接続オプション

Cloudflare One は、ユーザー、デバイス、ネットワークインフラストラクチャ向けに複数の接続オプションを提供します。各オプションは、個々のデバイスの保護からデータセンター全体の接続まで、異なる用途に対応します。

このページでは、要件に応じてどの接続オプションを使うか、単一の導入で複数のオプションをどう組み合わせるかを説明します。

Cloudflare One の接続オプションは、オンランプとオフランプの考え方を使います。

• オンランプ は、Cloudflare のネットワークへトラフィックを送ります。たとえば、Cloudflare One Client をインストールしたユーザーのデバイスは、検査とポリシー適用のため、トラフィックを Cloudflare へオンランプします。
• オフランプ は、Cloudflare のネットワークからインフラストラクチャへトラフィックを送ります。たとえば、Cloudflare Tunnel は、公開インターネットに公開せずに、プライベートアプリケーションへトラフィックをオフランプします。

一部の接続オプションは双方向に対応し、一部は一方向のみです。

次の表は、Cloudflare One 顧客が使えるすべての接続オプションの概要比較です。

表 1: すべての Cloudflare One 接続オプション

Cloudflare Tunnel は、公開ルーティング可能な IP アドレスなしで、リソースを Cloudflare に安全に接続する方法を提供します。cloudflared デーモンは、HTTP/2 または QUIC を使い、ポート 7844（TCP/UDP）で Cloudflare のグローバルネットワークへアウトバウンドのみの接続を作成します。これにより、ファイアウォールで受信ポートを開けずに、Web サーバー、SSH サーバー、リモートデスクトップ、その他のサービスを公開できます。

プライベート Web アプリケーションを公開する、オリジンサーバーの IP アドレスを隠して保護する、Kubernetes サービス向けのクラウドネイティブなイングレスをデプロイする、といった場合に Cloudflare Tunnel を使います。

詳細な設定は Cloudflare Tunnel のドキュメント を参照してください。

Cloudflare One Client は、エンドユーザーデバイスを Cloudflare のグローバルネットワークに安全に接続するデバイスエージェントです。Cloudflare One Client は、MASQUE（耐量子暗号付き）または WireGuard でデバイスからのトラフィックを暗号化し、Cloudflare 経由でルーティングします。Gateway ポリシーがそのトラフィックをフィルタして検査します。

リモートワークフォースのデバイスを保護する、従来の VPN ソリューションを置き換える、DNS フィルタと Web セキュリティポリシーを適用する、デバイスポスチャチェックを実装する、登録済みデバイス間の Mesh 接続 を有効にする、といった場合に Cloudflare One Client を使います。

詳細な設定は Cloudflare One Client のドキュメント を参照してください。

Cloudflare Mesh は、耐量子暗号ネットワーキングでサービスとデバイスを接続します。登録済みのすべてのデバイスと Mesh ノードはプライベートな Mesh IP を受け取り、TCP、UDP、または ICMP で他の任意の参加者と通信できます。インフラなしのデバイス間通信も含みます。

Mesh ノードは、Linux サーバー上でヘッドレスモードの Cloudflare One Client（warp-cli）を実行します。CIDR ルート を告知して背後のサブネットを到達可能にし、クライアントを実行できないデバイス（IoT、プリンター、レガシーサーバー）への接続を有効にできます。すべてのトラフィックはエンドツーエンドでソース IP アドレスを保持します。

双方向接続（VoIP、SIP、AD 更新、SCCM、DevOps）、サイト間ネットワーキング、デバイス間接続、ソース IP の保持が重要なシナリオでは Cloudflare Mesh を使います。プライベートサービスへのアウトバウンドのみのアクセスでは、Cloudflare Tunnel（cloudflared）のほうがデプロイが簡単で、すべてのプラットフォームで動きます。

詳細な設定は Cloudflare Mesh のドキュメント を参照してください。

DNS locations を使うと、Cloudflare One Client をデプロイせずにネットワークからの DNS トラフィックをフィルタできます。ネットワークの DNS リゾルバーを Cloudflare Gateway に向けると、Gateway はそのロケーションからのすべてのクエリに DNS ポリシーを適用します。

DNS locations は複数のエンドポイントタイプに対応しています。

• IPv4/IPv6: Cloudflare のリゾルバー IP を使う標準 DNS 解決
• DNS over HTTPS（DoH）: HTTPS 上の暗号化 DNS クエリ
• DNS over TLS（DoT）: TLS 上の暗号化 DNS クエリ

オフィスまたはネットワーク全体の DNS トラフィックをフィルタする、デバイスにエージェントをインストールせずにデバイス単位でフィルタする、既存のネットワークインフラと統合する、といった場合に DNS locations を使います。

