トンネルエンドポイントを設定する

7. Customer GRE endpoint に、ルーターのパブリック IP アドレスを入力します。Cloudflare Network Interconnect のような物理または仮想接続を使う場合、Cloudflare が提供するためこの値は不要です。

8. Cloudflare GRE endpoint に、アカウントに割り当てられた anycast アドレスの 1 つを入力します。Leased IPs ↗ で確認できます。

9. (任意) TTL と MTU はデフォルトのままにするか、ネットワークに合わせてカスタマイズします。

10. (任意) ヘルスチェックの設定を行います。各オプションの詳細は次を展開してください。

    ヘルスチェックのオプション

    • Tunnel health checks: デフォルトで有効です。トンネルヘルスチェックを無効にすると、トンネルが動作していても トンネルヘルスダッシュボード では 100% ダウンと表示されます。Cloudflare はトンネルがダウンしたことを検知する手段なしに、トラフィックを送り続けます。ダウンしたトンネルを検知する仕組みは、お客様側で用意する必要があります。Cloudflare はダウンを通知できません。詳細は トンネルヘルスチェック を参照してください。
    • Health check rate: トンネルヘルスチェックを有効のままにする場合、トンネルの ヘルスチェックレート を選びます。選択肢は Low、Medium、High です。
    • Health check type: デフォルトは Reply で、ICMP (Internet Control Message Protocol) の reply を作成します。ファイアウォールがこのパケットを攻撃とみなして破棄する場合は、ICMP request を作成する Request に変更します。詳細は トンネルヘルスチェック を参照してください。
    • Health check direction: Cloudflare WAN ではデフォルトで bidirectional です。詳細は 双方向ヘルスチェックと単方向ヘルスチェック を参照してください。
    • Health check target: トンネルのお客様側エンドです。このフィールドは Health check direction が Unidirectional のときだけ表示されます。

11. (任意) 正式に追加する前にトンネルをテストすることを推奨します。テストするには Test tunnels を選びます。

12. (任意) Cloudflare との間でトラフィックを送受信するだけで、WAN 内の他サイトからのトラフィックを受け取る必要がないサイト向けにこのトンネルを設定する場合は、Automatic return routing を選びます。この機能には Unified Routing が必要です。詳細は Automatic Return Routing を設定する を参照してください。

13. 複数のトンネルを追加するには、新しいトンネルごとに Add GRE tunnel を選びます。

14. トンネル情報を追加したあと、Add tunnels を選びます。

15. (任意) ネットワークと Cloudflare の間でルートを動的に交換する場合は、Allow BGP (Border Gateway Protocol) peering（ベータ）を選びます。この機能には Unified Routing が必要です。
    ルートが頻繁に変わる環境や、自動フェイルオーバーが必要な場合は BGP を推奨します。詳細は BGP ルートを設定する を参照してください。

7. (任意) Customer endpoint に、ルーターのパブリック IP アドレスを入力します。この値は、ルーターが ID_IPV4_ADDR 型の IKE ID を使う場合にだけ必要です。

8. Cloudflare endpoint に、アカウントに割り当てられた anycast アドレスの 1 つを入力します。Leased IPs ↗ で確認できます。

9. (任意) ヘルスチェックの設定を行います。各オプションの詳細は次を展開してください。

   ヘルスチェックのオプション

   • Tunnel health checks: デフォルトで有効です。トンネルヘルスチェックを無効にすると、トンネルが動作していても トンネルヘルスダッシュボード では 100% ダウンと表示されます。Cloudflare はトンネルがダウンしたことを検知する手段なしに、トラフィックを送り続けます。ダウンしたトンネルを検知する仕組みは、お客様側で用意する必要があります。Cloudflare はダウンを通知できません。詳細は トンネルヘルスチェック を参照してください。
   • Health check rate: トンネルヘルスチェックを有効のままにする場合、トンネルの ヘルスチェックレート を選びます。選択肢は Low、Medium、High です。
   • Health check type: デフォルトは Reply で、ICMP (Internet Control Message Protocol) の reply を作成します。ファイアウォールがこのパケットを攻撃とみなして破棄する場合は、ICMP request を作成する Request に変更します。詳細は トンネルヘルスチェック を参照してください。
   • Health check direction: Cloudflare WAN ではデフォルトで bidirectional です。詳細は 双方向ヘルスチェックと単方向ヘルスチェック を参照してください。
   • Health check target: トンネルのお客様側エンドです。このフィールドは Health check direction が Unidirectional のときだけ表示されます。

