トンネルエンドポイントを設定する

7. Customer GRE endpoint にルーターのパブリック IP アドレスを入力します。Cloudflare Network Interconnect のような物理または仮想接続を使う場合、Cloudflare が提供するためこの値は不要です。

8. Cloudflare GRE endpoint に、アカウントに割り当てられた anycast アドレスの 1 つを入力します。Leased IPs ↗ で確認できます。

9. (任意) TTL と MTU はデフォルト値のままにするか、ネットワーク向けにカスタマイズします。

10. (任意) ヘルスチェック設定を構成します。各オプションの詳細は次を展開します。

    Health check options

    • Tunnel health checks: デフォルトで有効です。トンネルヘルスチェックを無効にすると、動作していても トンネルヘルス dashboard ではトンネルが 100% ダウンと表示されます。Cloudflare はトンネルがダウンしたことを検出できず、トンネル経由でトラフィックを送り続けます。ダウンしたトンネルを検出する独自の仕組みが必要です。Cloudflare はダウンを警告できません。詳細は トンネルヘルスチェック を参照してください。
    • Health check rate: トンネルヘルスチェックを有効のままにする場合、トンネルの ヘルスチェックレート を選びます。選択肢は Low、Medium、High です。
    • Health check type: デフォルトは Reply で、ICMP（Internet Control Message Protocol）reply を作成します。ファイアウォールがこの種のパケットを攻撃とみなして破棄する場合は、ICMP request を作成する Request に変更します。詳細は トンネルヘルスチェック を参照してください。
    • Health check direction: Cloudflare WAN ではデフォルトで bidirectional です。詳細は 双方向と単方向のヘルスチェック を参照してください。
    • Health check target: トンネルのお客様側です。このフィールドは Health check direction が Unidirectional のときだけ表示されます。

11. (任意) 正式に追加する前にトンネルをテストすることを推奨します。テストするには Test tunnels を選択します。

12. (任意) このトンネルを、Cloudflare への送信と応答の受信だけが必要で、WAN 内の他サイトからのトラフィック受信が不要なサイト向けに設定する場合は、Automatic return routing を選択します。この機能には Unified Routing が必要です。詳細は Automatic Return Routing を設定する を参照してください。

13. 複数のトンネルを追加するには、新しいトンネルごとに Add GRE tunnel を選択します。

14. トンネル情報を追加したら、Add tunnels を選択します。

15. (任意) ネットワークと Cloudflare の間でルートを動的に交換したい場合は、Allow BGP (Border Gateway Protocol) peering（ベータ）を選択します。この機能には Unified Routing が必要です。
    BGP は、ルートが頻繁に変わる環境や自動フェイルオーバーが必要なときに推奨されます。詳細は BGP ルートを設定する を参照してください。

7. (任意) Customer endpoint にルーターのパブリック IP アドレスを入力します。この値は、ルーターが ID_IPV4_ADDR 型の IKE ID を使う場合にのみ必要です。

8. Cloudflare endpoint に、アカウントに割り当てられた anycast アドレスの 1 つを入力します。Leased IPs ↗ で確認できます。

9. (任意) ヘルスチェック設定を構成します。各オプションの詳細は次を展開します。

   Health check options

   • Tunnel health checks: デフォルトで有効です。トンネルヘルスチェックを無効にすると、動作していても トンネルヘルス dashboard ではトンネルが 100% ダウンと表示されます。Cloudflare はトンネルがダウンしたことを検出できず、トンネル経由でトラフィックを送り続けます。ダウンしたトンネルを検出する独自の仕組みが必要です。Cloudflare はダウンを警告できません。詳細は トンネルヘルスチェック を参照してください。
   • Health check rate: トンネルヘルスチェックを有効のままにする場合、トンネルの ヘルスチェックレート を選びます。選択肢は Low、Medium、High です。
   • Health check type: デフォルトは Reply で、ICMP（Internet Control Message Protocol）reply を作成します。ファイアウォールがこの種のパケットを攻撃とみなして破棄する場合は、ICMP request を作成する Request に変更します。詳細は トンネルヘルスチェック を参照してください。
   • Health check direction: Cloudflare WAN ではデフォルトで bidirectional です。詳細は 双方向と単方向のヘルスチェック を参照してください。
   • Health check target: トンネルのお客様側です。このフィールドは Health check direction が Unidirectional のときだけ表示されます。

