従来の広域ネットワーク（WAN）は、アプリケーションが企業データセンターで動き、従業員がオフィスで働く前提で設計されていました。この構成は、Multiprotocol Label Switching（MPLS）のような専用回線、中央データセンター経由のハブアンドスポークルーティング、各拠点の専用ハードウェアに依存します。
クラウドサービスを導入し、リモートワークを支えるようになると、このモデルはボトルネックになります。中央データセンターへトラフィックを戻すと、クラウド向け通信の遅延が増えます。拠点のハードウェアは継続的な保守と設備投資も必要です。WAN トランスフォーメーションは、この構成をクラウドネイティブなネットワークに置き換えます。専用回線ではなく分散したグローバルネットワーク経由でルーティングし、中央の一点ではなくインラインでセキュリティを適用します。
Cloudflare One では、企業 WAN が Cloudflare のグローバルネットワーク上で動作します。サイトは anycast の IPsec または GRE トンネルで接続します。ルーティング、セキュリティ検査、トラフィック最適化は、最寄りのポイントオブプレゼンスで Cloudflare が処理します。
MPLS 回線は複数年契約が必要で、開通まで数週間から数か月かかります。新しいサイトを追加するたびに、新しい回線を発注します。Cloudflare One は、anycast トンネル付きの標準的なインターネット回線を使います。IPsec または GRE に対応する任意のインターネット接続とデバイスで、数分で新しいサイトを接続できます。
従来の WAN では、インターネット向けトラフィックの選択肢は 2 つです。中央データセンターへ戻してセキュリティ検査する（遅延が増える）、または拠点から直接出す（セキュリティ制御を迂回する）です。Cloudflare One では、このトレードオフは不要です。各サイトのトラフィックは最寄りの Cloudflare データセンターに到達し、バックホールのペナルティなしでセキュリティポリシーが適用されます。
独自の SD-WAN アプライアンスは、単一ベンダーのハードウェアとソフトウェアに依存します。Cloudflare One は IPsec、GRE、BGP などのオープン標準を使い、既存のサードパーティ製ルーターやファイアウォールと組み合わせられます。拠点のゼロタッチプロビジョニングには Cloudflare One Appliance も使えます。
オンプレミスのネットワーク機器とセキュリティ機器は、各拠点でファームウェア更新、パッチ適用、容量計画を手作業で行う必要があります。Cloudflare One では、ネットワークとセキュリティのサービスがクラウドで動きます。更新とスケールは Cloudflare がグローバルに管理するため、運用負荷を減らせます。
| 従来の WAN（MPLS） | SD-WAN | Cloudflare One | |
|---|---|---|---|
| 性能 | 予測しやすい一方、回線容量に制約されます。バックホールのため、クラウド向けトラフィックの遅延が大きくなります。 | 複数リンクでの経路選択は改善されます。処理は引き続き拠点のアプライアンスに依存します。 | トラフィックは最寄りの Cloudflare データセンターへルーティングされます。クラウド向けトラフィックはバックホールせず、ローカルで出ます。 |
| コストモデル | 固定費が高いです。専用回線は複数年契約です。拠点ごとにハードウェア投資が必要です。 | 回線コストは下がります（インターネットリンクを使用）。拠点ごとのアプライアンスライセンスとハードウェア費用は残ります。 | インターネット回線のコストのみです。拠点ごとのハードウェアは必須ではありません（任意）。利用量に応じて拡大できます。 |
| 俊敏性 | 新しい回線の開通に数週間から数か月かかります。トポロジ変更も硬直的です。 | インターネット回線でのサイト展開は速くなります。アプライアンスの準備と設定は必要です。 | 新しいサイトを数分で接続できます。トンネルは任意のインターネット接続から自動確立します。 |
| セキュリティ | セキュリティは中央データセンター、または拠点ごとのファイアウォールで適用します。 | ベンダーによります。統合セキュリティを提供する場合も、別アプライアンスが必要な場合もあります。 | 各データセンターでセキュリティを統合します。ファイアウォール、Secure Web Gateway、Zero Trust ポリシーをインラインで適用します。 |
| 管理 | WAN 回線、ルーター、セキュリティアプライアンスを別々に管理します。 | WAN は単一コンソールですが、セキュリティは別管理になることが多いです。 | ネットワーク接続、ルーティング、ファイアウォールルール、セキュリティポリシーを単一ダッシュボードで管理します。 |
WAN トランスフォーメーションは、一度にすべて置き換える必要はありません。多くの組織は段階的に進めます。機能を追加しながら、各段階の確認後にレガシー基盤を廃止します。
まず、VPN コンセントレータを Zero Trust Network Access（ZTNA）に置き換えます。ユーザーデバイスに Cloudflare One Client を導入し、Cloudflare Access でアプリケーションアクセスに ID ベースのポリシーを適用します。既存のネットワーク構成を変えずに、リモートおよびハイブリッドワーカーを保護できます。
詳細は Cloudflare One を参照してください。
既存ルーターから IPsec または GRE トンネルを確立する、拠点に Cloudflare One Appliance を配置する、または Cloudflare Network Interconnect でプライベート接続する、といった方法でサイト間接続を設定します。サイト間の通信は Cloudflare のネットワーク経由になり、ルーティングはダッシュボードまたは API で管理します。
- Cloudflare WAN の Get started
- 適切なオンランプを選ぶには connectivity options を確認します
- 利用できる on-ramps を確認します
Cloudflare Gateway を有効にし、サイトからのインターネット向けトラフィックに Secure Web Gateway（SWG）ポリシーを適用します。パケットレベルのフィルタリングには Cloudflare Network Firewall ルールを追加します。各サイトのトラフィックは最寄りの Cloudflare データセンターで検査されます。バックホールは不要です。
WAN トラフィックにどのセキュリティサービスが適用されるかの概要は Secure WAN traffic を参照してください。設定の詳細は Cloudflare Gateway と Cloudflare Network Firewall を参照してください。
ルーティングとセキュリティを Cloudflare がクラウドで処理するようになったら、拠点のファイアウォール、VPN コンセントレータ、MPLS 回線の廃止を始められます。最終的な姿は、「コーヒーショップネットワーキング」と呼ばれることもあります。本社、自宅、カフェのいずれでも、同じ安全性と性能を得られます。ネットワークは Cloudflare で集中管理し、現地のインフラは最小限です。
サイト間接続とパケットレベルのセキュリティから Cloudflare WAN を始めた組織も、同じ段階的な道筋を取れます。Cloudflare One は同じネットワーク基盤の上に載るため、ID ベースのアクセス制御、Secure Web Gateway ポリシー、ユーザーレベルのセキュリティを、構成を作り直さずに追加できます。
- Get started: Cloudflare One Appliance またはサードパーティ機器で Cloudflare WAN を設定します。
- Connectivity options: Cloudflare One の接続オプションを比較し、導入に合う組み合わせを選びます。
- On-ramps: ネットワーク接続で使えるオンランプの一覧を確認します。
- SASE reference architecture: SASE プラットフォームとしての Cloudflare One のアーキテクチャを確認します。