Unified Routing で IP lists・IDS・SIP ルールが使えるようになったよ！

やっほー、しぃちゃんだよ！今日は Cloudflare の Changelog でこっそり更新されてた、ネットワーク周りのお知らせを見つけたの。地味に見えるけど、Cloudflare One 環境を運用してる人にはうれしいアップデートだから紹介するね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog によると、Cloudflare Advanced Network Firewall の IP lists・IDS(侵入検知システム)・SIP rules が、Unified Routing モードを使ってるアカウントでもサポートされるようになったんだって。これらの機能を使うには、Cloudflare Advanced Network Firewall のサブスクリプションが必要だよ。

あわせて、Threat Intel Lists・Rate Limiting・Managed Rulesets のサポートも今後追加予定だって発表されてたよ。まだ全部の機能が揃ったわけじゃなくて、少しずつ足りないピースを埋めてる段階なんだね。

今までどうだったの？

Unified Routing は、Cloudflare One Client・Cloudflare Tunnel・IPsec・GRE・Cloudflare Network Interconnect(CNI)といった色んな接続方式を、1 つのルーティングの仕組みでまとめて扱えるようにする新しいデータプレーンなの。従来は Zero Trust 向けのルーティング(Tunnel・Mesh)と WAN 向けのルーティング(IPsec・GRE・CNI)が別々の 2 つの仕組みで動いてて、システムをまたぐトラフィックだと最長プレフィックスマッチが一貫して適用されない、っていう課題があったんだ。

Unified Routing はまだベータ版で、この統一されたルーティングの仕組みに乗せ替えている途中。今回のアップデート前は、Advanced Network Firewall の IP lists・IDS・SIP rules が Unified Routing モードではまだ使えなくて、これらを使いたい場合はレガシーのルーティングのままにしておく必要があったの。

これで何が変わるの？

これで、Unified Routing モードに乗り換えていても、IP アドレスをリスト化してブロック・許可する IP lists や、不正な通信パターンを検知する IDS、SIP(VoIP で使われるプロトコル)を狙った攻撃から守る SIP rules を、そのまま使い続けられるようになったの。Cloudflare Network Firewall・Magic Transit・Cloudflare WAN を使ってるチームは、ファイアウォールの機能を落とさずに Unified Routing への移行を進めやすくなったってことだね。

深く潜ってみよう

Unified Routing のうれしいポイントは、ルート選択がすべてのトラフィックタイプ・接続方式で一貫して最長プレフィックスマッチを適用してくれること。それ以外にも、こんな機能が用意されてるよ。

• 自動リターンルーティング(ARR): 静的・動的ルートを用意しなくても戻りのトラフィックを自動で処理してくれる
• BGP over IPsec/GRE: 動的なルート交換に対応
• IPv6 サポート
• カスタマイズ可能な IP 範囲
• IPsec・GRE・CNI 経由の Cloudflare Mesh 接続にも対応

ただしまだベータ版だから、制限も色々残ってるの。

• パフォーマンスは 1 オンランプあたり約 150 Mbps に制限されている
• 基本のパケットキャプチャは ARR・BGP のトラフィックを対象外にしている
• Advanced Network Firewall の ASN リスト・脅威インテル・レート制限はまだ未対応(今回対応したのは IP lists・IDS・SIP rules のみ)
• IPsec・GRE・CNI 同士の間のトラフィックでは Gateway のフィルタリングが使えない
• プライベート同士の通信では、Load Balancer が Cloudflare の Source IP に対応していない

もっと詳しい制限のリストは、Cloudflare の「Traffic steering beta limitations」のドキュメントにまとまってるから、実際に Unified Routing を使う前にチェックしておくと安心だよ。

まとめ

• Cloudflare Advanced Network Firewall の IP lists・IDS・SIP rules が Unified Routing モードでも使えるようになった
• 利用には Advanced Network Firewall のサブスクリプションが必要
• Threat Intel Lists・Rate Limiting・Managed Rulesets のサポートは今後追加予定
• Unified Routing はまだベータで、パフォーマンスやファイアウォール機能まわりに制限が残っている

Cloudflare One や Magic WAN でネットワークを運用してて、Unified Routing への移行を検討中のインフラ担当さんには特に見逃せないアップデートだよ！