← Cloudflare BYOIP / byoip / service-bindings

Использование BYOIP с Magic Transit и CDN

Magic Transit клиенты, использующие BYOIP, также получают преимущества производительности, надёжности и безопасности, которые Cloudflare предлагает для приложений на основе HTTP. Service bindings позволяют клиентам BYOIP выборочно направлять трафик на уровне отдельных IP адресов в конвейер CDN (который включает Кеш, Web Application Firewall (WAF), и другое).

В этом руководстве описано, как настроить Magic Transit совместно с CDN с помощью API Cloudflare. Также можно задать привязки служб, чтобы выборочно направлять трафик в конвейер Spectrum. См. область действия для полного списка возможных конфигураций и других доступных руководств.

Обратите внимание, что трафик, направляемый через конвейер CDN, защищён на уровнях 3 и 4 благодаря встроенным механизмам защиты от DDoS-атак, которые изначально заложены в этот конвейер.

• Убедитесь, что ваш контракт включает CDN в соответствии с вашими потребностями. Если при выполнении описанных ниже шагов у вас возникнут проблемы с подпиской, обратитесь к своей команде по работе с аккаунтом.

• Определите, какие IP-адреса будут использоваться:

  Cloudflare настоятельно рекомендует настраивать привязки служб через агрегированный блок CIDR, так как это эффективнее, чем добавлять отдельные привязки для несмежных блоков CIDR.

  Пример

  Префикс, защищённый Magic Transit: 203.0.113.0/24

  IP-адреса для перехода на CDN:

  203.0.113.16
203.0.113.17
203.0.113.18
203.0.113.19
203.0.113.20
203.0.113.21
203.0.113.22
203.0.113.23

  Добавьте одну отдельную привязку службы CDN для 203.0.113.16 с /29 маска подсети.

  После создания (или удаления) привязки сервиса потребуется от четырех до шести часов чтобы распространиться по глобальной сети Cloudflare. В течение этого времени работа служб для IP-адресов из этой области, скорее всего, будет нарушена.

1. Войдите в свой аккаунт Cloudflare и получите свой ID аккаунта и ключ или токен аутентификации. Если вы используете API-токен, разрешения должны включать Account - IP Prefixes - Edit.
2. Сделайте GET запрос к Список служб конечную точку и запишите id связанный со службой CDN.
3. Используйте Список префиксов конечную точку и запишите id связанный с префиксом (cidr) который вы будете настраивать.

4. Чтобы убедиться, что у вас есть привязка службы Magic Transit и что она охватывает весь ваш префикс, выполните GET запрос к Список привязок сервисов конечную точку. Замените {prefix_id} в пути URI на фактический идентификатор префикса, полученный на предыдущем шаге.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request GET \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY"

1. Сделайте POST запрос к Создание привязки службы конечную точку, указав IP адрес, который нужно привязать к CDN. Укажите соответствующая маска сети по необходимости.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request POST \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY" \
	--json '{
		"cidr": "203.0.113.100/32",
		"service_id": "<SERVICE_ID>"
	}'

{
  "errors": [],
  "messages": [],
  "success": true,
  "result": {
    "cidr": "203.0.113.100/32",
    "id": "<SERVICE_BINDING_ID>",
    "provisioning": {
      "state": "provisioning"
      },
    "service_id": "<SERVICE_ID>",
    "service_name": "<SERVICE_NAME>"
  }
}

Вы можете периодически проверять статус привязки службы с помощью Список привязок сервисов конечная точка.

После того как вы настроите для своих IP-адресов службу CDN, вы сможете использовать карты адресов чтобы указать, какие IP-адреса Cloudflare должен использовать в ответах DNS, когда запись проксируется.

Вы можете выбрать одну из двух областей действия:

• На уровне аккаунта: карта адресов применяется ко всем проксируемым записям DNS во всех зонах данного аккаунта.
• На уровне зоны: карта адресов применяется ко всем проксируемым DNS-записям в зоне.

Хотя статус проксирования DNS-записи и карта адресов определяют, как авторитативный DNS Cloudflare отвечает на запросы к вашим хостам, IP-адреса, указанные в A/AAAA записи определяют как Cloudflare обращается к настроенному источнику.

Используйте другие функции в зависимости от ваших потребностей, например:

• Кеш
• Пользовательские правила WAF
• Security Analytics