Wir haben die Data Localization Suite 2020 eingeführt, als Datenlokalisierung in der Europäischen Union bereits eine wichtige Rolle spielte. Seitdem hat dieser Trend auf den Rest der Welt übergegriffen. Wir freuen uns, dass wir den Service nun auch für diese Länder im Asien-Pazifik-Raum anbieten können. So haben mehr Kunden die Möglichkeit, genau festzulegen, in welchen Teilen des Cloudflare-Netzwerks erweiterte Funktionen wie die WAF oder das Bot-Management zur Überprüfung des Traffics eingesetzt werden sollen.
Regional Services im Überblick
Im Jahr 2020 haben wir (Regional Services) eingeführt und damit für Kunden eine neue Möglichkeit geschaffen, Cloudflare zu nutzen. Mit Regional Services können sie festlegen, in welchen Rechenzentren ihr Traffic entschlüsselt und überprüft wird. Das ist insofern hilfreich, als manchen Kunden in bestimmtem Umfang vorgeschrieben ist, wo sie Traffic verarbeiten dürfen. Andere haben im Rahmen von Verträgen Vereinbarungen mit ihren eigenen Kunden darüber getroffen, wo genau der Datenverkehr zu entschlüsseln und zu überprüfen ist.
Eine deutsche Bank erklärte: „Wir können uns die Regeln und Vorschriften anschauen und darüber diskutieren, so viel wir wollen. Solange Sie uns versprechen, dass keine Maschine außerhalb der Europäischen Union eine entschlüsselte Kontonummer eines unserer Kunden einsehen kann, nutzen wir Cloudflare gern in jedem Zusammenhang.“
Normalerweise setzten wir das gesamte Cloudflare-Netzwerk zur Ausführung aller Funktionen ein. Das wünscht sich auch die Mehrheit unserer Kunden: Die Nutzung sämtlicher Rechenzentren von Cloudflare, sodass Daten immer so schnell wie möglich bereitgestellt werden können. Zunehmend registrieren wir aber, dass Kunden streng festlegen wollen, in welchen Rechenzentren ihr Traffic verarbeitet wird. Mit Regional Services können die Kunden das Cloudflare-Netzwerk nutzen, zugleich aber die Zahl der Rechenzentren beschränken, die die eigentliche Entschlüsselung vornehmen. Lösungen wie die WAF, das Bot-Management und Workers, für die Entschlüsselung unabdingbar ist, kommen dann auch nur in diesen Rechenzentren zum Einsatz.
Wie funktionieren die Regional Services?
Sie fragen sich vielleicht, wie das Ganze überhaupt funktioniert. Betreibt Cloudflare nicht ein Anycast-Netzwerk? Cloudflare wurde von vornherein entwickelt, um das Routingprotokoll Anycast einzusetzen. Alle Rechenzentren von Cloudflare verkünden dieselben IP-Adressen mittels des Border Gateway Protocol. Ihre Daten werden auf dieser Grundlage in dem Rechenzentrum verarbeitet, das Ihnen aus Netzwerksicht am nächsten ist.
Das ist aus zwei Gründen eine gute Nachricht. Erstens erfolgt die Antwort umso schneller, je näher sich das Rechenzentrum befindet. Ein zweiter großer Vorteil besteht darin, dass sich mit dieser Lösung große DDoS-Angriffe sehr gut bewältigen lassen. Bei einer volumetrischen DDoS-Attacke werden Sie mit riesigen Mengen an gefälschtem Traffic bombardiert, was zu einer Überlastung der Netzwerkkapazität führt. Das Anycast-Netzwerk von Cloudflare ist bestens zur Bekämpfung solcher Angriffe geeignet, weil der betreffende Datenverkehr über das gesamte Netzwerk verteilt wird.
Anycast berücksichtigt keine nationalen Grenzen und ist sich dieser nicht einmal bewusst. Deshalb kann Cloudflare im Grundmodus erst einmal nicht garantieren, dass der Datenverkehr aus einem bestimmten Land auch dort verarbeitet wird. Normalerweise gelangt er wenigstens zunächst zu einem Rechenzentrum in Ihrem Land. Es kann aber durchaus sein, dass Ihr Internetprovider ihn an ein anderes Netzwerk übermittelt, von dem aus er dann in ein fremdes Land weitergeleitet wird.
Regional Services löst dieses Problem: Bei Aktivierung des Diensts berücksichtigen die Rechenzentren, in welcher Region sie betrieben werden. Wenn der Traffic eines Nutzers ein Rechenzentrum erreicht, das sich nicht in der von dem Kunden ausgewählten Region befindet, werden die TCP-Rohdaten einfach in verschlüsselter Form weitergeleitet. Sobald sie bei einem Rechenzentrum in der richtigen Region eintreffen, erfolgt eine Entschlüsselung und Anwendung aller Layer 7-Produkte, was unter anderem das CDN, die WAF, das Bot-Management und Workers umfasst.
Schauen wir uns das anhand eines Beispiels genauer an. Der Internetprovider einer Nutzerin im indischen Kerala ist zu dem Schluss gelangt, dass das nächstgelegene unserer Rechenzentren sich in der sri-lankischen Hauptstadt Colombo befindet. Nehmen wir an, der Kunde hat festgelegt, dass der Traffic zwingend in Indien verarbeitet werden muss. Dann registriert Rechenzentrum in Colombo, dass der betreffende Datenverkehr für Indien bestimmt ist. Deshalb entschlüsselt es ihn nicht, sondern leitet ihn an das nächstgelegene indische Rechenzentrum weiter. Erst dort erfolgt die Entschlüsselung, sodass Dienste wie die WAF und Workers zum Einsatz kommen können – ganz so, als habe der Traffic dieses Rechenzentrum direkt angesteuert.
Regional Services in Asien
Traditionell interessiert man sich vor allem in der Europäischen Union sowie in Nord-, Mittel- und Südamerika für unsere Regional Services. In den vergangenen paar Jahren haben wir aber auch großes Interesse aus dem Asien-Pazifik-Raum verzeichnet. Anhand von Kundenrückmeldungen und Analysen von Rechtsvorschriften sind wir rasch zu dem Ergebnis gelangt, dass der Bedarf für Indien, Japan und Australien besonders hoch ist. Deshalb freut es uns sehr, dass der Dienst für diese drei Staaten nun allgemein verfügbar ist.
Aber das reicht uns noch nicht! Uns ist bewusst, dass viele weitere Kunden eine Datenlokalisierung für eine bestimmte Region benötigen. Wir wollen in nicht allzu ferner Zukunft weitere Ländern in diesen Dienst aufzunehmen und bemühen uns nach Kräften, eine unkomplizierte Unterstützung zu ermöglichen. Wenn Sie eine bestimmte Wunschregion haben, lassen Sie es uns gern wissen!
Für Indien, Japan und Australien ist der Dienst ab sofort verfügbar! Wenden Sie sich bei Interesse an der Data Localization Suite bitte an Ihre(n) Cloudflare-Ansprechpartner(in)!