接続オプション

Cloudflare One は、ユーザー、デバイス、ネットワークインフラ向けに複数の接続オプションを提供します。各オプションは、個別デバイスの保護からデータセンター全体の接続まで、用途が異なります。

このページでは、要件に応じてどの接続オプションを使うか、1 つの導入で複数オプションをどう組み合わせるかを説明します。

Cloudflare One の接続オプションは、オンランプとオフランプの概念を使います。

• オンランプ は、トラフィックを Cloudflare のネットワークへ送ります。たとえば、Cloudflare One Client をインストールしたユーザーデバイスは、検査とポリシー適用のためにトラフィックを Cloudflare へオンランプします。
• オフランプ は、Cloudflare のネットワークから自社インフラへトラフィックを送ります。たとえば、Cloudflare Tunnel は、公衆インターネットに公開せずにプライベートアプリケーションへトラフィックをオフランプします。

一部の接続オプションは双方向に対応し、ほかは一方向のみです。

次の表は、Cloudflare One のお客様が使えるすべての接続オプションの概要です。

表 1: すべての Cloudflare One 接続オプション

Cloudflare Tunnel は、公開ルーティング可能な IP アドレスなしで、リソースを Cloudflare に安全に接続する方法です。cloudflared デーモンは、HTTP/2 または QUIC を使い、ポート 7844（TCP/UDP）で Cloudflare のグローバルネットワークへ送信専用接続を作ります。ファイアウォールで受信ポートを開けずに、Web サーバー、SSH サーバー、リモートデスクトップ、その他のサービスを公開できます。

プライベート Web アプリケーションを公開する、オリジンサーバーの IP を隠して保護する、Kubernetes サービス向けのクラウドネイティブなイングレスを導入するときに、Cloudflare Tunnel を使います。

詳細な設定は Cloudflare Tunnel ドキュメント を参照してください。

Cloudflare One Client は、エンドユーザーデバイスを Cloudflare のグローバルネットワークへ安全に接続するデバイスエージェントです。Cloudflare One Client は、MASQUE（耐量子暗号付き）または WireGuard でデバイスからのトラフィックを暗号化し、Cloudflare 経由でルーティングします。そこで Gateway ポリシーがトラフィックをフィルタし、検査します。

リモートワークフォースのデバイスを保護する、従来の VPN を置き換える、DNS フィルタと Web セキュリティポリシーを適用する、デバイスポスチャチェックを実装する、登録済みデバイス間の Mesh 接続 を有効にするときに、Cloudflare One Client を使います。

詳細な設定は Cloudflare One Client ドキュメント を参照してください。

Cloudflare Mesh は、耐量子暗号のネットワーキングでサービスとデバイスを接続します。登録されたすべてのデバイスと Mesh ノードは、プライベートな Mesh IP を受け取り、TCP、UDP、または ICMP でほかの参加者と通信できます。インフラなしのデバイス間通信も含みます。

Mesh ノードは、Linux サーバー上でヘッドレスモードの Cloudflare One Client（warp-cli）を実行します。CIDR ルート を広報し、背後のサブネットを到達可能にできます。クライアントを実行できないデバイス（IoT、プリンター、レガシーサーバー）への接続が可能になります。すべてのトラフィックは、送信元 IP アドレスをエンドツーエンドで保持します。

双方向接続（VoIP、SIP、AD 更新、SCCM、DevOps）、サイト間ネットワーキング、デバイス間接続、送信元 IP の保持が重要なシナリオでは、Cloudflare Mesh を使います。プライベートサービスへの送信専用アクセスでは、Cloudflare Tunnel（cloudflared）の方が導入が簡単で、すべてのプラットフォームで動きます。

詳細な設定は Cloudflare Mesh ドキュメント を参照してください。

DNS locations を使うと、Cloudflare One Client を導入せずに、ネットワークからの DNS トラフィックをフィルタできます。ネットワークの DNS リゾルバーを Cloudflare Gateway に向けると、Gateway はそのロケーションからのすべてのクエリに DNS ポリシーを適用します。

DNS locations は、次のエンドポイント種別に対応します。

• IPv4/IPv6: Cloudflare のリゾルバー IP を使う標準 DNS 解決
• DNS over HTTPS（DoH）: HTTPS 上の暗号化 DNS クエリ
• DNS over TLS（DoT）: TLS 上の暗号化 DNS クエリ

オフィスまたはネットワーク全体の DNS トラフィックをフィルタする、デバイスにエージェントを入れずにデバイス単位でフィルタする、既存のネットワークインフラと連携するときに、DNS locations を使います。

