Cloudflare Tunnel

配信元インフラストラクチャを保護する上での課題

オリジンのIPアドレスやオープンポートは、クラウドベースのセキュリティサービスの向こう側にある時も、高度な攻撃にさらされており脆弱な状態です。そうした直接的なDDoS攻撃やデータ漏えいの試みに対しては、アクセス制御リスト（ACL）による送信元IPアドレスの監視や、GREトンネル経由のIPセキュリティ有効化など、一般的な対策がいくつかあります。

ただ、それらのアプローチは、セキュアトンネリングソフトウェアなど他のネットワークセキュリティソリューションに比べて低速で高価なうえ、設定やメンテナンスに時間がかかりがちで、完全統合された暗号化でない場合が多いのです。

配信元を安全にCloudflareに直接接続

Cloudflare Tunnelは、インフラストラクチャの種類を問わず、アプリケーショントラフィックをすばやく安全にし暗号化できるトンネリングソフトウェアです。これにより、WebサーバーのIPアドレスを秘匿し、直接攻撃をブロックしつつ、優れたアプリケーションの配信を続けることができます。

仕組みは次のとおりです。

TunnelデーモンはオリジンWebサーバーと最寄りのCloudflareデータセンターとの間に、パブリックなインバウンドポートを一切開くことなく、暗号化されたトンネルを作成します。

ファイアウォールを使ってオリジンサーバーのポートとプロトコルをすべてロックダウンした後、帯域幅消費型 DDoS攻撃を含めHTTP/Sポート上のリクエストをすべて遮断します。移動中のデータ盗み見やブルートフォースログイン攻撃など、データ漏えいの試みも完全にブロックされます。

トンネルの作成方法と継続的改善について、詳細をご覧ください。