500Tbpsの容量：16年間にわたるグローバルネットワークの拡張

**タイトル: 500 Tbpsのキャパシティ：16年間にわたるグローバルネットワークの拡張** Cloudflareのグローバルネットワークとバックボーン、2026年。 Cloudflareのネットワークは最近、主要なマイルストーンを達成しました：外部接続容量が500テラビット/秒（Tbps）を超えました。 ここで言う500 Tbpsとは、すべてのトランジットプロバイダー、プライベートピアリングパートナー、インターネットエクスチェンジ、またはCloudflare Network Interconnect（CNI）ポートに接続する全ポートの合計である、プロビジョニングされた外部相互接続容量の総量を意味します。これはピークトラフィックではありません。いかなる日においても、ピーク時の使用率はこの数値のほんの一部です。（残りはDDoS対策用の余力です。） これは私たちの始まりからは長い道のりです。2010年、私たちはパロアルトのネイルサロンの上の小さなオフィスから、単一のトランジットプロバイダーと、2つのネームサーバーを変更するだけでセットアップできるリバースプロキシを用いてサービスを開始しました。 **トランジットとピアリングの初期** 私たちの最初のトランジットプロバイダーは、現在多くの人がGTTとして知っているネットワークであるnLayer Communicationsでした。nLayerは私たちに最初の回線容量と、ピアリング関係およびコストとパフォーマンスの慎重なバランスに関する、初めての実践的な企業経験をもたらしました。 そこから、私たちは都市ごとに成長していきました：シカゴ、アッシュバーン、サンノゼ、アムステルダム、東京。新しいデータセンターを開設するたびに、コロケーション契約の交渉、光ファイバーの引き込み、サーバーのラッキング、インターネットエクスチェンジを通じたピアリングの確立が必要でした。インターネットは実際にはクラウドではありません。それはケーブルで満たされた特定の部屋の集合体であり、私たちは何年もかけてそれら一つひとつの詳細を学びました。 すべての都市での展開が順調だったわけではありません。不足するハードウェア、税関のストライキ、さらにはデンタルフロスにまで対処しなければなりませんでした。2018年にはたった1ヶ月のうちに、24日間で31都市に展開しました：カトマンズやバグダッドからレイキャビクやキシナウまで。マカオで127番目のデータセンターを開設したとき、私たちは700万のウェブサイトを保護していました。今日、330以上の都市にデータセンターを持つ私たちは、ウェブの20％以上を保護しています。 **ネットワークがセキュリティレイヤーになったとき** 私たちの拠点が拡大するにつれ、顧客はウェブサイトのキャッシング以上のものを求めるようになりました。彼らは従業員を保護し、老朽化したマルチプロトコルラベルスイッチング（MPLS）回線を置き換え、企業ネットワーク全体を保護する必要がありました。従来のアプライアンスの代わりに、私たちはプライベートサブネットへの安全なトンネルを確立し、BGPを介してグローバルネットワークから直接企業のIP空間をアドバタイズするシステムを構築しました。 脅威の規模も並行して拡大しました。2025年、私たちは35秒間続く31.4 TbpsのDDoS攻撃を軽減しました。その原因は、多くの感染したAndroid TVを含むAisuru-Kimwolfボットネットでした。それは私たちがその日にブロックした5,000件以上の攻撃の一つでした。エンジニアが呼び出されることは一度もありませんでした。 10年前、その規模の攻撃に対抗するには国家レベルのリソースが必要だったでしょう。今日、私たちのネットワークは人の介入なしに数秒でそれを処理します。それが500 Tbps規模で運用することに必要なことです：インテリジェンスをネットワーク内のすべてのサーバーに移行させ、ネットワークが自らを防御できるようにすることです。 **私たちのネットワークが攻撃にどのように応答するか** 攻撃が私たちのネットワークに到達したときに実際に起こることは以下の通りです。パケットはネットワークインターフェースカード（NIC）に到着し、すぐにドライバーモードで実行されるxdpdによって管理されるeXpress Data Path（XDP）プログラムチェーンに入ります。そのチェーンの最初のプログラムの一つがl4dropで、拡張バークレーパケットフィルタ（eBPF）の緩和ルールに対して各パケットを評価します。それらのルールは、私たちのフリート内のすべてのサーバーで実行されるサービス拒否デーモンであるdosdによって生成されます。各dosdインスタンスは着信トラフィックをサンプリングし、検知した最も負荷の高い送信元のテーブルを構築し、そのテーブルを同一コロケーション施設内の他のすべてのインスタンスにブロードキャストします。結果として、コロケーション施設全体で共有されるトラフィックビューが得られ、すべてのサーバーが同じデータに基づいて動作するため、同じ緩和判断に至ります。 dosdが攻撃パターンを検出すると、生成されたルールはl4dropを介してローカルに適用され、分散キーバリュー（KV）ストアであるQuicksilverを介してグローバルに伝播し、数秒以内にすべてのデータセンターのすべてのサーバーに到達します。l4dropを通過したパケットのみが、レイヤー4（L4）ロードバランサーであるUnimogに到達し、データセンター内の正常なサーバー間で分散されます。エッジを通じて企業ネットワークトラフィックをルーティングするMagic Transitのお客様にとっては、flowtrackdがステートフルTCP検査のさらなる層を追加し、接続状態を追跡して正当なフローに属さないパケットを破棄します。 私たちが軽減した31.4 Tbpsの攻撃は、まさにこの経路をたどりました。トラフィックが集中型の攻撃除去センターに迂回されることはありませんでした。人が介入することもありませんでした。