WARP を Cloudflare WAN（旧 Magic WAN）の オンランプ として使い、Cloudflare One Client をインストールしたユーザーデバイスから、Cloudflare Tunnel または IP レイヤーのトンネル（anycast GRE、IPsec、または CNI）で接続した任意のネットワークへトラフィックをルーティングします。Cloudflare WAN と Cloudflare Network Firewall の連携を活用し、Cloudflare のグローバルネットワーク上でポリシーを適用します。
Cloudflare One Client を Cloudflare WAN のオンランプとして使い始める前に、Zero Trust アカウント をセットアップする必要があります。
デバイスを Cloudflare WAN に接続すると、Cloudflare One Client から 100.96.0.0/12 範囲の仮想 IP アドレスが割り当てられます。
anycast GRE またはほかの種類のトンネルの背後にあるサービスから、パケットを Cloudflare One Client デバイスへ戻すようにルーティングします。この設定は WARP をインストールする前に完了してください。そうしないと、インフラストラクチャがパケットを Cloudflare のグローバルネットワークへ正しくルーティングできず、接続に失敗します。
Cloudflare は仮想 IP（VIP）空間からデバイスに IP アドレスを割り当てます。仮想 IP アドレスを確認するには、Cloudflare ダッシュボード ↗ を開き、Zero Trust > My Team > Devices を選択します。
宛先 IP が VIP 空間にあるパケットは、すべてトンネル経由で戻す必要があります。たとえば、gre1 という単一の GRE トンネルがある Linux では、次のコマンドでそのようなパケットをルーティングするルールを追加できます。
ip route add 100.96.0.0/12 dev gre1Zero Trust アカウントで Split Tunnels を設定し、アクセスしたいプライベート IP アドレスのトラフィックだけを含めます。
任意で、公開 IP アドレスへの接続に使いたい IP 範囲またはドメインを Split Tunnels に含めることもできます。
手動デプロイと管理デプロイのどちらを選ぶかは、組織に Cloudflare One Client をデプロイする を参照してください。
これで、Split Tunnel の設定に指定したプライベート IP アドレスにアクセスできます。
設定をデバイスに反映するには、少なくとも 1 台のデバイスでログアウトしてから再度ログインする必要があります。
Cloudflare One Client のユーザーが、IPsec / GRE トンネルをすでにセットアップした場所（オフィスなど）から接続すると、Cloudflare One Client のトラフィックは二重にカプセル化されます。まず Cloudflare One Client がカプセル化し、次に Cloudflare WAN がカプセル化します。各オンランプ方式がそれぞれ完全な Zero Trust 保護を提供するため、この二重化は不要です。
Cloudflare One Client のトラフィックは単体ですでに保護されているため、Cloudflare WAN で Cloudflare One Client のトラフィックを除外し、通常の接続でインターネットへ送るようにします。
除外する IP アドレスと UDP ポートは、WARP ingress IP を参照してください。
拠点に Cloudflare One Appliance（旧 Magic WAN Connector）と Cloudflare One Client をデプロイしている場合、Cloudflare One Appliance は Cloudflare One Client のトラフィックを Cloudflare WAN の IPsec トンネルではなくインターネットへ自動でルーティングします。これにより、トラフィックの二重カプセル化を防ぎます。
この新しいトラフィックを許可するには、ファイアウォールの設定が必要になる場合があります。次の IP とポートを許可してください。
- Destination IPs:
162.159.193.0/24、162.159.197.0/24 - Destination ports:
443、500、1701、2408、4443、4500、8095、8443
詳細は ファイアウォールと Cloudflare One Client を参照してください。
テストの前に、Cloudflare One Client の設定でサーバーまたはサービスに対する ドメインフォールバックを設定 します。Cloudflare Zero Trust は、ローカル解決に使われる一般的なトップレベルドメインを、デフォルトで Gateway に送らないように除外するためです。
過去 1 日以内にアカウントで WARP 連携を有効にした場合は、テスト前に Cloudflare One Client でログアウトしてから再度ログインします。
Cloudflare One Client がオンランプとして正しく動作しているかを確認するには、Cloudflare WAN 上のサーバーまたはサービスの 完全修飾ドメイン名（FQDN） ↗ で名前解決テストを行います。デバイスを使うユーザーからテストします。
例:
nslookup <SERVER_BEHIND_CLOUDFLARE_WAN>この DNS ルックアップは、テスト対象のサーバーまたはサービスに関連する有効な IP アドレスを返す必要があります。
次に、ブラウザーで WAN 上のサービスに接続できることを確認します。WAN 上でのみアクセスできる Web ページを開きます。DNS ルックアップで使ったサーバー、または WAN 上の別のサーバーを使います。ドメイン名ではなく IP アドレスでの接続も動作する必要があります。