← Cloudflare Magic Transit / magic-transit

Начало работы

Прежде чем начать использовать Magic Transit, выполните следующие шаги подключения. При активной атаке Cloudflare может значительно сократить эти сроки.

Magic Transit не является self-serve продуктом. Начните с обращение к нашей команде ↗ для оценки ваших потребностей и сроков внедрения. В ходе оценки Cloudflare изучает конкретные требования, такие как количество ваших префиксов и скорость прохождения необходимых этапов для внедрения Magic Transit в вашей сети.

Чтобы использовать Magic Transit, необходимо владеть общедоступным маршрутизируемым блоком IP-адресов минимальным размером /24. Если у вас нет собственного /24 блок адресов, вы можете использовать Magic Transit с IP-адресом, принадлежащим Cloudflare. Этот вариант удобен, если вы не соответствуете /24 требованиям к длине префикса или хотите защитить меньшую сеть.

Чтобы защитить свою сеть с помощью IP-адреса Cloudflare, обратитесь к менеджеру своего аккаунта. После получения IP-адреса:

• Создать туннель.
• Настройте статические маршруты или Пиринг BGP (бета-версия).
• Настройте проверки работоспособности.
• Убедитесь, что вы правильно настроили туннель и проверки состояния конечных точек.
• Обновляйте инфраструктуру в удобном для вас темпе, чтобы перейти на использование выделенных IP-адресов Cloudflare.

При использовании IP-пространства, принадлежащего Cloudflare, вам не нужен Letter of Agency (LOA). При использовании IP-адресов, арендованных у Cloudflare, Cloudflare автоматически включает Magic Transit Egress, который направляет исходящий трафик к Cloudflare вместо интернета. Настройте на своей стороне маршрутизацию на основе политик, чтобы обратный трафик маршрутизировался правильно.

Magic Transit опирается на anycast-туннели для передачи пакеты из глобальной сети Cloudflare в вашу исходную сеть.

Маршрутизаторы на конечных точках туннелей должны соответствовать следующим требованиям для совместимости с Magic Transit.

• Поддержка GRE-туннелей (или IPsec, если GRE недоступен).
• Поддержка как минимум одного туннеля на каждого интернет-провайдера (ISP).
• Поддержка принудительное ограничение максимального размера сегмента (MSS).
• Поддержка асимметричного трафика (для Magic Transit, работающего только с входящим трафиком).

Составьте Letter of Agency (LOA) который определяет префиксы, которые вы хотите анонсировать, и разрешает Cloudflare анонсировать их. Нашим транзитным провайдерам требуется LOA, чтобы принимать маршруты, которые мы анонсируем от вашего имени.

Если вы являетесь интернет-провайдером (ISP) и анонсируете префиксы от имени клиента, вам потребуется LOA как для интернет-провайдера, так и для клиента.

Если вы используете IP-адрес Cloudflare, вам не нужно отправлять LOA.

[COMPANY LETTERHEAD]

LETTER OF AGENCY ("LOA")

[DATE]


To whom it may concern:

[COMPANY NAME] (the "Company") authorizes Cloudflare, Inc. with AS13335 to advertise the following IP address blocks / originating ASNs:

- - - - - - - - - - - - - - - - - - -
[Subnet & Originating ASN]
[Subnet & Originating ASN]
[Subnet & Originating ASN]
- - - - - - - - - - - - - - - - - - -

As a representative of the Company that is the owner of the aforementioned IP address blocks / originating ASNs, I hereby declare that I am authorized to sign this LOA on the Company’s behalf.

Should you have any questions please email me at [E-MAIL ADDRESS], or call: [TELEPHONE NUMBER]

Regards,


[SIGNATURE]


[NAME TYPED]
[TITLE]
[COMPANY NAME]
[COMPANY ADDRESS]
[COMPANY STAMP]

Убедитесь, что записи в вашем реестре Internet Routing Registry (IRR) соответствуют исходным номерам автономных систем (ASN), чтобы Magic Transit направлял трафик в нужные автономные системы (AS). Дополнительные сведения см. в Проверка записей IRR.

Если вы используете IP-адрес Cloudflare, вам не нужно проверять свои записи IRR.

Вы также можете использовать Resource Public Key Infrastructure (RPKI) как дополнительный способ проверки ваших префиксов. RPKI представляет собой метод защитной инфраструктуры ↗ который связывает маршрут с автономной системой. Он использует криптографию для проверки информации перед её передачей маршрутизаторам.

Если вы управляете сетью (интернет-провайдер, облачный провайдер, предприятие и другие), использование RPKI обеспечивает корректное распознавание ваших IP-префиксов маршрутизаторами. Это предотвращает сбои в обслуживании и защищает репутацию вашего бренда. Без RPKI злоумышленники могут анонсировать ваше адресное пространство, перенаправлять ваш трафик и наносить ущерб вашему бизнесу.

Чтобы проверить свои префиксы, можно использовать RPKI Portal Cloudflare ↗.

Перед включением Magic Transit убедитесь, что в вашей сети настроен максимальный размер сегмента. Cloudflare Magic Transit использует туннели для доставки пакеты ↗ из нашей глобальной сети в ваши дата-центры. Cloudflare инкапсулирует эти пакеты, добавляя новые заголовки. Вы должны учитывать место, занимаемое этими заголовками, при настройке значений максимального размера передаваемого блока (MTU) и максимального размера сегмента (MSS) для вашей сети.

