ドメインにICP登録がなく、サーバーは海外に置いているのに、中国本土のユーザーからページが遅いという声が続く。CDNの切り替えを考えると、香港のDDoS対策CDNはやや高額で、海外の一般的なCDNには選択肢が多い。どちらを選ぶべきでしょうか。

ユーザーの大半が中国本土にいて、攻撃がすでにサービスに影響しているなら、中国本土との接続品質と防御を両立できる香港のDDoS対策CDNから試す方法があります。主な用途が公開静的コンテンツの配信や海外向けのアクセスなら、まず海外の一般的なCDNを比較できます。 

遅さだけが問題で、攻撃の証拠がないなら、経路とオリジンへの接続を先に調べましょう。防御容量を増やしても、それだけで配信が速くなるわけではありません。

選定時には、香港のDDoS対策CDNと海外の一般的なCDNを、明確に分かれた二つの技術だと考えないことも大切です。

グローバルCDNにも香港のエッジ拠点があり、基本プランにDDoS対策を含むものもあります。比較すべきなのは、実際に購入する構成が現在の問題を解決できるかどうかです。

ICP登録のないドメインで利用できるエッジ拠点を先に確認する

ここでいう登録は、中国本土でのサービス提供に関わるICP登録です。価格を見る前に、利用できる高速化地域とドメインの導入条件を確認してください。

同じ事業者でも、選ぶ地域によって条件が異なる場合があります。たとえば、 Alibaba Cloud ESAの導入に関する説明 では、提供地域を「グローバル」「中国本土」「中国本土を除くグローバル」に分けています。前の二つではドメインのICP登録が必要ですが、中国本土を除く地域では必要ありません。

つまり、「グローバルCDN」という名称だけでは、ICP登録のないドメインを導入できるか判断できません。選択する構成に中国本土のエッジ拠点が含まれるか、どのような審査条件があるかを確認しましょう。

オリジンとCDNの条件は分けて確認します。オリジンを中国本土のデータセンターで運用し続けるなら、香港など中国本土以外のCDNを使っても、オリジン側のプラットフォームに適用される登録・導入要件はなくなりません。「ICP登録不要」は特定のサービスの導入条件を指し、構成全体にそのまま当てはまるわけではありません。

オリジンが香港、米国、シンガポールなど中国本土以外にあるサイトでは、二つの経路を調べます。中国本土のユーザーがCDNにどう到達するか、そしてCDNがオリジンにどう接続するかです。両方の経路が適切であってこそ、アクセス改善の土台ができます。

香港のDDoS対策CDNと海外CDNは、何を比較すべきか

「香港」はエッジ拠点の場所、「DDoS対策」は防御機能を示します。どちらの呼び名も製品の全体像までは説明しません。

海外の一般的なCDNにもセキュリティ機能があります。Cloudflareの DDoS対策に関するドキュメント には、無料・有料プランに含まれる標準的な防御が示されており、高度な機能や設定権限には違いがあります。検討中のプランに何が含まれているか確認してから、不足する機能を判断しましょう。

二つの見積もりを並べ、次の項目を比較してください。

特に誤解しやすいのが、エッジ拠点の場所です。

Cloudflareは 地理的位置とトラフィック経路に関する説明 で、通信事業者のルーティングやネットワーク間の接続関係によってアクセス先が変わり、地理的に最も近いデータセンターへ必ずしも到達しないと説明しています。他社の振り分け方式は異なる可能性があるため、個別に確認が必要です。

地図に香港のエッジ拠点が表示されていても、分かるのはそこにリソースがあることだけです。中国移動、中国聯通、中国電信のユーザーが実際にどう到達するかは、それぞれのネットワークから検証してください。

同様に、香港の入口の応答が速くても、動的リクエストまで速いとは限りません。オリジンが米国にあれば、ログインリクエストは香港からさらにオリジンへ送られる場合があります。入口までの経路が改善しても、オリジンへの経路が変わらなければ、ユーザーの待ち時間はあまり短縮しないかもしれません。

サービスの種類によって、予算をどこに優先配分するか

中国本土のユーザーが多く、攻撃がログイン・取引・APIに影響している場合

必要な防御機能を備えた香港のCDN構成を、優先的な試用候補に入れましょう。

攻撃時にサービスがどう動くかを確認します。入口に到達できるか、正規リクエストは通るか、オリジンは転送されるトラフィックを処理できるか、アプリケーションに合わせてセキュリティルールを調整できるかが重要です。

大量のトラフィックを送り込む攻撃と、アプリケーションのリソースを消費する不正なHTTPリクエストでは、対処の重点が異なります。入口で大きな攻撃トラフィックを処理できても、高頻度のリクエストによるログインAPIの遅延を防げるとは限りません。厳しすぎるブロックは正規ユーザーにも影響します。

