Cloudflare

Cloudflareのセットアップモードについて（Full vs CNAME）
ーコラムー
2020年1月10日号

Cloudflareのセットアップモードについて（Full vs CNAME）

Cloudflareでは、以下の2つのセットアップモード（導入パターン）があります。

●Full Setup
導入ドメインの権威DNSサーバがCloudflareとなる。

●CNAME Setup
既設DNSサーバが引き続き権威DNSとなる。


上記2つを、それぞれ詳しく説明いたします。



Full Setup

Cloudflareが該当ドメインの権威DNSとなるため、MXレコード等、必要なリソースレコードを全てCloudflareへ登録し、上位DNSにおいて該当ドメインのNSレコードをCloudflareへ向けます。

上記でCloudflareに設定されたIPアドレスが2.2.2.2となっていますが、動作上は2.2.2.2を答えず、CloudflareのIPアドレスを答えます。そうしないとWebトラフィックがCloudflareに入ってこないためです。




CNAME Setup

特定のFQDNのWebトラフィックのみCloudflareへ向けるため、DNSサーバにCNAMEレコードを設定し、Cloudflareへ誘導します。


上記の通り、元のFQDNの末尾に.cdn.cloudflare.net.を付与した値をCNAMEレコードへ設定します。Cloudflareの設定はFull Setupと同様にWebサーバのアドレスを設定しますが、動作上はCloudflareのアドレスが応答されます。



●導入後にCloudflareを外す場合

CloudflareのDNSの設定では、オリジンサーバ（Webサーバ）のアドレスを設定しても、そのアドレスを応答せず、Cloudflareのアドレスを応答する旨説明しましたが、実際にはProxy設定のOn／Off状態によって変わります。DNSの設定画面で、各レコードに対してCloudflare経由とするかどうかのスイッチがあり、これをOnにするとCloudflareのアドレスが応答され、Offにするとオリジンサーバのアドレスが応答されCloudflareを経由させない経路に変わります。



Cloudflare導入後は、WebトラフィックをCloudflare経由にする／しないをワンクリックで切り替えることが出来ます。



比較

2つのセットアップモードを比較してみました。基本的にフルセットアップの方がメリットが多くなっています。

モード メリット デメリット
Full
Setup
      ✔ Cloudflareの価格に影響ないため、別途DNSサーバを持たなくて良い分、コストのメリットがある。
      ✔ DNSサーバに対するDDoS攻撃への耐性が強化される。（DNSがダウンするとWebサーバが稼働していてもサイトは参照できません。またメールなどにも影響が出るため、Webサーバだけ守っていても意味がなくDNSの防御は重要）
      ✔ DNSの運用に関して、Linuxの脆弱性やBINDの脆弱性などへの対応が不要になり、運用上のメリットがある。
    ➡　既存で使用しているDNSでKey Featureがあり、その機能をCloudflareが備えていない場合、機能が失われる。
CNAME
Setup
      ✔ 既存DNSにKey Featureがある場合、Cloudflare導入後も使い続けられる。
    ➡　CloudflareにDNS機能があるのに別途DNSサーバのコストがかかる。
      ➡　DNSサーバに対するDDoS防御が提供されない。DNSがダウンするとWebサーバのみを守っていても結局サイトがダウン（アクセス不可）してしまい、メールなどにも影響が出る。
        ➡　DNSの製品によってはLinuxやBINDの脆弱性などへの対応が必要で、運用負荷が高い。



さいごに

Cloudflareというと、CDN+WAFというイメージを持たれている方もいらっしゃいますが、DNSも付属し追加料金はありません。既存のDNSのコストをカットできることも考慮し検討して頂ければと思います。







本記事ではCloudflareのセットアップモードについてご紹介させていただきましたが、いかがでしたでしょうか。 当社ではCloudflareのPoCご相談も承っておりますので、「PoCのご相談」からお気軽にご連絡ください！（※PoCは法人のお客様に限ります。あらかじめご了承ください）

角田貴寛

　執筆者：角田 貴寛

三井情報株式会社
ソリューション技術本部 次世代基盤第二技術部 第一技術室
CISSP、CEH
現在、セキュリティ関連調査研究・教育業務に従事


↑