詳細な設定は DNS locations ドキュメント を参照してください。

Proxy endpoints を使うと、デバイスにクライアントをインストールせずに、Cloudflare Gateway の HTTP ポリシーを適用できます。ブラウザーレベルで Proxy Auto-Configuration（PAC）ファイルを設定すると、Web トラフィックを Gateway 経由でルーティングし、フィルタとポリシー適用を行います。

Cloudflare One は次の 2 種類の proxy endpoints に対応します。

• Authorization endpoints: ID ベースの認証に Cloudflare Access を使う
• Source IP endpoints: 発信元 IP アドレスに基づいてトラフィックを認可する（Enterprise のみ）

デバイスエージェントなしで Web トラフィックをフィルタする、既存のプロキシインフラと連携する、ほかのセキュリティツールと Gateway を併用するときに、proxy endpoints を使います。

詳細な設定は Proxy endpoints ドキュメント を参照してください。

Clientless Web Isolation を使うと、Cloudflare One Client をインストールせずに、リモートブラウザー経由で Web アプリケーションへ安全にアクセスできます。ユーザーはプレフィックス付き URL（https://<team-name>.cloudflareaccess.com/browser/<URL>）を開き、Cloudflare Access で認証します。Cloudflare は隔離されたブラウザーで Web コンテンツをレンダリングし、隔離ポリシーを適用しながら、ユーザーデバイスへ 安全な描画コマンド ↗ だけをストリーミングします。

非管理デバイス（契約者、BYOD）に安全な Web アクセスを提供する、エンドポイントソフトウェアなしで機微なアプリケーションへアクセスできるようにする、Cloudflare One Client をインストールできないユーザーをオンランプするときに、Clientless Web Isolation を使います。

詳細な設定は Clientless Web Isolation ドキュメント を参照してください。

Generic Routing Encapsulation（GRE）トンネルは、インフラと Cloudflare の間に軽量でステートレスなネットワーク接続を提供します。GRE トンネルは、Cloudflare WAN（旧 Magic WAN）および Magic Transit と使い、既存のルーターとファイアウォールでサイト、データセンター、クラウド環境を接続します。

設定オーバーヘッドを最小にしてブランチオフィスやデータセンターを接続する、DDoS 保護のために Magic Transit と連携する、IPsec と並ぶ冗長トンネルを導入するときに、GRE トンネルを使います。

詳細な設定は GRE と IPsec トンネルのドキュメント を参照してください。

IPsec トンネルは、インフラと Cloudflare の間に暗号化されたステートフルなネットワーク接続を提供します。IPsec トンネルは、Cloudflare WAN および Magic Transit で安全なサイト間接続に使います。トンネルネゴシエーションに IKEv2、暗号化に AES-GCM または AES-CBC を使います。

公衆インターネット越しにトラフィックを暗号化する、または暗号化接続のコンプライアンス要件を満たすときに、IPsec トンネルを使います。IPsec トンネルは、一般的なルーターとファイアウォールアプライアンス、およびクラウド環境のゲートウェイ（AWS、Azure、GCP）で使えます。

詳細な設定は GRE と IPsec トンネルのドキュメント を参照してください。

Cloudflare One Appliance（旧 Magic WAN Connector）は、Cloudflare のネットワークへの接続を自動化する、プラグアンドプレイの SD-WAN アプライアンスです。IPsec トンネルを自動確立し、トラフィックステアリングを提供します。ハードウェアアプライアンス（Dell VEP1460）または仮想アプライアンス（VMware ESXi、Proxmox）として導入できます。

ゼロタッチのブランチオフィス導入、エッジルーターの置き換え、高いスループット（1 Gbps 以上）、中央ダッシュボードからの複数サイト管理に、Cloudflare One Appliance を使います。

詳細な設定は Cloudflare One Appliance ドキュメント を参照してください。

Cloudflare Network Interconnect（CNI）を使うと、公衆インターネットを迂回するプライベートな専用接続で、ネットワークインフラを Cloudflare へ直接接続できます。CNI は予測可能なレイテンシ、安定したスループット、攻撃面の縮小を提供します。

公衆インターネットのトラフィックを禁止するセキュリティ要件を満たす、クラウドエグレスコストを下げる、規制の厳しい業界（金融サービス、ヘルスケア）で導入するときに、CNI を使います。