ログイン、決済通知、モバイルアプリのAPIは別々に検証してください。プログラムから呼び出すAPIが、Webサイトの訪問者向けのCAPTCHAを通過できると考えてはいけません。購入前に、認証方式、リクエストパス、通常のアクセス動作に合わせて事業者がポリシーを設定できるか確認しましょう。

CDNを迂回してオリジンに到達できる経路がないかも確認が必要です。Cloudflareの オリジン保護に関するドキュメント では、想定外の接続元からのオリジンへのアクセスを制限する重要性を説明しています。これは防御用プロキシを導入した後の基本的な対策です。

攻撃者がオリジンの公開IPアドレスに直接アクセスできれば、攻撃トラフィックはCDNを通りません。この問題がすでに起きているサイトでは、 オリジンIPアドレスが露出した場合の防御策 を参考に、入口の変更、オリジンへのアクセス制限、オリジン側のネットワーク層での防御を検討してください。サーバー上でリクエストを破棄するだけでは、上流の帯域がすでに埋まっている状態を解消できません。

明確な攻撃はないが、中国本土からのアクセスが遅い場合

防御プランを上げる前に、どこが遅いのか特定するほうが費用を抑えられることがあります。

実際のページやリクエストを三つ選びます。公開ページ、画像またはスクリプトファイル、オリジンへの接続が必要な動的APIです。同じ地域・時間帯で一緒に遅くなるか確認してください。

キャッシュにヒットした静的ファイルは速いのに、ログインや検索が遅いなら、オリジンへの経路とバックエンド処理を調べます。アプリケーションのログでデータベースのクエリ自体に時間がかかっているなら、CDNを替えてもその待ち時間はなくなりません。

夜間のピーク時に一部の通信事業者だけが遅くなるなら、セキュリティ機能を追加する前に、該当するユーザーからCDNの入口までの実際の経路を比較しましょう。

米国など中国本土以外にオリジンがある場合、 動的APIの経路とオリジン接続の最適化 を別途テストする価値があります。キャッシュできないリクエストも、適切なネットワーク経路や接続処理で改善する可能性があります。ただし改善幅は、同じAPIを使った比較で判断してください。

この場合に香港のDDoS対策CDNを購入する価値があるかは、提供される経路とサービスが問題を解決できるかで決まります。必要なのは防御容量の増加ではなく、高速化の設定かもしれません。

静的コンテンツが多く、ユーザーが複数の国・地域にいる場合

画像、公開文書、インストールファイル、キャッシュ可能な動画セグメントなら、まずエッジ拠点の分布、キャッシュの効果、トラフィック費用を比較します。

ユーザーが広い地域に分布し、コンテンツをキャッシュでき、現在の防御機能も十分なら、海外の一般的なCDNのほうが予算に合う場合があります。「DDoS対策」という名称だけを理由に、すべての公開リソースを同じ構成へ移す必要はありません。

ただし、静的コンテンツも攻撃やトラフィックの不正利用を受けます。キャッシュポリシー、リクエスト制限、超過料金、異常なトラフィックへの対応を確認し、キャッシュ可能というだけでリスクを見落とさないようにしましょう。

用途ごとに配信構成を分ける方法もあります。公開画像やダウンロードには配信に適したCDNを使い、ログイン、取引、重要なAPIには防御要件に合う構成を使います。分ける際は証明書、クロスオリジンアクセス、オリジンへのアクセス権限を適切に管理し、静的リソースのドメインから重要なサービスと共用するオリジンの入口が露出しないようにしてください。

オリジンが中国本土以外にあり、主に中国本土のユーザーを対象とし、攻撃も受けている場合は、CDN07の ICP登録不要のDDoS対策CDNプラン で、エッジ拠点の分布、業務用帯域幅、セキュリティポリシーを要件に合わせて設定できます。

まず影響の大きいページやAPIから評価し、次に対象とするドメインとサービスの入口を決めましょう。

本番の切り替え前に、二つのCDNをどう比較するか

トライアルでは、ユーザーが実際に遭遇している問題をできるだけ再現します。

苦情が夜間のピーク時に集中するなら、その時間帯の結果を残します。特定の通信事業者のユーザーに問題が多いなら、そのネットワークでの測定を増やしましょう。オフィスの回線から一度アクセスできただけでは、移行を決める根拠にはなりません。

両方の構成で、オリジン、コンテンツ、キャッシュルールをできるだけ揃えます。キャッシュヒットとオリジンへのリクエストを分けて記録してください。一方はエッジからファイルを直接返し、もう一方はオリジンへ取得しに行った結果を、同じ条件の速度比較として扱わないためです。

