CDN・WAF 構成点検表 · 海外接続

海外からの接続が遅いという言葉だけでは、手を入れる場所を決められません。オリジンサーバーが応答するまでの時間と、その応答が利用者に届くまでの時間を分けて測ります。前者が問題ならアプリケーションとデータベースを見ることになり、後者なら配信経路を近づける作業が答えになります。

測定は利用者が実際にいる地域から行います。接続の多い地域を三か所ほど決め、同じページを同じ時間帯に測り、その値を基準線として残します。対策後に同じ方法で測り直してはじめて、効果がどこで出たのか読み取れます。オフィスの回線で一度測った値は基準線になりません。

すべてのファイルに同じ保持期間を与えると、更新が遅れるかオリジンが混みます。頻繁に変わるファイルと長く置くファイル、人ごとに異なるページを分け、それぞれに保持期間と更新方式を定めます。画像と動画、静的ファイルが先の対象です。ログインした人にだけ見える画面はキャッシュ対象から外し、個人情報を含む応答が前段に残らないことを確認します。

配信時に何をどう消すのかも決めておきます。ファイル名にバージョンを入れて差し替える方式と即時無効化する方式を使い分け、キャッシュキーに何が入るのかを確認します。キーに不要な値が混じると同じファイルが複数に分かれ、ヒット率が下がります。広告流入に付く追跡値が代表例です。

配信を近づけてもオリジン呼び出しがそのままなら削減はありません。コンテンツ種別ごとのヒット率とオリジンへ渡った要求量を分けて収集し、ヒット率の低い経路を見つけてヘッダーと規則を直します。月単位のオリジントラフィックを対策の前後で比べて記録します。配信費用はオリジンから出る量で課金されるため、この数字がそのまま削減額になります。

オリジンが応答しないとき何を返すのかも決めます。代替応答の規則があれば、急なトラフィック増加とオリジン障害を前段で吸収します。オリジンサーバーの性能を上げて対応する前に、この項目から点検します。

海外からの接続が多いサービスで遮断規則を地域だけで作ると、顧客まで一緒に止まります。まず正常な利用者がどの地域から来るのかを確認して許可の一覧を作り、それ以外の要求は性格で判別します。要求の頻度と経路、クライアント情報、ログインや決済といった重要経路への接近が判別の根拠になります。同じ地域から来ても、人が使う接続と自動化された収集では動き方が違います。

規則は掛けたまま放置しません。遮断記録を見て誤検知を調整し、止まった要求の中に正常な利用者が混じっていないかを毎週確認します。既知の攻撃パターンの遮断と管理経路へのアクセス制限、証明書の自動更新は同じ前段でまとめて処理します。どの要求がなぜ止まったのかの記録が残ってこそ、規則を磨き続けられます。

切り替えはドメインの向き先を前段に変える作業なので、アプリケーションのコードは変えません。証明書とDNSの設定を移し、切り替え中はオリジンへの直接経路も開いてトラフィックを分けて流します。すでに運用中のサービスにも同じ方法で適用します。

トラフィックの少ない時間帯に段階的に上げ、問題が見えたら直ちに戻します。戻す条件と判断する人を作業前に決めておけば、当日に議論しません。切り替え後の最初の一週間は、地域別の応答時間と遮断記録を毎日確認します。