詳細な設定は DNS locations のドキュメント を参照してください。

Proxy endpoints を使うと、デバイスにクライアントをインストールせずに Cloudflare Gateway HTTP ポリシーを適用できます。ブラウザーレベルで Proxy Auto-Configuration（PAC）ファイルを構成すると、フィルタとポリシー適用のために Web トラフィックを Gateway 経由でルーティングします。

Cloudflare One は 2 種類の proxy endpoints に対応しています。

• Authorization endpoints: ID ベースの認証に Cloudflare Access を使う
• Source IP endpoints: 発信元 IP アドレスに基づいてトラフィックを認可する（Enterprise のみ）

デバイスエージェントなしで Web トラフィックをフィルタする、既存のプロキシインフラと統合する、他のセキュリティツールと並べて Gateway をデプロイする、といった場合に proxy endpoints を使います。

詳細な設定は Proxy endpoints のドキュメント を参照してください。

Clientless Web Isolation を使うと、Cloudflare One Client をインストールせずに、リモートブラウザー経由で Web アプリケーションに安全にアクセスできます。ユーザーはプレフィックス付き URL（https://<team-name>.cloudflareaccess.com/browser/<URL>）へ移動し、Cloudflare Access で認証します。Cloudflare は分離されたブラウザーで Web コンテンツをレンダリングし、分離ポリシーを適用しながら、ユーザーのデバイスへは 安全な描画コマンド ↗ だけをストリーミングします。

管理対象外デバイス（コントラクター、BYOD）向けの安全な Web アクセスを提供する、エンドポイントソフトウェアなしで機密アプリケーションへのアクセスを有効にする、Cloudflare One Client をインストールできないユーザーをオンランプする、といった場合に Clientless Web Isolation を使います。

詳細な設定は Clientless Web Isolation のドキュメント を参照してください。

Generic Routing Encapsulation（GRE）トンネルは、インフラストラクチャと Cloudflare の間に軽量でステートレスなネットワーク接続を提供します。GRE トンネルは、既存のルーターとファイアウォールを使ってサイト、データセンター、クラウド環境を接続するため、Cloudflare WAN（旧 Magic WAN）と Magic Transit で使われます。

設定オーバーヘッドを最小限にしてブランチオフィスまたはデータセンターを接続する、DDoS 保護のために Magic Transit と統合する、IPsec と並べて冗長トンネルをデプロイする、といった場合に GRE トンネルを使います。

詳細な設定は GRE と IPsec トンネルのドキュメント を参照してください。

IPsec トンネルは、インフラストラクチャと Cloudflare の間に暗号化されたステートフルなネットワーク接続を提供します。IPsec トンネルは、安全なサイト間接続のために Cloudflare WAN と Magic Transit で使われ、トンネル交渉に IKEv2、暗号化に AES-GCM または AES-CBC を使います。

公開インターネット越しにトラフィックを暗号化する、または暗号化接続のコンプライアンス要件を満たす必要がある場合に IPsec トンネルを使います。IPsec トンネルは、一般的なルーターとファイアウォールアプライアンス、およびクラウド環境のゲートウェイ（AWS、Azure、GCP）で対応しています。

詳細な設定は GRE と IPsec トンネルのドキュメント を参照してください。

Cloudflare One Appliance（旧 Magic WAN Connector）は、Cloudflare のネットワークへの接続を自動化するプラグアンドプレイの SD-WAN アプライアンスです。IPsec トンネルを自動確立し、トラフィックステアリングを提供します。ハードウェアアプライアンス（Dell VEP1460）または仮想アプライアンス（VMware ESXi、Proxmox）としてデプロイできます。

ゼロタッチのブランチオフィス導入、エッジルーターの置き換え、高いスループット（1 Gbps 以上）、中央ダッシュボードでの複数サイト管理、といった場合に Cloudflare One Appliance を使います。

詳細な設定は Cloudflare One Appliance のドキュメント を参照してください。

Cloudflare Network Interconnect（CNI）を使うと、公開インターネットをバイパスするプライベートな専用接続で、ネットワークインフラストラクチャを Cloudflare に直接接続できます。CNI は予測可能なレイテンシ、一貫したスループット、攻撃への露出低減を提供します。

公開インターネットトラフィックを禁止するセキュリティ要件を満たす、クラウドエグレスコストを下げる、規制の厳しい業種（金融サービス、ヘルスケア）でデプロイする、といった場合に CNI を使います。