技術チームはDNSを変更せずに入口を比較できる

事業者が事前設定を許可している場合は、両方のCDNに同じサービス用ドメイン、オリジン、有効なHTTPS証明書を設定し、それぞれの事業者が提供するテスト用入口IPアドレスに接続できます。

curlの 名前解決の上書きに関する説明 では --resolveの使い方を紹介しています。現在のリクエストに限って接続先アドレスを指定しながら、HTTPSでのサーバー名の識別と証明書検証にはURL内のドメイン名をそのまま使用します。本番のDNSレコードを先に変更する必要はありません。

次の例は、curlをインストールしたmacOS、Linux、またはWindowsのWSL Bash環境で実行できます。

for cdn_ip in 203.0.113.10 203.0.113.20; do
  curl -q --noproxy '*' -sS -D - -o /dev/null \
    --resolve "www.example.com:443:${cdn_ip}" \
    --connect-timeout 5 --max-time 20 \
    -w "\nENTRY=${cdn_ip} HTTP=%{http_code} TTFB=%{time_starttransfer}s TOTAL=%{time_total}s\n" \
    'https://www.example.com/'
done

ドメインと二つのIPアドレスは例です。自社のテスト用ドメインと、二つの事業者が明示的に提供したCDNのテスト用入口IPアドレスに置き換えてください。オリジンIPアドレスを指定したり、DNSの検索結果から任意のIPアドレスを選んだりしてはいけません。

事業者がこの事前設定に対応していない場合は、そのトライアル手順に従ってテスト用ドメインを使用します。証明書の検証を無効にして、導入時の問題を隠さないでください。

コマンドは応答ヘッダーといくつかの主要な測定値を表示します。 curlの公式オプション資料 に沿って、次のように確認できます。

• HTTP：HTTP応答のステータスコードです。まず返された内容が正しいか確認します。 403 または 429の場合は、認証や防御ルールも調べてください。ステータスコードだけでネットワーク経路が悪いとは判断できません。
• TTFB：リクエスト開始から最初の1バイトを受信するまでの経過時間です。接続などの処理も含み、オリジンのアプリケーション実行時間だけを示す値ではありません。
• TOTAL：この操作にかかった時間です。タイムアウトやエラーが発生した場合、正常にダウンロードを完了した時間として扱わないでください。
• 応答ヘッダー：リダイレクト、キャッシュ、セキュリティポリシーを確認します。フィールドの意味は事業者によって異なるため、それぞれの資料を参照してください。

-qはローカルのcurl設定がテストに影響しないようにし、 --noproxy '*'は環境に設定されたプロキシを使わずにリクエストを送ります。このコマンドはリダイレクトを自動で追跡しません。 3xx応答が返ったら、まず転送先を確認してください。接続のタイムアウトは5秒、操作全体のタイムアウトは20秒に設定していますが、これは今回のテストの制限であり、通常の性能基準ではありません。

テストには、課金を伴う操作を実行しない公開・読み取り専用のページやAPIを選びましょう。失敗、タイムアウト、予想外のステータスも記録し、最速の結果だけを残さないでください。

通常のDNSと実際のクライアントでも再検証する

上記の方法は指定した入口の確認に適していますが、通常のDNS名前解決を迂回します。また、一つのIPアドレスが固定された物理的なエッジ拠点を示すとも限りません。Anycastなどを使う場合、同じIPアドレスでも異なるネットワークの入口につながることがあります。

本格的な選定には、管理できる範囲で通常のDNS接続を使い、実際の振り分けもテストする必要があります。ブラウザー、モバイルアプリ、APIクライアントも別々に検証してください。一度のcurlリクエストでは、ページ全体のリソース読み込み、スクリプトの実行、ユーザー操作の一連の流れまでは測れません。

結果は次の三つに分けて確認できます。

1. アクセス成功率：ページ、ログイン、API、コールバックが期待どおりの結果を返すか。
2. 応答時間：通信事業者ごと、昼間と夜間のピーク時で継続的に差があるか。
3. サービスの動作：アップロードが完了するか、WebSocket接続が安定するか、ストリーミングAPIが継続して出力するか。

AIのストリーミングAPIでは、HTTP応答ヘッダーを受信しても、有効な内容が返り始めたとは限りません。最初の実質的な内容が届くまでの時間、出力間隔、最後まで正常に終了するかを確認してください。

これらのテストで確認できるのはアクセス品質と互換性であり、DDoS対策の上限ではありません。防御機能は、購入するリソース、ポリシー設定、インシデント対応手順、事業者と合意した検収方法をあわせて評価します。