攻撃対象となったデータセンターのすべてのサーバーは、独立して攻撃を認識し、それらのパケットがアプリケーション処理のためにCPUサイクルを一つも消費する前に、ラインレートで悪意のあるパケットの破棄を開始しました。ソフトウェアは物語の半分に過ぎません：そもそもトラフィックを吸収するポートがなければ、何も機能しないのです。 **分散型開発者プラットフォーム** 私たちのネットワーク内のすべてのサーバーでコードを実行することは、フルスタックを制御する自然な帰結でした。もし私たちが既にすべてのマシンで攻撃トラフィックを破棄するためにeBPFプログラムを実行しているなら、顧客のアプリケーションコードもそこで実行できるはずです。その着想がWorkersとなり、後にKVとDurable Objectsとなりました。 私たちの開発者プラットフォームは、運営するすべての都市で実行されており、わずかなクラウドリージョン内だけではありません。2025年、私たちはWorkersにコンテナを追加したので、より重いワークロードもエッジで実行できるようになりました。V8アイソレートとカスタムファイルシステム層により、コールドスタートは最小限に抑えられます。あなたのコードは、ユーザーがいる場所で、l4dropを介してラインレートで攻撃トラフィックを破棄するのと同じサーバー上で実行されます。攻撃トラフィックはネットワークスタックに到達する前に破棄されます。あなたのアプリケーションがそれを目にすることは決してありません。 **将来を見据えたプロトコル：IPv6、RPKI、ASPA** 私たちはIPv6とリソース公開鍵基盤（RPKI）の早期採用者でした。BGPハイジャックは実際のサービス停止とセキュリティ侵害を引き起こします。RPKIは、ピアからの無効な経路を破棄し、トラフィックが行くべき場所に向かうことを保証することを可能にします。私たちはプレフィックスのルートオリジン認可（ROA）に署名し、イングレスでルートオリジンバリデーションを実施します。誤って設定されたROAを持つネットワークへの到達性を時折損なう場合でも、RPKI無効な経路を拒否します。 次は自律システムプロバイダー認可（ASPA）です。RPKIは誰がプレフィックスを所有しているかを検証します。ASPAはここに到達するために取られた経路を検証します。RPKIが目的地でのパスポートチェック（正しい所有者の確認）だとすれば、ASPAはフライトマニフェストチェックです：トラフィックが通過したすべてのネットワークを検証します。経路リークは、間違った都市で搭乗した乗客のようなものです；RPKIはそれを捕捉しませんが、ASPAは捕捉します。 現在のASPAのエコシステムにおける採用状況は、2015年のRPKIのようでした。私たちは大規模にRPKIを展開した最初のネットワークの一つであり、今日、グローバルルーティングテーブルの867,000のプレフィックスが有効なRPKI証明書を持っており、10年前のほぼゼロから増加しています。私たちの規模では、私たちが選択するプロトコルは、より広いインターネットに実際の影響を与えます。私たちは早期採用を推進します。なぜなら、待つことはその間により多くのハイジャックとリークを意味するからです。 **AIエージェントと進化するインターネット** AIは、ウェブ上に存在することの意味を変えました。インターネットの歴史の大部分において、トラフィックは人間によって生成され、ブラウザでリンクをクリックする人々によるものでした。今日、AIクローラー、モデルトレーニングパイプライン、自律エージェントが、私たちのネットワーク全体のすべてのHTMLリクエストの4％以上を占めており、Googlebot自体に匹敵します。人間の質問がきっかけでAIがページを訪問する「ユーザーアクション」クローリングは、2025年だけで15倍以上成長しました。 AIクローラーは、インフラストラクチャレベルでブラウザとは異なる動作をします。ブラウザはページをロードして停止します。クローラーは代わりに、リクエスト間の休止なしに最大スループットでリンクされたすべてのリソースを取得します。私たちの規模では、正当なAIクローリングと実際の攻撃を区別することは、実際のエンジニアリング上の課題です。私たちの検出システムは、検証済みボットIP範囲、TLSフィンガープリンティング、行動分析、robots.txt準拠シグナルの組み合わせを使用してその区別を行い、サイト所有者がどのクローラーを許可するかを決定するために必要なデータを提供します。 例えば、TLSレイヤーでは、正当なブラウザは、宣言されたユーザーエージェントと一致する予測可能な暗号スイート、拡張機能、順序を持つClientHelloを提示します。そのユーザーエージェントを偽装するが、簡素化されたTLSライブラリを使用するクローラーは、異なるフィンガープリントを提示し、その不一致は、リクエストがオリジンサーバーに到達する前に分類するために私たちのシステムが使用するシグナルの一つです。 **次の500 Tbpsの構築を手伝ってください** パロアルトのネイルサロンの上で始まったものは、現在、125以上の国々の330以上の都市に展開する500 Tbpsのネットワークへと成長し、すべてのサーバーがキャッシュだけでなく、私たちの開発者プラットフォームとセキュリティサービスを実行しています。これは16年間にわたるアーキテクチャ決定の積み重ねの結果であり、私たちとピアリングする13,000以上のネットワークとパートナーに支えられています。私たちはまだ終わっていません。 もしあなたがネットワークオペレーターなら、私たちとピアリングしてください。私たちのピアリングポリシーと相互接続の詳細はPeeringDBにあります。もしあなたがCloudflareインフラストラクチャを直接あなたのネットワーク内に組み込むことに興味があるなら、Edge Partner Programに参加するために、epp@cloudflare.comで私たちのチームに連絡してください。

500Tbpsの容量：16年間にわたるグローバルネットワークの拡張

背景や根拠まで確認しますか？

このニュースを、実務の判断につなげる

調べる

選ぶ

サイト