予約 IP アドレス

Cloudflare は内部ルーティングとサービス機能のために、いくつかの IPv4 および IPv6 範囲を予約しています。これらの範囲のほとんどは CGNAT アドレス空間（100.64.0.0/10）から取られます。Gateway の initial resolved IP だけが例外で、デフォルトでは Cloudflare 所有の公開範囲を使います。ルーティングの衝突を避けるため、Cloudflare Tunnel、Cloudflare Mesh、または WAN のルートにこれらの予約範囲のサブセットを含めないでください。0.0.0.0/0 のように予約範囲を包含するより広いルートは影響を受けません。longest-prefix match により、予約範囲が優先されるためです。

プライベートネットワークのアドレス設計と Split Tunnel エントリの設定では、次の表を使い、Cloudflare が予約している IP 範囲と、再設定できるかを確認します。

他の IPv4 範囲と異なり、Gateway の initial resolved IP はデフォルトで CGNAT（100.64.0.0/10）ではなく、公開の Cloudflare アドレス空間から取られます。このデフォルト変更前にアカウントを作成した場合、またはカスタム範囲を設定した場合は、まだ CGNAT 空間内にあることがあります。Gateway initial resolved IPs を参照してください。

Cloudflare source IPs は、Cloudflare サービスがプライベートネットワークへトラフィックを送るときに使う送信元アドレスです。この範囲は Unified Routing を使うお客様に適用されます。この範囲から送信されるリクエストの例は次です。

• Load Balancing — プライベートエンドポイントへのヘルスチェックリクエスト
• Gateway DNS resolver — プライベートホスト名の DNS 解決
• Cloudflare Workers — Workers からプライベートオリジンへのリクエスト

デフォルトの IPv4 範囲は 100.64.0.0/12 です。既存の IP アドレス管理計画との衝突を避けるため、別の /12 CIDR に変更できます。影響を受けるサービスと設定手順の詳細は、Cloudflare source IP を設定する を参照してください。

Gateway initial resolved IPs（トークン IP とも呼ばれます）は、通常ホスト名情報が使えないネットワーク層で、ホスト名を宛先 IP に対応付ける一時アドレスです。

次の機能がこの範囲を使います。

• プライベートホスト名ルーティング — ホスト名を使い、Cloudflare Tunnel 背後のプライベートアプリケーションへトラフィックをルーティングします。
• 公開ホスト名ルーティング — Cloudflare Tunnel 経由でトラフィックを egress し、公開宛先の送信元 IP を固定します。
• Egress ポリシーのホストセレクター — ホスト名ベースのセレクターで Gateway egress ポリシーを評価します。
• Access のプライベートアプリケーション — プライベートホスト名を使ってプライベートアプリケーションへのアクセスを管理します。

Cloudflare はデフォルトで 172.64.128.0/20（IPv4）または 2606:4700:0cf1:4000::/64（IPv6）の範囲から initial resolved IP を割り当てます。以前の CGNAT ベースのデフォルトと異なり、IPv4 範囲は公開の Cloudflare アドレス空間なので、Google Chrome の Local Network Access 制限 の影響を受けません。

デフォルトが既存ネットワークまたはプライベートルートと衝突する場合は、カスタム IPv4 範囲を設定できます。IPv6 範囲は設定できません。手順は initial resolved IP を設定する を参照してください。

Device IPs（Cloudflare Mesh では Mesh IPs とも呼ばれます）は、各 Cloudflare One Client の登録と各 mesh ノードに割り当てられる仮想アドレスです。これらの IP は、次の機能で特定のデバイスを識別し、トラフィックをルーティングします。

• Cloudflare Mesh — mesh ノードとクライアントデバイスは、デバイス間、サイト間、mesh 接続のために Mesh IP を使って通信します。
• Cloudflare WAN — WAN トンネルから Cloudflare One Client デバイスへトラフィックをオンランプします。

デフォルトの IPv4 範囲は 100.96.0.0/12 です。この範囲がプライベートネットワーク上のサービスと衝突する場合は、RFC 1918 または CGNAT アドレス空間から取るカスタム IPv4 サブネットを設定できます。アカウントが Cloudflare WAN を使う場合、カスタムサブネットには Unified Routing が必要です。設定手順は Device IPs を参照してください。

Private Load Balancer IPs は、Private Network Load Balancers に割り当てられる仮想アドレスです。各プライベートロードバランサーはデフォルトで 100.112.0.0/16 範囲から /32 アドレスを受け取り、プライベートエンドポイントへのトラフィック分散用の仮想 IP として使います。代わりに、各ロードバランサーにカスタムの RFC 1918 ↗ /32 アドレスを設定できます。

Cloudflare One Client を使うデプロイでは、デプロイが必要とする 予約 IP 範囲 が WARP Split Tunnels 経由で Cloudflare に向かうようにします。設定は、Split Tunnels モード が Exclude IPs and domains か Include IPs and domains かによって異なります。

Exclude IPs and domains モードでは、デフォルトのデバイスプロファイルが CGNAT 範囲（100.64.0.0/10）を Cloudflare から除外します。CGNAT 空間内の予約範囲を Cloudflare 経由でルーティングするには、CGNAT の除外を削除するか狭めます。Mesh セットアップウィザードは、Mesh が使う Device IP 範囲についてこれを自動で行います。

Gateway initial resolved IPs は例外です。デフォルト範囲（172.64.128.0/20）は CGNAT ではなく公開の Cloudflare アドレス空間なので、Exclude モードではデフォルトで 除外されません。Cloudflare One Client は、設定した除外からこの範囲と、IPv6 の 2606:4700:0cf1::/48 全体（IPv6 上の Device IPs と Cloudflare source IPs もカバーします）も自動で除きます。自動管理される範囲 を参照してください。これらの範囲について Split Tunnel の変更は不要です。これはデフォルトの IPv4 範囲にだけ適用されます。CGNAT 空間内にカスタムの initial resolved IP 範囲を設定した場合は、次の他の CGNAT ベースの範囲と同じ扱いにします。

Cloudflare は、Cloudflare One サービスに使わない CGNAT IP を除外することを推奨します。CGNAT アドレス空間を使うプライベートネットワーク設定との衝突リスクを下げます。

次の計算機を使い、利用する Cloudflare One 機能に基づいて除外できる範囲を決めます。たとえば、デプロイが Cloudflare source IPs（100.64.0.0/12）と Device IPs（100.96.0.0/12）を必要とする場合は、100.80.0.0/12 と 100.112.0.0/12 を除外します。

Include IPs and domains モードでは、Cloudflare One Client は含まれるルートのトラフィックだけを Cloudflare へ送ります。デプロイが依存する予約 IP 範囲を明示的に追加する必要があります。ただし、デフォルトの Gateway initial resolved IP 範囲（172.64.128.0/20）と、IPv6 の 2606:4700:0cf1::/48 全体（IPv6 上の Device IPs と Cloudflare source IPs もカバーします）は除きます。Cloudflare One Client がこれらを自動で含めます。詳細は 自動管理される範囲 を参照してください。ホスト名ルーティングまたは egress ポリシーのホストセレクター をカスタム IPv4 initial resolved IP 範囲と一緒に使う場合は、そのカスタム範囲を Split Tunnels の include リストに追加します。