← Cloudflare One / cloudflare-one / networks / connectors / cloudflare-wan / configuration / how-to

Nakonfigurujte zdrojové IP adresy Cloudflare (beta)

Můžete nakonfigurovat rozsah zdrojových IP adres, které Cloudflare používá vždy, když služba Cloudflare, například Cloudflare Load Balancing, odesílá provoz do privátní sítě Cloudflare One. Tento rozsah adres se označuje jako Cloudflare Source IP Prefix (nebo cloudflare_source typ podsítě v API).

• Provoz IPv4 pochází z 100.64.0.0/12. Tento rozsah je konfigurovatelný.
• Provoz IPv6 pochází z 2606:4700:cf1:5000::/64. Tento rozsah není konfigurovatelný.

Když služby Cloudflare odesílají provoz do vaší privátní sítě, zdrojová IP adresa určuje, jak se směruje vratný provoz. Určuje také, zda mohou lokální bezpečnostní zařízení provoz správně zkontrolovat. Ve starším režimu směrování pochází provoz do privátních sítí z veřejných IP adres Cloudflare, což může způsobit problémy se směrováním a zabezpečením.

U zákazníků používajících Unified Routing (beta), provoz do privátních sítí ve výchozím nastavení pochází z vyhrazeného privátního rozsahu IPv4, který není směrovatelný na internetu. Díky tomu:

• Symetrické směrování : Zpětný provoz zůstává na vašem privátním síťovém připojení, místo aby se ubíral asymetrickou cestou přes veřejný internet.
• Zachování stavu brány firewall : On-premise stavové firewally dokážou sledovat spojení od začátku do konce, protože vidí provoz požadavku i odpovědi.
• Zabezpečení a soulad s předpisy : Privátní provoz zůstává na zabezpečených privátních trasách.

Zákazníci mohou chtít změnit výchozí přidělený rozsah, aby se vyhnuli konfliktům IP adres nebo jej přizpůsobili stávajícímu plánu správy IP adres.

Ve vaší síti musíte nakonfigurovat trasy tak, aby se provoz s odpověďmi pro tyto zdrojové rozsahy vracel zpět ke Cloudflare přes vaše připojení Cloudflare One.

Než začnete, ujistěte se, že:

• Máte Cloudflare One Unified Routing (beta). Pokud váš účet zatím nepoužívá Unified Routing, obraťte se na svůj tým pro práci s účtem a proberte migraci a dostupnost.
• Máte Cloudflare One Networks Write oprávnění.
• Váš požadovaný nový rozsah sítě splňuje následující požadavky:
  • Vaše síť musí být definovaná jako jediný rozsah CIDR s délkou prefixu /12.
  • Podsítě Cloudflare One se v rámci stejného účtu nesmí překrývat. Výchozí přidělení zahrnuje:
    • Zdrojové IP adresy Cloudflare (100.64.0.0/12)
    • IP adresy tokenu trasy hostname (172.64.128.0/20 ve výchozím nastavení; konfigurovatelné)
    • Cloudflare One Client (100.96.0.0/12)
    • Private Load Balancers (100.112.0.0/16)
  • Zdrojová podsíť se nesmí shodovat ani překrývat s žádnou existující trasou ve směrovací tabulce Cloudflare One. Zdrojová podsíť může ležet v rámci trasy supersítě.

Cloudflare One podporuje více možnosti připojení. Následující konektory budou přijímat provoz z cloudflare_source podsíť, když služba Cloudflare jako offramp iniciuje požadavek na připojenou síť nebo koncový bod:

• Tunely Anycast: GRE, IPsec a CNI
• Softwarové connectory: Cloudflare One Client a Cloudflare Mesh

Sítě nebo endpointy připojené přes Cloudflare Tunnel nebudou přijímat provoz z podsítě zdrojových IP adres Cloudflare. Zdrojová IP adresa bude místo toho adresou hostitele, na kterém běží cloudflared software.

Všechny služby Cloudflare, které iniciují nebo proxují připojení, odesílají provoz ze zdrojové IP adresy Cloudflare.

Patří sem i provoz směrovaný přes proxy z privátní sítě nebo přes endpoint onramp.

Provoz, který vstoupí (on-ramp) z Cloudflare One Client přes Cloudflare Load Balancer nebo Gateway DNS Resolver, se cílovému off-rampu představí se zdrojovou IP adresou Cloudflare.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/zerotrust/subnets/cloudflare_source/$ADDRESS_FAMILY" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"comment": "example_comment",
		"name": "IPv4 Cloudflare Source IPs",
		"network": "100.64.0.0/12"
	}'