10. まだ事前共有キーがない場合:

    1. Add pre-shared key later を選択します。
    2. (任意) 正式に追加する前にトンネル構成をテストすることを推奨します。テストするには Test tunnels を選択します。
    3. Add tunnels を選択します。
    4. Cloudflare dashboard が設定済みトンネルの一覧を読み込みます。作成したばかりの IPsec トンネルは、まだ機能していないことを示す警告の三角アイコンを表示します。Edit を選択します。
    5. Generate a new pre-shared key > Update and generate a pre-shared key を選びます。キーを安全な場所に保存し、Done を選択します。

11. すでに事前共有キーがある場合:

    1. Use my own pre-shared key を選択します。
    2. Your pre-shared key にキーを貼り付けます。
    3. (任意) 正式に追加する前にトンネルをテストすることを推奨します。テストするには Test tunnels を選択します。
    4. Add tunnels を選択します。

12. (任意) 無効化をサポートしないデバイスがある場合は Replay protection を有効にします。詳細は アンチリプレイ保護 を参照してください。

13. (任意) このトンネルを、Cloudflare への送信と応答の受信だけが必要で、WAN 内の他サイトからのトラフィック受信が不要なサイト向けに設定する場合は、Automatic return routing を選択します。この機能には Unified Routing が必要です。詳細は Automatic Return Routing を設定する を参照してください。

14. 複数のトンネルを追加するには、新しいトンネルごとに Add IPsec tunnel を選択します。

15. トンネル情報を追加したら、Add tunnels を選択します。

16. (任意) ネットワークと Cloudflare の間でルートを動的に交換したい場合は、Allow BGP (Border Gateway Protocol) peering（ベータ）を選択します。この機能には Unified Routing が必要です。
    BGP は、ルートが頻繁に変わる環境や自動フェイルオーバーが必要なときに推奨されます。詳細は BGP ルートを設定する を参照してください。

API を使って POST リクエストを作成し、GRE トンネルを作成します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/gre_tunnels" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<TUNNEL_NAME>",
		"description": "<TUNNEL_DESCRIPTION>",
		"interface_address": "<INTERFACE_ADDRESS>",
		"cloudflare_gre_endpoint": "<CLOUDFLARE_ENDPOINT>",
		"customer_gre_endpoint": "<CUSTOMER_ENDPOINT>"
	}'

{
  "errors": [
    {
      "code": 1000,
      "message": "message"
    }
  ],
  "messages": [
    {
      "code": 1000,
      "message": "message"
    }
  ],
  "result": {
    "gre_tunnels": [
      {
        "cloudflare_gre_endpoint": "<IP_ADDRESS>",
        "customer_gre_endpoint": "<IP_ADDRESS>",
        "interface_address": "<INTERFACE_CIDR>",
        "name": "<TUNNEL_NAME>",
        "description": "<TUNNEL_DESCRIPTION>",
        "health_check": {
          "direction": "unidirectional",
          "enabled": true,
          "rate": "low",
          "type": "reply"
        },
        "mtu": 0,
        "ttl": 0
      }
    ]
  },
  "success": true
}

1. API を使って POST リクエストを作成し、IPsec トンネルを作成します。

   例では、リプレイ保護はデフォルトで無効です。使用デバイスがこの機能の無効化をサポートしない場合は、各 IPsec トンネルで "replay_protection": true フラグを付けて有効にできます。IPsec トンネルをすでに作成済みなら、PUT リクエスト で更新します。このトピックの詳細は アンチリプレイ保護 を参照してください。

   Required API token permissions

   At least one of the following token permissions is required:

   • Magic WAN Write
   • Magic Transit Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/ipsec_tunnels" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "<TUNNEL_NAME>",
   		"description": "<TUNNEL_DESCRIPTION>",
   		"interface_address": "<INTERFACE_ADDRESS>",
   		"cloudflare_endpoint": "<CLOUDFLARE_ENDPOINT>",
   		"customer_endpoint": "<CUSTOMER_ENDPOINT>"
   	}'