次の表は、Cloudflare Network Interconnect（CNI）の接続タイプを説明します。

表 2: Cloudflare One の CNI 接続タイプ

詳細な設定は Cloudflare Network Interconnect のドキュメント を参照してください。

Multi-Cloud Networking（旧 Magic Cloud Networking）は、クラウド環境を Cloudflare WAN に接続する作業を簡素化する自動化レイヤーです。IPsec トンネルを手動で構成する代わりに、Multi-Cloud Networking がクラウドリソースを自動検出し、両側（クラウドプロバイダーと Cloudflare WAN）で必要な VPN トンネルとルートを作成します。

Multi-Cloud Networking は別のトンネルタイプではありません。クラウドプロバイダーのネイティブ VPN 機能（AWS VPN Gateway、Azure VPN、GCP Cloud VPN）をオーケストレーションし、Cloudflare WAN への IPsec 接続を確立します。

• 最小限の設定で AWS、Azure、または GCP の VPC を Cloudflare WAN に接続する
• 手動の IPsec セットアップではなく、トンネルとルートの作成を自動化する
• ハブアーキテクチャ（AWS Transit Gateway）経由で複数 VPC を接続する
• 異なるプロバイダーにわたるマルチクラウドネットワーキングを簡素化する

次の表は、Multi-Cloud Networking のオンランプタイプを説明します。

表 3: Cloudflare One Multi-Cloud Networking のオンランプタイプ

• AWS（単一 VPC とハブ）
• Azure（単一 VPC）
• GCP（単一 VPC）

• Azure VNet のサイズ: Multi-Cloud Networking は、Azure VPN Gateway 向けに VNet 内に GatewaySubnet（/27）を作成します。VNet に十分なアドレス空間があることを確認してください。アドレス枯渇を避けるため、/20 以上の VNet を推奨します。
• クラウドプロバイダーのコスト: Multi-Cloud Networking は、クラウドプロバイダーのネイティブ VPN サービスを使います。Cloudflare WAN のコストに加えて、クラウドプロバイダーの標準 VPN ゲートウェイとデータ転送コストが適用されます。
• トンネル作成時間: クラウドプロバイダーの VPN ゲートウェイのプロビジョニングには 15〜45 分かかることがあります。新しい VPC をオンボードするときは、この遅延を計画してください。

詳細な設定は Multi-Cloud Networking のドキュメント を参照してください。

次の表は、よくある要件を推奨の Cloudflare One 接続オプションに対応付けます。網羅的な推奨ではありません。

表 4. よくある要件に対する推奨 Cloudflare One 接続オプション

Cloudflare One 接続プロジェクトを主導するチームは、どのオプションが最もスムーズな導入経路になるかに影響します。次の表は例です。

表 5. チーム向け Cloudflare One 接続の推奨

Cloudflare Mesh と Cloudflare One Appliance はどちらもサイトレベルの接続を提供しますが、異なる導入シナリオに対応します。

クラウドワークロード、または Linux ホストがあるサイト向けの軽量なソフトウェアのみの接続が必要なときは Cloudflare Mesh を使います。エンタープライズグレードのスループット、高可用性、既存ネットワークインフラとの統合が必要なときは Cloudflare One Appliance を使います。

ほとんどのエンタープライズ Cloudflare One 導入では、複数の接続オプションを併用します。このセクションでは、互換性の考慮事項とよくある導入パターンを扱います。

すべての Cloudflare One 接続オプションが同じアカウントで動くわけではありません。導入を設計する前に、次の互換性情報を確認してください。

表 7. Cloudflare One 接続の互換性

複数の Cloudflare One 接続オプションを使うときは、ルーティング衝突を避けるために次の指針に従ってください。

• 重複する CIDR 範囲を避ける: 複数のトンネルタイプに同じ IP 範囲を構成しないでください。重複がある場合、Cloudflare Tunnel は Cloudflare WAN ルートより優先されます。
• 自動フェイルオーバーはない: Cloudflare は、異なる接続オプション間でトラフィックを自動フェイルオーバーしません。各トンネルタイプ内で障害を処理できるようにルーティングを計画します。
• Virtual Networks: 異なる環境（例: 10.0.0.0/8 を使う複数のクラウド VPC）からの重複するプライベート IP 範囲を扱うには Virtual Networks を使います。

Cloudflare One トンネルを重ねる、または複数のカプセル化方法を使うときは、断片化を防ぐためにオーバーヘッドを考慮します。

表 8. Cloudflare One トンネルタイプの実効 MTU 値

TCP トラフィックが断片化を必要としないように、エッジデバイスで MSS クランプを構成します。

Cloudflare One の接続オプションは、ソース IP アドレスの扱いが異なります。次の表は、各 Cloudflare One 接続オプションがソース IP アドレスをどう扱うかを示します。