Значение MSS зависит от настройки вашей сети.

• Только входящий трафик Magic Transit (DSR):

  • На транзитных портах вашего пограничного маршрутизатора: Установите TCP MSS clamp не более 1,436 байт.
  • На любых туннелях IPsec/GRE со сторонними организациями в рамках вашего префикса Magic Transit: Примените MSS clamp на внутреннем интерфейсе туннеля (скорее всего, на отдельном межсетевом экране за маршрутизатором, завершающим GRE-туннель), чтобы уменьшить текущее значение на 24 байта.

• Для входящего и исходящего трафика Magic Transit:

  • На внутреннем интерфейсе GRE-туннеля Magic Transit: То есть там, где будет проходить исходящий трафик Magic Transit. После настройки туннеля ваши устройства могут делать это автоматически, но это зависит от конкретного оборудования. Установите TCP MSS clamp не более 1,436 байт.
  • На любых туннелях IPsec/GRE со сторонними организациями в рамках вашего префикса Magic Transit: На внутреннем интерфейсе туннеля (скорее всего, на отдельном межсетевом экране за маршрутизатором, завершающим GRE-туннель), чтобы уменьшить текущее значение на 24 байта.

Для туннелей IPsec значение, которое нужно указать, зависит от того, как настроена ваша сеть. Значение MSS clamping для них ниже, чем для туннелей GRE, поскольку физический интерфейс получает IPsec-зашифрованный пакеты ↗, а не TCP-пакетов, поэтому MSS clamping к ним не применяется.

• Только входящий трафик Magic Transit (DSR):

  • На транзитных портах вашего пограничного маршрутизатора: Установите TCP MSS clamp на значение не более 1,436 байт.
  • На любых туннелях IPsec/GRE со сторонними организациями в рамках вашего префикса Magic Transit: На внутреннем интерфейсе туннеля (скорее всего, на отдельном межсетевом экране за маршрутизатором, завершающим GRE-туннель), чтобы уменьшить текущее значение на 140 байт.

• Входящий и исходящий трафик Magic Transit:

  • На вашем пограничном маршрутизаторе: Примените это на внутреннем интерфейсе IPsec-туннеля Magic Transit (то есть там, где будет проходить исходящий трафик Magic Transit). После настройки туннеля ваши устройства могут делать это автоматически, но это зависит от конкретного оборудования. Установите TCP MSS clamp не более 1,360 байт.
  • На любых туннелях IPsec/GRE со сторонними организациями в рамках вашего префикса Magic Transit: На внутреннем интерфейсе туннеля (скорее всего, на отдельном межсетевом экране за устройством, завершающим IPsec, в вашей инфраструктуре), чтобы уменьшить текущее значение на 140 байт.

См. Максимальный размер передаваемого блока данных и максимальный размер сегмента для дополнительных сведений.

Если вы не можете задать для MSS на физических интерфейсах значение меньше 1500 байт, вы можете очистить do not fragment бит в заголовке IP. Когда эта опция включена, Cloudflare фрагментирует пакеты ↗ больше 1500 байт, и пакеты собираются заново в вашей инфраструктуре после декапсуляции. В большинстве случаев включение этой опции не оказывает существенного влияния на пропускную способность трафика.

Чтобы включить эту опцию для своей сети, обратитесь в команду по работе с аккаунтом.

См. Максимальный размер передаваемого блока данных и максимальный размер сегмента для дополнительных сведений.

Инструкции по настройке MSS с помощью MSS clamp зависят от производителя вашего маршрутизатора.

В следующей таблице перечислены несколько часто используемых производителей маршрутизаторов со ссылками на инструкции по MSS clamping:

Настройка туннелей как на стороне Cloudflare, так и на стороне вашего маршрутизатора, чтобы подключиться к исходной инфраструктуре.

Настройте статические маршруты или Пиринг BGP для маршрутизации трафика из глобальной сети Cloudflare в ваши локации.

После настройки туннелей и маршрутов Cloudflare проверяет следующее:

• Связность туннеля
• Туннель и конечная точка проверки работоспособности
• Letter of Agency (LOA)
• Internet Routing Registry (IRR)
• Настройки Maximum segment size (MSS)

Cloudflare применяет конфигурации к глобальной сети, и это занимает около суток.

После завершения предварительных проверок Cloudflare разблокирует ваш префиксы, чтобы вы могли анонсировать через панель управления, API или BGP в удобное для вас время. См. Рекомендации по динамическому анонсированию чтобы узнать больше об анонсировании префиксов.

Если вы используете IP-адрес Cloudflare, анонсировать свои префиксы не нужно.

После анонсирования префиксов настройте параметры защиты от DDoS:

1. Просмотрите и настройте свои Защита от DDoS настройки, включая управляемые наборы правил защиты от DDoS-атак на сетевом уровне.
2. Если ваша сеть обрабатывает TCP-трафик, включите Advanced TCP Protection. Если ваша сеть получает трафик DNS over UDP, включите Advanced DNS Protection. Эти системы обеспечивают stateful-анализ, выходящий за рамки managed rulesets.