CLOUDFLARE#

Extending Cloudflare to all your networks

Published on 2020-07-03 00:00:00

Cloudflare は何ができ、どのように機能するかを調べました。

何ができるか#

Cloudflareは自身がホストするサイトのリバースプロキシとして機能し、 以下のメリット／デメリットを享受できます。

メリット

  • キャッシュによるコンテンツ配信の高速化およびサーバー負荷の軽減

  • DDos攻撃の軽減

  • SSL 証明書管理の省略

デメリット

  • Cloudflare障害発生時にコンテンツ配信が不可

Cloudflare 障害 で検索すると 2020年4月15日に発生したダッシュボードとAPIの停止について といった記事が見つかります。

どのように機能するか#

Cloudflareを使うということは、自身が所有するゾーン（ドメイン）の権威 DNS サーバーをCloudflareが提供する権威DNSサーバーに切り替えることを意味します。

※ 権威 DNS サーバー とは
※ ゾーン とは
例えば、さくらインターネットでドメインを取得し、ゾーン管理を行なっていたとします。
この場合、権威DNSサーバーはさくらの権威DNSサーバーです。
すなわち NS リソースレコードにはさくらインターネットの DNS サーバーが登録されています。
Cloudflareを使う場合、このNSリソースレコードをCloudflareの権威 DNS サーバーに登録し直します。
ゾーンの権威DNSサーバーを切り替えるため、
ブラウザーのリクエストは必ずCloudflareの権威DNSサーバーの情報で名前解決を行われるようになり、リバースプロキシを経由するか否かの判断がされてからホストするサーバーへ到達するようになります。
※ リバースプロキシを経由するか否かは設定で選択することができます。

警告

ゾーン管理は慎重かつ自己責任で行ってください。

プロキシ対象#

リバースプロキシする対象をユーザーは適切に選択する必要があります。

Cloudflareは、Aレコード、AAAAレコード、およびCNAMEレコードのトラフィックのみをプロキシします。 しかし、すべてのAレコード、AAAAレコード、およびCNAMEレコードが、Cloudflareを介してプロキシするのに適しているわけではありません。. どのレコードをプロキシするかを決めるには、各サブドメインのトラフィックの種類を確認します。

詳細は Cloudflareと互換性のあるサブドメインを特定する を参照してください。

e2e暗号化について#

リバースプロキシを経由するリクエストとその応答は以下の通信経路を辿ります。

Browser <-----> Cloudflare <-----> Origin Server

この間の暗号化は以下のようになります。

  • Browser <-----> Cloudflare 間はCloudflare発行のSSL証明書がデフォルトで適用されます。

  • Cloudflare <-----> Origin Server 間はCloudflareで発行可能なOrigin CA証明書（最長有効期間15年）を適用できます。

詳細は Cloudflareを利用したエンドツーエンドのHTTPS - パート 1：概念の概要 を参照してください。