月額の基本料金だけでなく、総費用を比較する

防御にかかる費用を比べる前に、通常時の利用量を把握しましょう。

少なくとも、最近の月間トラフィック量、ピーク帯域幅、リクエスト数、主なドメイン数、キャッシュできない処理を整理します。動画、ダウンロード、AI APIではリソースの使い方が大きく異なります。トップページのアクセス数だけで見積もりを依頼すると、用途に合わないプランが提示されかねません。

総費用は次の項目ごとに確認します。

防御容量と正規トラフィック向けの帯域幅は分けて確認してください。 攻撃トラフィックの処理能力を示す数値は、ダウンロード、動画、APIで継続利用できる帯域幅を意味しません。

見積もりに「専有」とあれば、何が専有なのか確認します。IPアドレス、帯域幅、ポリシー、防御リソースのどれを指すかで、費用も価値も変わります。

見積もりを受け取ったら、 通常トラフィックと追加料金の計算方法 に沿って項目ごとに試算できます。プランに含まれる費用を二重計上せず、記載のない超過時のルールは事前に確認しましょう。

頻繁に攻撃を受けるサイトでは、障害対応の費用も考慮が必要です。技術チームが夜間にルールを変更し、誤検知を調べ、入口を切り替える作業にもコストがかかります。サービスに合った設定と有効な技術サポートは、低い初期価格より価値がある場合があります。

よくある質問

ICP登録のないドメインでも、香港のCDNを使えば中国本土からアクセスできますか？

ICP登録のないドメインを受け付ける香港など中国本土以外のCDNを選び、中国本土のユーザー向けの入口として利用できます。ただし、中国本土以外のエッジ拠点を使うことは、中国本土内の拠点を使うこととは異なります。実際のアクセス品質は、ユーザーのネットワーク、通信事業者のルーティング、サービス設定、オリジンの状態に左右されます。

香港のDDoS対策CDNは、海外の一般的なCDNより必ず速いですか？

いいえ。海外の一般的なCDNにも香港のエッジ拠点がある場合があり、香港の入口からオリジンへの経路がボトルネックになることもあります。主なユーザーの実測結果、特に夜間ピーク時やオリジンに接続する動的リクエストの結果を比較してください。

海外の一般的なCDNにはDDoS対策がないのですか？

いいえ。一般的なCDNでも基本プランに該当する防御が含まれる場合があります。保護対象、ポリシーの設定権限、リソースの上限、サポート内容に違いがあるため、名称だけで判断せず、具体的な製品とプランを確認しましょう。

現在攻撃を受けていなくても、高度なDDoS対策プランをすぐに購入すべきですか？

サービス停止による損失、過去の攻撃、現在の防御能力を踏まえて決めます。公開したばかりでトラフィックが少なく、停止の影響も限定的なサイトなら、基本プランから検証できます。一方、ログイン、取引、重要なAPIの停止が大きな損失につながるなら、防御と緊急時の対応を事前に評価すべきです。

香港のDDoS対策CDNを導入した後も、DDoS対策サーバーが必要ですか？

オリジンの露出状況とサービスの入口によります。CDNが通常保護するのは、そのプロキシを通るトラフィックです。オリジンを直接攻撃できる状態が残る場合や、保護対象外のポートがある場合は、オリジンへのアクセス制限とネットワーク層の防御を別途検討する必要があります。

ゲームとAIのAPIは、通常のWebサイトと同じ方法で導入できますか？

プロトコルと通信方法によります。ゲームのWebサイト、H5ページ、HTTP APIは、対応するWebプロキシ機能で評価できます。独立したTCP・UDPのゲームサービスには、適した防御製品が必要です。AI APIではストリーミング出力、タイムアウト、アップロードサイズ、認証、防御ルールとの互換性も確認しましょう。トップページが開くことだけでは十分ではありません。

選ぶ前に確認しておきたいこと

• ICP登録のないドメインを受け付ける提供地域と導入条件を確認し、オリジンの配置要件も調べる。
• 中国本土のユーザーからエッジ、エッジからオリジンまでを別々に測り、静的リソースと動的APIも分けて観測する。
• 実際のサービスに必要な防御範囲と正規トラフィックの処理能力、CDNを迂回してオリジンに接続できないかを確認する。
• 実際の利用量から総費用を計算し、夜間ピーク時の性能と技術サポートを踏まえて移行を決める。

オリジンが香港など中国本土以外にあり、主なユーザーが中国本土にいる場合は、ユーザーの地域、オリジンの場所、重要なAPI、最近の攻撃状況を整理し、 CDN07に導入構成を相談 できます。試用する経路と防御設定を先に決め、実際のページ、API、クライアントで検証してから選びましょう。