← Network Flow / network-flow / rules
Pravidlo statické prahové hodnoty
Pravidlo statické prahové hodnoty sleduje síťový provoz vůči pevné prahové hodnotě, kterou definujete, měřené v bitech nebo paketech za sekundu. Network Flow (dříve Magic Network Monitoring) porovnává celkový provoz napříč všemi IP prefixy a adresami v pravidle s touto prahovou hodnotou. Pokud provoz překročí prahovou hodnotu po nastavenou dobu, Network Flow odešle upozornění.
Chcete-li používat pravidla statické prahové hodnoty, musíte odesílat data NetFlow nebo sFlow do Cloudflare.
Konfigurační pole pravidla
| Pole | Popis |
|---|---|
| Název pravidla | Musí být jedinečný a nesmí obsahovat mezery. Podporuje znaky A-Z, a-z, 0-9, podtržítko (_), pomlčka (-), tečka (.), a vlnovka (~). Maximálně 256 znaků. |
| Typ pravidla | prahová hodnota |
| Typ prahu pravidla | Lze definovat buď v bitech za sekundu, nebo v paketech za sekundu. |
| Práh pravidla | Počet bitů za sekundu nebo paketů za sekundu pro výstrahu pravidla. Pokud je tato hodnota překročena po dobu trvání pravidla, odešle se oznámení o výstraze. Minimálně 1 a žádné maximum. |
| Doba trvání pravidla | Doba v minutách, po kterou musí být prahová hodnota pravidla překročena, aby se odeslalo oznámení o výstraze. Vyberte jednu z následujících hodnot: 1, 5, 10, 15, 20, 30, 45, nebo 60 minut. |
| Auto-advertisement | Pokud jste zákazníkem Magic Transit On Demand, můžete tuto funkci povolit, aby se Magic Transit automaticky zapnul při spuštění upozornění pravidla. Network Flow (dříve Magic Network Monitoring) podporuje funkci supernet služby Magic Transit. Další informace najdete v sekce Auto-Advertisement. |
| IP prefix pravidla | IP prefix přiřazený k pravidlu pro sledování objemu provozu. Musí se jednat o rozsah CIDR, například 160.168.0.1/24. Maximum je 5,000 unikátních záznamů CIDR. Další informace najdete na IP prefixy pravidla. |
Dokumentace API
Příklad pravidla statické prahové hodnoty najdete v Pravidla v dokumentaci API Network Flow.
Doporučená konfigurace pravidla
Postupujte podle pokynů v IP prefixy pravidla, Práh pravidla, a Doba trvání pravidla a vytvořte vhodná pravidla Network Flow s přesnými prahovými hodnotami.
IP prefixy pravidla
Cloudflare doporučuje začít s jedním pravidlem Network Flow pro každou veřejnou /24 IP prefix ve vaší síti. Včetně rozsahu /24 prefix v názvu pravidla usnadňuje vyhledávání a filtrování v analytice Network Flow.
Jakmile se lépe seznámíte se vzorci provozu jednotlivých prefixů, vytvořte specifičtější pravidla s IP prefixy menšími nebo většími než /24 podle vašich potřeb. V jednom pravidle můžete také kombinovat více IP prefixů.
Práh pravidla
Postupujte podle kroků v Počáteční konfigurace pravidla a Nastavení vhodného prahu a nakonfigurujte vhodné prahové hodnoty pravidel.
Počáteční konfigurace pravidla
Při první konfiguraci Network Flow nemusíte znát typické vzorce provozu pro jednotlivé IP prefixy. Nastavte počáteční prahovou hodnotu dostatečně vysoko, aby se při nastavování pravděpodobně nespustila: Cloudflare doporučuje 10 Gbps nebo 10 Mpps.
Díky tomu můžete shromažďovat výchozí data o provozu, aniž byste dostávali výstrahy. Po nastavení počátečních pravidel sledujte výstrahy a kontrolujte provoz v Network Flow Analytics. Postupně upravujte prahovou hodnotu jednotlivých pravidel na základě historických dat o provozu.
| Typ prahové hodnoty | Doporučený práh pravidla pro sběr počátečních dat |
|---|---|
| Bity | 10 Gbps (10,000,000,000 bitů za sekundu) |
| Pakety | 10 Mpps (10,000,000 paketů za sekundu) |
Nastavení vhodného prahu
Po vytvoření prvotní sady pravidel pro sledování síťového provozu byste měli pro každé pravidlo shromáždit 14-30 dní historických dat o objemu provozu.
Cloudflare doporučuje nastavit prahovou hodnotu pravidla na dvojnásobek maximálního provozu mimo útok, který byl v rámci pravidla Network Flow zaznamenán během jednominutového intervalu.
Chcete-li zjistit maximální provoz mimo útok za jednominutový interval za posledních 14-30 dní, filtrujte podle konkrétního pravidla, které chcete analyzovat:
- Přejděte na Síťový tok stránce.
- Vyberte Přidat filtr.
- V Nový filtr, pomocí rozbalovacích nabídek vytvořte následující filtr:
| Pole | Operátor | Název pravidla |
|---|---|---|
| Monitoring Rule | equals | <RULE_NAME> |
Jakmile v Network Flow Analytics vyberete filtr pravidla, můžete zkontrolovat historická data o objemu provozu pro dané pravidlo za zvolené období. Cloudflare doporučuje procházet historická data po sedmidenních úsecích, protože jde o nejdelší období, které stále zobrazuje hodinové intervaly. Chcete-li zvolit vlastní sedmidenní rozsah, přejděte do pravého horního rohu Network Flow Analytics, otevřete rozbalovací nabídku časového okna a vyberte Custom range.
Projděte si vybraný sedmidenní časový rozsah a určete největší špičku objemu provozu. Poté kliknutím a tažením na této špičce zobrazte data o objemu provozu za kratší časové okno. Pokračujte, dokud nebudete zobrazovat data o objemu provozu v jednominutových intervalech.
Zaznamenejte si do tabulky nejvyšší špičku objemu provozu pro dané pravidlo a tento postup opakujte pro data za 14 až 30 dnů. Práh pravidla by se měl nastavit na dvojnásobek nejvyšší jednominutové špičky provozu za těchto 14 až 30 dnů dat. Tímto postupem projděte při nastavování prahu pro každé pravidlo Network Flow.
Doba trvání pravidla
Vaše IP prefixy mohou vykazovat nekonzistentní špičky v jednominutových intervalech. Nastavte dobu trvání pravidla alespoň na dvě minuty, abyste omezili falešně pozitivní výstrahy způsobené krátkodobými neškodnými špičkami provozu. Dvouminutová doba trvání znamená, že provoz musí zůstat nad prahovou hodnotou po dobu dvou minut, než se spustí výstraha.
Postupná úprava pravidel
Po aktualizaci první sady prahových hodnot na základě historických dat sledujte upozornění Network Flow a ověřte, zda jsou prahové hodnoty vhodné. Prahové hodnoty a dobu trvání postupně upravujte, dokud pro vaše síťové prostředí nenajdete správnou citlivost upozornění.