10. まだ pre-shared key がない場合:

    1. Add pre-shared key later を選びます。
    2. (任意) 正式に追加する前にトンネル設定をテストすることを推奨します。テストするには Test tunnels を選びます。
    3. Add tunnels を選びます。
    4. Cloudflare ダッシュボードに、設定済みトンネルの一覧が読み込まれます。作成したばかりの IPsec トンネルには、まだ動作していないことを示す警告の三角アイコンが表示されます。Edit を選びます。
    5. Generate a new pre-shared key > Update and generate a pre-shared key を選びます。キーを安全な場所に保存し、Done を選びます。

11. すでに pre-shared key がある場合:

    1. Use my own pre-shared key を選びます。
    2. Your pre-shared key にキーを貼り付けます。
    3. (任意) 正式に追加する前にトンネルをテストすることを推奨します。テストするには Test tunnels を選びます。
    4. Add tunnels を選びます。

12. (任意) 無効化に対応していないデバイスがある場合は Replay protection を有効にします。詳細は アンチリプレイ保護 を参照してください。

13. (任意) Cloudflare との間でトラフィックを送受信するだけで、WAN 内の他サイトからのトラフィックを受け取る必要がないサイト向けにこのトンネルを設定する場合は、Automatic return routing を選びます。この機能には Unified Routing が必要です。詳細は Automatic Return Routing を設定する を参照してください。

14. 複数のトンネルを追加するには、新しいトンネルごとに Add IPsec tunnel を選びます。

15. トンネル情報を追加したあと、Add tunnels を選びます。

16. (任意) ネットワークと Cloudflare の間でルートを動的に交換する場合は、Allow BGP (Border Gateway Protocol) peering（ベータ）を選びます。この機能には Unified Routing が必要です。
    ルートが頻繁に変わる環境や、自動フェイルオーバーが必要な場合は BGP を推奨します。詳細は BGP ルートを設定する を参照してください。

GRE トンネルを作成するには、API で POST リクエストを作成します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/gre_tunnels" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<TUNNEL_NAME>",
		"description": "<TUNNEL_DESCRIPTION>",
		"interface_address": "<INTERFACE_ADDRESS>",
		"cloudflare_gre_endpoint": "<CLOUDFLARE_ENDPOINT>",
		"customer_gre_endpoint": "<CUSTOMER_ENDPOINT>"
	}'

{
  "errors": [
    {
      "code": 1000,
      "message": "message"
    }
  ],
  "messages": [
    {
      "code": 1000,
      "message": "message"
    }
  ],
  "result": {
    "gre_tunnels": [
      {
        "cloudflare_gre_endpoint": "<IP_ADDRESS>",
        "customer_gre_endpoint": "<IP_ADDRESS>",
        "interface_address": "<INTERFACE_CIDR>",
        "name": "<TUNNEL_NAME>",
        "description": "<TUNNEL_DESCRIPTION>",
        "health_check": {
          "direction": "unidirectional",
          "enabled": true,
          "rate": "low",
          "type": "reply"
        },
        "mtu": 0,
        "ttl": 0
      }
    ]
  },
  "success": true
}

1. IPsec トンネルを作成するには、API で POST リクエストを作成します。

   この例では、リプレイ保護はデフォルトで無効です。使うデバイスがこの機能の無効化に対応していない場合は、IPsec トンネルごとに "replay_protection": true フラグで有効にできます。すでに IPsec トンネルを作成済みなら、PUT リクエスト で更新します。詳細は アンチリプレイ保護 を参照してください。

   Required API token permissions

   At least one of the following token permissions is required:

   • Magic WAN Write
   • Magic Transit Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/ipsec_tunnels" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "<TUNNEL_NAME>",
   		"description": "<TUNNEL_DESCRIPTION>",
   		"interface_address": "<INTERFACE_ADDRESS>",
   		"cloudflare_endpoint": "<CLOUDFLARE_ENDPOINT>",
   		"customer_endpoint": "<CUSTOMER_ENDPOINT>"
   	}'

