← Network Flow / network-flow / rules
Правило статического порога
Правило статического порога отслеживает сетевой трафик относительно фиксированного порога, который вы задаёте, измеряемого в битах или пакетах в секунду. Network Flow (ранее Magic Network Monitoring) сравнивает суммарный трафик по всем IP-префиксам и адресам, указанным в правиле, с этим порогом. Если трафик превышает порог в течение заданной продолжительности, Network Flow отправляет оповещение.
Чтобы использовать правила статического порога, необходимо отправлять данные NetFlow или sFlow в Cloudflare.
Поля настройки правила
| Поле | Описание |
|---|---|
| Название правила | Должно быть уникальным и не может содержать пробелы. Поддерживаются символы A-Z, a-z, 0-9, подчеркивание (_), дефис (-), точка (.), и тильда (~). Максимум 256 символов. |
| Тип правила | пороговое значение |
| Тип порога правила | Задается в битах в секунду или в пакетах в секунду. |
| Порог правила | Количество бит в секунду или пакетов в секунду для оповещения по правилу. Если это значение превышено в течение заданной длительности правила, отправляется уведомление. Минимум: 1 и без максимального значения. |
| Длительность правила | Время в минутах, в течение которого трафик должен превышать порог правила, чтобы было отправлено уведомление. Выберите одно из следующих значений: 1, 5, 10, 15, 20, 30, 45, или 60 минут. |
| Auto-advertisement | Если вы клиент Magic Transit On Demand, вы можете включить эту функцию, чтобы Magic Transit автоматически включался при срабатывании оповещения правила. Network Flow (ранее Magic Network Monitoring) поддерживает функцию суперсетей Magic Transit. Подробнее см. в раздел Auto-Advertisement. |
| IP-префикс правила | IP-префикс, связанный с правилом отслеживания объёма трафика. Должен быть указан в формате CIDR, например 160.168.0.1/24. Максимум составляет 5,000 уникальных записей CIDR. Дополнительную информацию см. в IP-префиксы правила. |
Документация по API
Чтобы увидеть пример правила статического порога, перейдите в Правила раздел в документации API Network Flow.
Рекомендуемая настройка правила
Следуйте рекомендациям в IP-префиксы правила, Порог правила, а также Длительность правила для создания подходящих правил Network Flow и установки точных пороговых значений.
IP-префиксы правила
Cloudflare рекомендует начинать с одного правила Network Flow для каждого публичного /24 IP-префикс в вашей сети. Включая диапазон /24 префикс в названии правила упрощает поиск и фильтрацию в аналитике Network Flow.
По мере того как вы лучше изучите характер трафика по каждому префиксу, создавайте более точные правила с IP-префиксами меньше или больше, чем /24 в зависимости от ваших потребностей. Вы также можете объединить несколько IP-префиксов в одном правиле.
Порог правила
Выполните действия, описанные в Начальная настройка правила и Настройка подходящего порога для настройки подходящих пороговых значений правил.
Начальная настройка правила
При первоначальной настройке Network Flow вы можете не знать типичные шаблоны трафика для каждого IP-префикса. Задайте начальный порог достаточно высоким, чтобы он вряд ли сработал во время настройки: Cloudflare рекомендует 10 Gbps или 10 Mpps.
Это позволяет собрать базовые данные о трафике, не получая уведомлений. После настройки первоначальных правил следите за уведомлениями и проверяйте трафик в Network Flow Analytics. Со временем корректируйте порог каждого правила на основе исторических данных о трафике.
| Тип порога | Рекомендуемый порог правила для сбора первоначальных данных |
|---|---|
| Биты | 10 Гбит/с (10,000,000,000 бит в секунду) |
| Пакеты | 10 Mpps (10,000,000 пакетов в секунду) |
Настройка подходящего порога
После создания первоначального набора правил для отслеживания сетевого трафика соберите данные об объёме трафика за 14-30 дней по каждому правилу.
Cloudflare рекомендует устанавливать порог правила, вдвое превышающий максимальный трафик без атаки, зафиксированный за минутный интервал в рамках правила Network Flow.
Чтобы найти максимальный объём трафика без учёта атак за одноминутный интервал за последние 14-30 дней, отфильтруйте нужное для анализа правило:
- Перейдите в Сетевой поток страницу.
- Выберите Добавить фильтр.
- В Новый фильтр, используйте выпадающие меню, чтобы создать следующий фильтр:
| Поле | Оператор | Название правила |
|---|---|---|
| Monitoring Rule | равно | <RULE_NAME> |
После выбора фильтра правила в Network Flow Analytics можно просмотреть исторические данные об объёме трафика для этого правила за выбранный период. Cloudflare рекомендует анализировать исторические данные семидневными интервалами, поскольку это самый большой диапазон, в котором ещё отображаются часовые интервалы. Чтобы выбрать произвольный семидневный диапазон, перейдите в правый верхний угол Network Flow Analytics, откройте раскрывающееся меню выбора периода и выберите Custom range.
Просмотрите выбранный семидневный период и определите наибольший пик объёма трафика. Затем щёлкните и перетащите указатель на этот пик, чтобы просмотреть данные об объёме трафика за более короткий промежуток времени. Повторяйте это действие, пока не увидите данные об объёме трафика с интервалом в одну минуту.
Запишите наибольший пик объёма трафика для правила в таблицу, затем повторяйте этот процесс на протяжении 14-30 дней. Порог правила следует обновить так, чтобы он в два раза превышал наибольший всплеск трафика за одноминутный интервал, зафиксированный за 14-30 дней данных. Этот процесс нужно выполнить для настройки порога каждого правила Network Flow.
Длительность правила
Ваши IP-префиксы могут показывать неравномерные всплески трафика в одноминутных интервалах. Задайте длительность правила не менее двух минут, чтобы снизить количество ложных срабатываний из-за кратковременных всплесков трафика, не связанных с атаками. Длительность в две минуты означает, что трафик должен оставаться выше порога в течение двух минут, прежде чем сработает уведомление.
Корректировка правил со временем
После обновления первого набора пороговых значений на основе исторических данных отслеживайте оповещения Network Flow, чтобы убедиться, что пороги заданы корректно. Со временем корректируйте пороги и продолжительность, чтобы подобрать нужную чувствительность оповещений для вашей сети.