← Cloudflare Magic Transit / magic-transit / reference

Исходящий трафик

Если вы используете Magic Transit для исходящего (egress) трафика, учтите следующие технические аспекты для успешного подключения к Cloudflare.

• Исходный IP-адрес для пакеты ↗ который вы отправляете в Cloudflare, должен исходить из вашего префикса Magic Transit. Если у вас есть Magic Transit арендованные IP-адреса или Использование собственного IP (BYOIP) префиксов вы можете выбрать, реализовать ли трансляцию сетевых адресов (NAT) на пограничном устройстве, либо использовать префикс как маршрутизируемый интерфейс локальной сети (LAN) на своей стороне.
• Cloudflare рекомендует создавать правила маршрутизации на основе политик (PBR), чтобы через ваши туннели GRE/IPsec к Cloudflare для выхода в интернет проходил только трафик из ваших префиксов BYOIP или арендованных IP-адресов Magic Transit. Cloudflare принимает исходящий трафик только из авторизованных префиксов, поэтому ваши политики PBR должны это учитывать. Если настроить PBR невозможно и вам нужен маршрут по умолчанию через туннели Magic Transit, убедитесь, что маршруты к anycast-адресам назначения ваших туннелей проходят через ваш базовый (underlay) транзитный канал.
• Для перенаправления трафика PBR нужен механизм обнаружения сбоев туннеля. Он гарантирует, что при сбое в канале до Cloudflare устройство перенаправит пакеты по другому пути. Например, устройство можно настроить так, чтобы оно пинговало другую сторону туннеля или отправляло пробный запрос на сайт в интернете. Если проверка не проходит, устройство должно отключить путь передачи PBR и переключиться на резервный туннель. Порядок настройки уточняйте в руководстве к вашему оборудованию.
• Может потребоваться настроить несколько туннелей GRE/IPsec для распределения трафика, отправляемого в интернет через Cloudflare. Этого можно добиться, применив два разных правила PBR. Тогда трафик из одной подсети будет проходить через один туннель, а трафик из другой подсети через другой.
• Правила Cloudflare Network Firewall применяются в обоих направлениях. Убедитесь, что вы настроили правила Cloudflare Network Firewall для нужных вам потоков трафика как на входе, так и на выходе.
• Если вы используете исходящий трафик (egress) в Magic Transit, рекомендуем задать в настройках проверки работоспособности туннеля GRE или IPsec значение двунаправленный, чтобы проверки работоспособности Cloudflare соответствовали плоскость данных ↗ потока трафика.
• После того как вы настроите исходящий трафик для прохождения через туннель GRE/IPsec, Cloudflare инкапсулирует его и отправляет на anycast-конечную точку Cloudflare. Далее ваш интернет-провайдер (ISP) маршрутизирует инкапсулированный трафик к ближайшей доступной точке присутствия Cloudflare (PoP), где он выходит в интернет через варианты подключения Cloudflare, доступные в этой локации.