorizovaných prefixů, a proto musí vaše zásady PBR tomuto požadavku odpovídat. Pokud zavedení PBR není proveditelné a potřebujete přes tunely Magic Transit nastavit výchozí trasu, zajistěte, aby trasy k anycastovým cílovým IP adresám vašich tunelů vedly přes vaši podkladovou tranzitní cestu.
• Pro přesměrování provozu PBR potřebujete mechanismus, který dokáže rozpoznat výpadek tunelu. Ten zajistí, že vaše zařízení přesměruje pakety, pokud dojde k výpadku nadřazeného kanálu směrem ke Cloudflare. Zařízení můžete například nastavit tak, aby odesílalo ping na druhý konec tunelu nebo sondu na některou webovou stránku na internetu. Jakmile sonda selže, mělo by zařízení zneplatnit přesměrovací cestu PBR a přepnout na záložní tunel. Postup nastavení najdete v konfigurační příručce k vašemu zařízení.
• Pro rozložení zátěže provozu odesílaného do internetu přes Cloudflare možná budete muset nastavit více tunelů GRE/IPsec. Toho dosáhnete použitím dvou různých pravidel PBR: provoz z jedné IP adresy nebo podsítě pak povede jedním tunelem a provoz z jiné IP adresy nebo podsítě jiným tunelem.
• Pravidla Cloudflare Network Firewall platí v obou směrech. Nastavte je proto tak, aby odpovídala zamýšlenému toku provozu, a to jak příchozímu, tak odchozímu.
• Pokud používáte Magic Transit egress, doporučujeme nastavit kontrolu stavu tunelu GRE nebo IPsec na obousměrný, aby byly kontroly stavu Cloudflare synchronizovány s datová rovina ↗ tok provozu.
• Jakmile nakonfigurujete odchozí provoz tak, aby procházel tunelem GRE/IPsec, Cloudflare ho zapouzdří a odešle na koncový bod Cloudflare anycast. Váš poskytovatel internetových služeb (ISP) pak zapouzdřený provoz nasměruje do nejbližšího dostupného bodu přítomnosti (PoP) Cloudflare, odkud odchází do internetu přes možnosti připojení Cloudflare v dané lokalitě.