   {
   	"errors": [
   		{
   			"code": 1000,
   			"message": "message"
   		}
   	],
   	"messages": [
   		{
   			"code": 1000,
   			"message": "message"
   		}
   	],
   	"result": {
   		"ipsec_tunnels": [
   			{
   				"id": "<IPSEC_TUNNEL_ID>",
   				"interface_address": "<INTERFACE_CIDR>",
   				"name": "<TUNNEL_NAME>",
   				"cloudflare_endpoint": "<IP_ADDRESS>",
   				"customer_endpoint": "<IP_ADDRESS>",
   				"description": "<TUNNEL_DESCRIPTION>",
   				"health_check": {
   					"direction": "unidirectional",
   					"enabled": true,
   					"rate": "low",
   					"type": "reply"
   				},
   				"psk_metadata": {},
   				"replay_protection": false
   			}
   		]
   	},
   	"success": true
   }

   トンネルの id 値を控えます。事前共有キー (PSK) の生成に使います。

2. PSK を生成する POST リクエスト を作成します。前のコマンドで受け取ったトンネル id 値を使います。

   Required API token permissions

   At least one of the following token permissions is required:

   • Magic WAN Write
   • Magic Transit Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/ipsec_tunnels/$IPSEC_TUNNEL_ID/psk_generate" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"ipsec_id": "<IPSEC_ID>",
   		"ipsec_tunnel_id": "<IPSEC_TUNNEL_ID>",
   		"psk": "<PSK_CODE>",
   		"psk_metadata": {
   			"last_generated_on": "2025-03-13T14:28:47.054317925Z"
   		}
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

   psk 値を控えます。

3. PSK で IPsec トンネルを更新する PUT リクエスト を作成します。

   curl "https://api.cloudflare.com/client/v4/accounts/%7Baccount_id%7D/magic/ipsec_tunnels/%7Bipsec_tunnel_id%7D" \
   	--request PUT \
   	--json '{
   		"psk": "<PSK_VALUE>"
   	}'

{
  "result": {
    "modified": true,
    "modified_ipsec_tunnel": {
      "id": "<IPSEC_ID>",
      "interface_address": "<IPSEC_CIDR>",
      "created_on": "2025-03-13T14:28:21.139535Z",
      "modified_on": "2025-03-13T14:33:26.09683Z",
      "name": "<TUNNEL_NAME>",
      "cloudflare_endpoint": "<IP_ADDRESS>",
      "customer_endpoint": "<IP_ADDRESS>",
      "remote_identities": {
        "hex_id": "",
        "fqdn_id": "",
        "user_id": ""
      },
      "psk_metadata": {
        "last_generated_on": "2025-03-13T14:28:47.054318Z"
      },
      "description": "<TUNNEL_DESCRIPTION>",
      "health_check": {
        "enabled": true,
        "target": "",
        "type": "reply",
        "rate": "mid",
        "direction": "unidirectional"
      }
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}

4. 手順 3 の psk 値を使い、機器側の IPsec トンネルも設定します。

双方向ヘルスチェックは GRE と IPsec トンネルで利用できます。Cloudflare WAN ではこのオプションのデフォルトは双方向です。

API で "bidirectional" または "unidirectional" を使ってこの設定を変更できます。

curl "https://api.cloudflare.com/client/v4/accounts/%7Baccount_id%7D/magic/ipsec_tunnels/%7Bipsec_tunnel_id%7D" \
	--request PUT \
	--json '{
		"health_check": {
				"direction": "bidirectional"
		}
	}'

{
  "result": {
    "modified": true,
    "modified_ipsec_tunnel": {
      "id": "<IPSEC_ID>",
      "interface_address": "<IPSEC_CIDR>",
      "created_on": "2025-03-13T14:28:21.139535Z",
      "modified_on": "2025-03-13T14:33:26.09683Z",
      "name": "<TUNNEL_NAME>",
      "cloudflare_endpoint": "<IP_ADDRESS>",
      "customer_endpoint": "<IP_ADDRESS>",
      "remote_identities": {
        "hex_id": "",
        "fqdn_id": "",
        "user_id": ""
      },
      "psk_metadata": {
        "last_generated_on": "2025-03-13T14:28:47.054318Z"
      },
      "description": "<TUNNEL_DESCRIPTION>",
      "health_check": {
        "enabled": true,
        "target": "",
        "type": "reply",
        "rate": "mid",
        "direction": "bidirectional"
      }
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}