Cloudflare source IP を設定する

Cloudflare Load Balancing などの Cloudflare サービスが Cloudflare One のプライベートネットワークへトラフィックを送るときに使う送信元 IP アドレス範囲を設定できます。このアドレス範囲は Cloudflare Source IP Prefix（API では cloudflare_source サブネットタイプ）と呼ばれます。

• IPv4 トラフィックの送信元は 100.64.0.0/12 です。この範囲は設定できます。
• IPv6 トラフィックの送信元は 2606:4700:cf1:5000::/64 です。この範囲は設定できません。

Cloudflare サービスがプライベートネットワークへトラフィックを送るとき、送信元 IP アドレスは戻りトラフィックのルーティング方法を決めます。オンプレミスのセキュリティデバイスがそのトラフィックを正しく検査できるかも決まります。レガシールーティングモードでは、プライベートネットワーク向けトラフィックの送信元は公開の Cloudflare IP になり、ルーティングとセキュリティの問題を起こすことがあります。

Unified Routing を使うお客様では、プライベートネットワーク向けトラフィックの送信元は、デフォルトでインターネットから到達できない専用のプライベート IPv4 範囲です。これにより次を確保します。

• 対称ルーティング — 戻りトラフィックは公開インターネット上の非対称パスを取らず、プライベートネットワーク接続上に留まります。
• ファイアウォール状態の維持 — オンプレミスのステートフルファイアウォールは、リクエストと応答の両方のトラフィックを見るため、接続をエンドツーエンドで追跡できます。
• セキュリティとコンプライアンス — プライベートトラフィックは安全なプライベートパス上に留まります。

お客様は、IP の衝突を避けるため、または既存の IP アドレス管理計画に合わせるために、デフォルトで割り当てられた範囲を変更できます。

これらの送信元範囲への応答トラフィックが、Cloudflare One 接続経由で Cloudflare に戻るように、ネットワーク上のルートを設定する必要があります。

始める前に、次を確認します。

• Cloudflare One の Unified Routing があること。アカウントが Legacy Routing を使っている場合は、Unified Routing へのアップグレード方法 に従います。
• Cloudflare One Networks Write 権限があること。
• 希望する新しいネットワーク範囲が次の要件を満たすこと。
  • ネットワークはプレフィックス長 /12 の単一 CIDR として定義する必要があります。
  • 同じアカウント内の Cloudflare One サブネットは重複できません。デフォルトの割り当ては次です。
    • Cloudflare Source IPs（100.64.0.0/12）
    • Hostname Route Token IPs（デフォルトは 172.64.128.0/20。設定可能）
    • Cloudflare One Clients（100.96.0.0/12）
    • Private Load Balancers（100.112.0.0/16）
  • 送信元サブネットは、Cloudflare One のルーティングテーブル内の既存ルートと一致したり、それを包含したりできません。送信元サブネットはスーパーネットルートの内側にあってもかまいません。

Cloudflare One は複数の 接続オプション に対応しています。Cloudflare サービスが接続済みネットワークまたはエンドポイントへのオフランプとしてリクエストを始めるとき、次のコネクターは cloudflare_source サブネットからのトラフィックを受け取ります。

• Anycast トンネル: GRE、IPsec、CNI
• ソフトウェアコネクター: Cloudflare One Client と Cloudflare Mesh

Cloudflare Tunnel 経由で接続されたネットワークまたはエンドポイントは、Cloudflare 送信元 IP サブネットからのトラフィックを受け取りません。代わりに、送信元 IP アドレスは cloudflared ソフトウェアを実行しているホストのものになります。

接続を開始またはプロキシするすべての Cloudflare サービスは、Cloudflare 送信元 IP からトラフィックを送ります。

これには、プライベートネットワークまたはエンドポイントのオンランプからプロキシされるトラフィックも含まれます。

たとえば、Cloudflare One Client から Cloudflare Load Balancer または Gateway DNS Resolver 経由でオンランプされたトラフィックは、宛先オフランプに対して Cloudflare 送信元 IP を示します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/zerotrust/subnets/cloudflare_source/$ADDRESS_FAMILY" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"comment": "example_comment",
		"name": "IPv4 Cloudflare Source IPs",
		"network": "100.64.0.0/12"
	}'