   {
   	"errors": [
   		{
   			"code": 1000,
   			"message": "message"
   		}
   	],
   	"messages": [
   		{
   			"code": 1000,
   			"message": "message"
   		}
   	],
   	"result": {
   		"ipsec_tunnels": [
   			{
   				"id": "<IPSEC_TUNNEL_ID>",
   				"interface_address": "<INTERFACE_CIDR>",
   				"name": "<TUNNEL_NAME>",
   				"cloudflare_endpoint": "<IP_ADDRESS>",
   				"customer_endpoint": "<IP_ADDRESS>",
   				"description": "<TUNNEL_DESCRIPTION>",
   				"health_check": {
   					"direction": "unidirectional",
   					"enabled": true,
   					"rate": "low",
   					"type": "reply"
   				},
   				"psk_metadata": {},
   				"replay_protection": false
   			}
   		]
   	},
   	"success": true
   }

   トンネルの id 値を控えてください。pre-shared key (PSK) の生成に使います。

2. PSK を生成するには POST リクエスト を作成します。前のコマンドで受け取ったトンネル id を使います。

   Required API token permissions

   At least one of the following token permissions is required:

   • Magic WAN Write
   • Magic Transit Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/ipsec_tunnels/$IPSEC_TUNNEL_ID/psk_generate" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"ipsec_id": "<IPSEC_ID>",
   		"ipsec_tunnel_id": "<IPSEC_TUNNEL_ID>",
   		"psk": "<PSK_CODE>",
   		"psk_metadata": {
   			"last_generated_on": "2025-03-13T14:28:47.054317925Z"
   		}
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

   psk 値を控えてください。

3. PSK で IPsec トンネルを更新するには PUT リクエスト を作成します。

   curl "https://api.cloudflare.com/client/v4/accounts/%7Baccount_id%7D/magic/ipsec_tunnels/%7Bipsec_tunnel_id%7D" \
   	--request PUT \
   	--json '{
   		"psk": "<PSK_VALUE>"
   	}'

{
  "result": {
    "modified": true,
    "modified_ipsec_tunnel": {
      "id": "<IPSEC_ID>",
      "interface_address": "<IPSEC_CIDR>",
      "created_on": "2025-03-13T14:28:21.139535Z",
      "modified_on": "2025-03-13T14:33:26.09683Z",
      "name": "<TUNNEL_NAME>",
      "cloudflare_endpoint": "<IP_ADDRESS>",
      "customer_endpoint": "<IP_ADDRESS>",
      "remote_identities": {
        "hex_id": "",
        "fqdn_id": "",
        "user_id": ""
      },
      "psk_metadata": {
        "last_generated_on": "2025-03-13T14:28:47.054318Z"
      },
      "description": "<TUNNEL_DESCRIPTION>",
      "health_check": {
        "enabled": true,
        "target": "",
        "type": "reply",
        "rate": "mid",
        "direction": "unidirectional"
      }
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}

4. ステップ 3 の psk 値を使い、機器側の IPsec トンネルも設定します。

双方向ヘルスチェックは GRE トンネルと IPsec トンネルで利用できます。Cloudflare WAN ではこのオプションはデフォルトで双方向です。

API では "bidirectional" または "unidirectional" で変更できます。

curl "https://api.cloudflare.com/client/v4/accounts/%7Baccount_id%7D/magic/ipsec_tunnels/%7Bipsec_tunnel_id%7D" \
	--request PUT \
	--json '{
		"health_check": {
				"direction": "bidirectional"
		}
	}'

{
  "result": {
    "modified": true,
    "modified_ipsec_tunnel": {
      "id": "<IPSEC_ID>",
      "interface_address": "<IPSEC_CIDR>",
      "created_on": "2025-03-13T14:28:21.139535Z",
      "modified_on": "2025-03-13T14:33:26.09683Z",
      "name": "<TUNNEL_NAME>",
      "cloudflare_endpoint": "<IP_ADDRESS>",
      "customer_endpoint": "<IP_ADDRESS>",
      "remote_identities": {
        "hex_id": "",
        "fqdn_id": "",
        "user_id": ""
      },
      "psk_metadata": {
        "last_generated_on": "2025-03-13T14:28:47.054318Z"
      },
      "description": "<TUNNEL_DESCRIPTION>",
      "health_check": {
        "enabled": true,
        "target": "",
        "type": "reply",
        "rate": "mid",
        "direction": "bidirectional"
      }
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}