レンジアプリケーションについて

レンジ・アプリケーションは、 DDoS 保護、 TLS 暗号化、およびカスタム・ルール・ポリシーを、従来の HTTP / HTTPS トラフィックだけでなく、 TCP および UDP サービスにも拡張します。 これらのアプリは、ウェブトラフィックだけでなく、 TCP ベースのサービスを保護し、 IBM Cloud CIS 内で包括的なセキュリティとパフォーマンスの利点を提供します。

レンジ・アプリケーションの使用例

レンジ・アプリケーションの使用例には、以下のようなものがある：

企業VPNゲートウェイの保護
ある企業が、遠隔地の従業員のためにVPNを公開した。 レンジ・アプリケーションは、オリジンIPをマスキングしながら、 DDoS 攻撃中もVPNが利用可能であることを保証します。
NATとネットワーク機器の保護
ネットワークアドレス変換（NAT）デバイスは、インバウンドとアウトバウンドのトラフィックを管理する。 レンジアプリケーションは、信頼性の高い接続性を維持しながら不正使用を防止します。
パートナーからアクセス可能なデータベースの保護
MySQL または PostgreSQL データベースは、信頼できるパートナーによってアクセスされる。 レンジ・アプリケーションは、データベース・サーバーをオープン・インターネットに公開することなく、トラフィックを安全に通過させる。
コラボレーションとサードパーティの統合の保護
Zoomや Microsoft Teams などのコラボレーション・プラットフォームと統合している。 トラフィックは既知の限定されたIP範囲から発信されるため、Rangeアプリケーションは、このトラフィックが DDoS のアクティビティとして誤って分類されるのを防ぎながら、中断されることなく通過することを可能にする。

アプリケーションWAFサポートの使用例

レンジ・アプリケーションは、レイヤー7（ HTTPS ）またはレイヤー4（ TCP ）で動作するように設定することができ、これによってWAF検査が適用されるかどうかが決まる。 以下のユースケースは、WAFのサポートがアプリケーションのタイプとトラフィック処理モデルによってどのように異なるかを説明している。

HTTPS ベースのRangeアプリケーションでWAF検査を有効にする

アプリケーションにレイヤー7保護が必要な場合は、タイプ HTTPS （例えばポート 9443 ）のRangeアプリケーションを使用してください。

この構成では、 TLS ハンドシェイクは CIS エッジで終了する。 TLS が CIS エッジで終了した後、トラフィックは復号化され、WAF によって検査される。 CIS その後、オリジンに転送する前にトラフィックを再暗号化し、 CIS とオリジン間の安全な通信を保証することができる。

その結果、トラフィックはバックエンド・サービスに到達する前に検査・保護され、 CIS とオリジン間のセキュアな通信が維持される。

トラフィックの流れの例： Client → HTTPS:443 → CIS (WAF inspection) → HTTPS:9443 → Origin

WAF をサポートしない TCP ベースの Range アプリケーションの使用

layer 4 プロキシが必要なサービスには、 TCP のレンジアプリケーションを使用する。

この構成では、 CIS はトランスポート層で動作し、 TLS を停止したり、 layer 7 トラフィックを検査したりはしない。 トラフィックは TCP として転送されるため、ペイロードは復号化されず、WAFによって評価されない。

その結果、WAFの保護は適用されない。 その代わりに、 CIS は、 DDoS 保護、IPマスキング、安全な TCP プロキシといったネットワークレベルの機能を提供する一方で、トラフィックをオリジンに直接転送する。

トラフィックの流れの例： Client → TCP → CIS (L4 proxy/DDoS protection) → TCP → Origin

対応プロトコルとユースケース

アプリケーション・タイプは、 CIS エッジからオリジンへのトラフィックのルーティング方法を決定します：

  • TCP または UDP ： CIS、トラフィックをオリジンに直接プロキシしたい場合に使用する。
  • HTTP または HTTPS ：エッジ機能またはボット管理に必要。トラフィックは CIS パイプラインを経由する。
  • RDP：リモートデスクトッププロトコル（RDP）を使用することで、 DDoS の保護とアクセス制御が組み込まれ、安全に接続できます。
  • SSH: オリジンIPを公開することなく、SSH経由でリモートサーバーに安全にアクセスできます。
  • Minecraft DDoS の緩和とネットワークパフォーマンスの向上により、Minecraft サーバーを保護し、高速化します。

プロトコル固有の制限については、 既知の問題と制限を 参照のこと。

セキュリティとポート設定

デフォルトでは、レンジアプリケーションは全てのポートをリッスンします。 しかし、Rangeアプリケーションは、 CIS で設定されたエッジポートからの接続のみを明示的にプロキシします。

レンジアプリケーションIPのいずれかのポートで TCP ハンドシェイクが開始されると、 CIS、エッジでハンドシェイクを完了することができる。 ただし、レンジアプリケーション用に明示的に設定されたポートだけがオリジンにプロキシされます。 他のポートへの接続は、オリジンに到達することなくエッジで即座に切断される。

Rangeアプリケーションは、Rangeアプリケーションがリクエストされたポートに設定されている場合のみ、オリジンへのトラフィックをプロキシします。