在 Magic Transit 和 CDN 中使用 BYOIP

使用 BYOIP 的 Magic Transit 客户也可以从 Cloudflare 为基于 HTTP 的应用程序提供的性能、可靠性和安全性中受益。服务绑定 (service bindings) 允许 BYOIP 客户根据每个 IP 地址有选择地将流量路由到 CDN 管道（包括 Cache、Web Application Firewall (WAF) 等）。

本指南介绍了如何使用 Cloudflare API 配置带有 CDN 的 Magic Transit。也可以定义服务绑定来选择性地将流量路由到 Spectrum 管道。有关可能配置的完整列表及其他可用指南，请参阅范围。

需要特别注意的是，路由到 CDN 管道的流量在第 3 层和第 4 层受到 CDN 管道原生固有 DDoS 防护能力的保护。

• 确保您的合同根据自身需求包含 CDN。如果在执行以下步骤时发现任何与订阅相关的问题，请联系您的客户团队。

• 规划将使用哪些 IP：

  Cloudflare 强烈建议通过聚合的 CIDR 块实现服务绑定，因为这比为不连续的 CIDR 块添加离散绑定更有效率。

  示例

  Magic Transit 保护的前缀： 203.0.113.0/24

  要升级到 CDN 的 IP：

  203.0.113.16
203.0.113.17
203.0.113.18
203.0.113.19
203.0.113.20
203.0.113.21
203.0.113.22
203.0.113.23

  为 203.0.113.16 添加一个带有 /29 网络掩码的离散 CDN 服务绑定。

  一旦创建（or 删除）服务绑定，将需要 4 到 6 个小时 在 Cloudflare 的全球网络中进行传播。在此窗口期内，范围内 IP 地址的服务可能会中断。

1. 登录您的 Cloudflare 账户，并获取您的 账户 ID 以及 身份验证密钥或令牌。如果使用 API 令牌，权限应包含 Account - IP Prefixes - Edit。
2. 向 List Services（列出服务） 端点发送 GET 请求，并记下与 CDN 服务相关联的 id。
3. 使用 List Prefixes（列出前缀） 端点，并记下与您要配置的前缀 (cidr) 相关联的 id。

4. 要确认您当前是否拥有 Magic Transit 服务绑定且该绑定覆盖了您的整个前缀，请向 List Service Bindings（列出服务绑定） 端点发送 GET 请求。将 URI 路径中的 {prefix_id} 替换为步骤中获得的实际前缀 ID。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request GET \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY"

1. 向 Create service binding（创建服务绑定） 端点发送 POST 请求，指明您想要绑定到 CDN 的 IP 地址。根据需要指定相应的网络掩码。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bindings" \
	--request POST \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY" \
	--json '{
		"cidr": "203.0.113.100/32",
		"service_id": "<SERVICE_ID>"
	}'

{
  "errors": [],
  "messages": [],
  "success": true,
  "result": {
    "cidr": "203.0.113.100/32",
    "id": "<SERVICE_BINDING_ID>",
    "provisioning": {
      "state": "provisioning"
      },
    "service_id": "<SERVICE_ID>",
    "service_name": "<SERVICE_NAME>"
  }
}

您可以定期使用 List Service Bindings（列出服务绑定） 端点检查服务绑定的状态。

配置好 IP 的 CDN 服务后，您可以使用地址映射 (address maps)指定当记录被代理 (proxied)时，Cloudflare 在 DNS 响应中应使用哪些 IP。

您可以选择两种不同的范围：

• 账户级 (Account-level)：对一个账户内所有区域 (Zones) 的所有代理 DNS 记录使用地址映射。
• 区域级 (Zone-level)：对一个区域内的所有代理 DNS 记录使用地址映射。

虽然 DNS 记录代理状态和地址映射将决定 Cloudflare 权威 DNS 如何响应针对您主机名的请求，但在 A/AAAA 记录中指定的 IP 地址将决定 Cloudflare 如何到达已配置的源站。

根据您的需求利用其他功能。例如：

• 缓存 (Cache)
• WAF 自定义规则
• 安全分析