従来の広域ネットワーク（WAN）は、アプリケーションが企業データセンターで動き、従業員がオフィスで働く前提で設計されていました。これらのアーキテクチャは、Multiprotocol Label Switching（MPLS）のような専用回線、中央データセンター経由のハブアンドスポークルーティング、各拠点の専用ハードウェアに依存します。
組織がクラウドサービスを導入し、リモートワークを支えるようになると、このモデルはボトルネックになります。クラウド向けトラフィックを中央データセンターへバックホールすると遅延が増え、拠点ハードウェアは継続的な保守と設備投資が必要です。WAN トランスフォーメーションは、このアーキテクチャをクラウドネイティブなネットワーキングに置き換えます。専用回線ではなく分散したグローバルネットワークでトラフィックをルーティングし、中央の一点ではなくインラインでセキュリティを適用します。
Cloudflare One では、企業 WAN が Cloudflare のグローバルネットワーク上で動作します。anycast の IPsec または GRE トンネルでサイトを接続すると、最も近い拠点で Cloudflare がルーティング、セキュリティ検査、トラフィック最適化を行います。
MPLS 回線は複数年契約が必要で、開通に数週間から数か月かかります。新しいサイトを追加するには、新しい回線を発注します。Cloudflare One は anycast トンネル付きの標準インターネット回線を使います。IPsec または GRE をサポートする任意の機器と任意のインターネット接続で、数分で新しいサイトを接続できます。
従来の WAN では、インターネット向けトラフィックの選択肢は 2 つです。セキュリティ検査のため中央データセンターへバックホールする（遅延が増える）、または拠点で直接ブレイクアウトする（セキュリティ制御を迂回する）です。Cloudflare One はこのトレードオフをなくします。各サイトのトラフィックは最も近い Cloudflare データセンターに届き、バックホールのペナルティなしでセキュリティポリシーが適用されます。
独自の SD-WAN アプライアンスは、単一ベンダーのハードウェアとソフトウェアエコシステムへの依存を生みます。Cloudflare One は IPsec、GRE、BGP といったオープン標準を使い、既存のサードパーティルーターやファイアウォールと併用できます。拠点でのゼロタッチプロビジョニングには Cloudflare One Appliance も使えます。
オンプレミスのネットワーク機器とセキュリティアプライアンスは、拠点ごとに手動のファームウェア更新、パッチ適用、容量計画が必要です。Cloudflare One では、ネットワーキングとセキュリティサービスがクラウドで動きます。更新とスケーリングは Cloudflare がグローバルに管理するため、チームの運用負荷が下がります。
| 従来の WAN（MPLS） | SD-WAN | Cloudflare One | |
|---|---|---|---|
| パフォーマンス | 予測可能ですが、回線容量に制限されます。バックホールのため、クラウド向けトラフィックの遅延が大きくなります。 | 複数リンクにわたるパス選択が改善されます。処理は依然として拠点アプライアンスに依存します。 | 最も近い Cloudflare データセンターへルーティングします。クラウド向けトラフィックはバックホールせず、ローカルでエグレスします。 |
| コストモデル | 固定費が高いです。専用回線は複数年契約です。サイトごとのハードウェア投資が必要です。 | 回線コストは下がります（インターネットリンクを使います）。サイトごとのアプライアンスライセンスとハードウェア費用は残ります。 | インターネット回線の費用のみです。サイトごとのハードウェアは不要です（任意）。成長に応じた従量モデルです。 |
| 俊敏性 | 新しい回線の開通に数週間から数か月かかります。トポロジ変更が硬直的です。 | インターネット回線でのサイト展開は速くなります。アプライアンスのステージングと設定は必要です。 | 新しいサイトを数分で接続できます。任意のインターネット接続からトンネルが自動確立します。 |
| セキュリティ | セキュリティは中央データセンター、またはサイトごとのファイアウォールで適用します。 | ベンダーにより異なります。セキュリティ統合がある場合と、別アプライアンスが必要な場合があります。 | 各データセンターでセキュリティが統合されます。ファイアウォール、セキュア Web ゲートウェイ、Zero Trust ポリシーをインラインで適用します。 |
| 管理 | WAN 回線、ルーター、セキュリティアプライアンスを別々に管理します。 | WAN は単一コンソールですが、セキュリティは別管理になることが多いです。 | ネットワーク接続、ルーティング、ファイアウォールルール、セキュリティポリシーを単一ダッシュボードで管理します。 |
WAN トランスフォーメーションは、一度にすべてを変える必要はありません。多くの組織は段階的に進め、各段階の効果を確認しながらレガシーインフラを廃止します。
まず、VPN コンセントレーターを Zero Trust Network Access（ZTNA）に置き換えます。ユーザーデバイスに Cloudflare One Client をデプロイし、Cloudflare Access でアプリケーションアクセスに ID ベースのポリシーを適用します。既存のネットワークインフラを変えずに、リモートおよびハイブリッドワーカーを保護できます。
詳細は Cloudflare One を参照してください。
既存ルーターから IPsec または GRE トンネルを確立する、拠点に Cloudflare One Appliance をデプロイする、または Cloudflare Network Interconnect でプライベート接続するなどして、サイト間接続を設定します。サイト同士は Cloudflare のネットワーク経由で通信し、ルーティングはダッシュボードまたは API で管理します。
Cloudflare Gateway を有効にし、サイトからのインターネット向けトラフィックにセキュア Web ゲートウェイ（SWG）ポリシーを適用します。パケットレベルのフィルタリングには Cloudflare Network Firewall ルールを追加します。各サイトのトラフィックは、最も近い Cloudflare データセンターで検査されます。バックホールは不要です。
WAN トラフィックにどのセキュリティサービスが適用されるかの全体像は WAN トラフィックを保護する を参照してください。設定の詳細は Cloudflare Gateway と Cloudflare Network Firewall を参照してください。
Cloudflare がクラウドでルーティングとセキュリティを担うようになったら、拠点ファイアウォール、VPN コンセントレーター、MPLS 回線の廃止を始められます。到達点は、いわゆる「coffee shop networking」です。本社、在宅、カフェのいずれでも、同じ安全で高性能な体験を提供します。ネットワークは Cloudflare で集中管理し、ローカルインフラは最小限です。
サイト間接続とパケットレベルのセキュリティを Cloudflare WAN から始めた組織も、同じ段階的な道を進めます。Cloudflare One は同じネットワークインフラの上に乗るため、要件の成長に合わせて、デプロイを再設計せずに ID ベースのアクセス制御、セキュア Web ゲートウェイポリシー、ユーザーレベルのセキュリティを追加できます。
- はじめに: Cloudflare One Appliance またはサードパーティ機器で Cloudflare WAN を設定します。
- 接続オプション: Cloudflare One の接続オプションを比較し、デプロイに合う組み合わせを選びます。
- オンランプ: ネットワーク接続に対応しているオンランプの一覧を確認します。
- SASE リファレンスアーキテクチャ: SASE プラットフォームとしての Cloudflare One のアーキテクチャを確認します。