表 9. Cloudflare One のソース IP の動き

ソース IP の保持が必要なのは次の場合です。

• シグナリングに IP アドレスを埋め込む VoIP および SIP プロトコル
• クライアント IP の可視性が必要な監査ログ
• ソース IP に基づいて認可判断をするアプリケーション

次の表は、各 Cloudflare One 接続オプションのトラフィック方向対応を示します。

表 10. Cloudflare One 接続のトラフィック方向対応

アプリケーションがサーバー起点の接続（例: VoIP コールバック、データベースレプリケーション）を必要とする場合は、Cloudflare One Client、Cloudflare Mesh、Cloudflare WAN（IPsec/GRE）、または CNI などの双方向接続オプションを使います。Cloudflare Tunnel はサーバー起点のトラフィックに対応していません。

次のパターンは、組織がシナリオごとに Cloudflare One 接続オプションをどう組み合わせるかを示します。

このパターンは、分散したワークフォースと複数の物理ロケーションを持つ組織向けです。

コンポーネント:

• リモート従業員向けの Cloudflare One Client。任意の場所からの安全なアクセスを提供します
• 既存のネットワークインフラを持つブランチオフィス向けの IPsec トンネル（Cloudflare WAN 経由）
• クライアントレスブラウザーアクセスが必要な特定の内部アプリケーション向けの Cloudflare Tunnel

トラフィックフロー:

1. リモート従業員は Cloudflare One Client 経由で接続し、トラフィックを Cloudflare へオンランプします。
2. Gateway ポリシーは、ユーザー ID とデバイスポスチャに基づいてトラフィックを検査してフィルタします。
3. ブランチオフィスリソース向けのトラフィックは、IPsec トンネル経由で Cloudflare WAN 接続済みサイトへルーティングされます。
4. 特定のアプリケーション向けのトラフィックは、Cloudflare Tunnel 経由でオリジンサーバーへルーティングされます。

このパターンは、主にクラウドベースのインフラを持ち、オンプレミス機器が少ない組織向けです。

コンポーネント:

• クラウド VPC（AWS、GCP、Azure）向けの Multi-Cloud Networking。Cloudflare WAN への IPsec トンネル作成を自動化します
• Kubernetes サービスとコンテナ化アプリケーション向けの Cloudflare Tunnel
• 従業員デバイス向けの Cloudflare One Client

トラフィックフロー:

1. Multi-Cloud Networking が、クラウド VPC と Cloudflare WAN の間に IPsec トンネルを自動作成します。
2. Cloudflare Tunnel が、外部向けアプリケーションのイングレスを提供します。
3. 従業員は Cloudflare One Client 経由でクラウドリソースにアクセスします。

代替: Cloudflare WAN を使っていない組織では、Cloudflare Mesh がクラウド VPC 向けの双方向接続を提供できます。Legacy routing モードのアカウントでは、Cloudflare Mesh と Cloudflare WAN を併用できない点に注意してください。

このパターンは、公開インターネットを横断するトラフィックを禁止する厳しいコンプライアンス要件を持つ組織向けです。

コンポーネント:

• データセンターからのプライマリ接続向けの Cloudflare Network Interconnect（CNI）
• CNI に問題が起きたときのバックアップ接続としての IPsec トンネル
• リモート従業員向けの Cloudflare One Client

トラフィックフロー:

1. データセンターのトラフィックは CNI 経由でルーティングされ、公開インターネットには触れません。
2. CNI に問題が起きた場合、IPsec トンネルがバックアップ接続を提供します。
3. リモート従業員は、公開インターネット越し（暗号化）に Cloudflare One Client 経由で接続します。
4. Gateway ポリシーは、接続方法に関係なく、すべてのトラフィックにコンプライアンスルールを適用します。

• SASE リファレンスアーキテクチャ - Cloudflare One 導入のガイド
• WAN transformation - レガシー WAN から Cloudflare One への移行計画
• Cloudflare Tunnel
• Cloudflare One Client
• Cloudflare Mesh
• Cloudflare WAN
• WAN Connectors のオンランプ - 対応オンランプの全一覧
• Multi-Cloud Networking - クラウド VPC 接続の自動化
• Magic Transit
• Cloudflare One Appliance
• Cloudflare Network Interconnect
• Virtual Networks
• DNS locations - デバイスエージェントなしで DNS トラフィックをフィルタする
• Proxy endpoints - PAC ファイルで Web トラフィックをフィルタする
• Clientless Web Isolation - デバイスエージェントなしの安全な Web アクセス

Cloudflare One 接続オプションの組み合わせに関する実装の指針は、SASE リファレンスアーキテクチャ を参照してください。