次の表は、Cloudflare Network Interconnect（CNI）の接続の種類です。

表 2: Cloudflare One の CNI 接続の種類

詳細な設定は Cloudflare Network Interconnect ドキュメント を参照してください。

Multi-Cloud Networking（旧 Magic Cloud Networking）は、クラウド環境を Cloudflare WAN へ接続する作業を簡単にする自動化レイヤーです。IPsec トンネルを手動設定する代わりに、Multi-Cloud Networking がクラウドリソースを自動発見し、両方（クラウドプロバイダーと Cloudflare WAN）に必要な VPN トンネルとルートを作成します。

Multi-Cloud Networking は別のトンネル種別ではありません。クラウドプロバイダーのネイティブ VPN 機能（AWS VPN Gateway、Azure VPN、GCP Cloud VPN）をオーケストレーションし、Cloudflare WAN への IPsec 接続を確立します。

• 最小限の設定で AWS、Azure、GCP の VPC を Cloudflare WAN に接続する
• 手動の IPsec 設定ではなく、トンネルとルートの作成を自動化する
• ハブアーキテクチャ（AWS Transit Gateway）経由で複数 VPC を接続する
• 異なるプロバイダー間のマルチクラウドネットワーキングを簡単にする

次の表は、Multi-Cloud Networking のオンランプの種類です。

表 3: Cloudflare One Multi-Cloud Networking のオンランプの種類

• AWS（単一 VPC とハブ）
• Azure（単一 VPC）
• GCP（単一 VPC）

• Azure VNet のサイズ: Multi-Cloud Networking は、Azure VPN Gateway 用に VNet 内に GatewaySubnet（/27）を作成します。VNet に十分なアドレス空間があることを確認します。アドレス枯渇を避けるため、/20 以上の VNet を推奨します。
• クラウドプロバイダーのコスト: Multi-Cloud Networking は、クラウドプロバイダーのネイティブ VPN サービスを使います。Cloudflare WAN のコストに加え、クラウドプロバイダーの標準 VPN ゲートウェイおよびデータ転送コストが適用されます。
• トンネル作成時間: クラウドプロバイダーの VPN ゲートウェイのプロビジョニングには 15〜45 分かかることがあります。新しい VPC のオンボーディング時に、この遅延を計画します。

詳細な設定は Multi-Cloud Networking ドキュメント を参照してください。

次の表は、よくある要件を推奨の Cloudflare One 接続オプションに対応づけます。網羅的な推奨ではありません。

表 4. よくある要件向けの推奨 Cloudflare One 接続オプション

Cloudflare One 接続プロジェクトを主導するチームによって、導入がスムーズなオプションは変わります。次の表は例です。

表 5. チーム向けの Cloudflare One 接続推奨

Cloudflare Mesh と Cloudflare One Appliance はどちらもサイトレベルの接続を提供しますが、導入シナリオが異なります。

クラウドワークロードや Linux ホストがあるサイト向けに、軽量なソフトウェアのみの接続が必要なときは Cloudflare Mesh を使います。エンタープライズ級のスループット、高可用性、既存ネットワークインフラとの連携が必要なときは Cloudflare One Appliance を使います。

ほとんどの企業向け Cloudflare One 導入では、複数の接続オプションを併用します。このセクションでは、互換性の考慮点とよくある導入パターンを扱います。

すべての Cloudflare One 接続オプションが、同じアカウントで一緒に動くわけではありません。導入を設計する前に、次の互換性情報を確認します。

表 7. Cloudflare One 接続の互換性

複数の Cloudflare One 接続オプションを使うときは、ルーティング競合を避けるために次の指針に従います。

• 重複する CIDR 範囲を避ける: 複数のトンネル種別に同じ IP 範囲を設定しないでください。重複がある場合、Cloudflare WAN ルートより Cloudflare Tunnel が優先されます。
• 自動フェイルオーバーはない: Cloudflare は、異なる接続オプション間でトラフィックを自動フェイルオーバーしません。各トンネル種別内で障害を処理するよう、ルーティングを計画します。
• 仮想ネットワーク: 異なる環境（複数クラウド VPC が 10.0.0.0/8 を使うなど）からの重複するプライベート IP 範囲を扱うには、仮想ネットワーク を使います。

Cloudflare One トンネルを重ねる、または複数のカプセル化方法を使うときは、フラグメンテーションを防ぐためにオーバーヘッドを見積もります。

表 8. Cloudflare One トンネル種別の実効 MTU 値

TCP トラフィックがフラグメンテーションを必要としないよう、エッジデバイスで MSS クランプを設定します。

Cloudflare One の接続オプションは、送信元 IP アドレスの扱いが異なります。次の表は、各オプションの扱いです。

表 9. Cloudflare One の送信元 IP の動作

送信元 IP の保持が必要な例:

• シグナリングに IP アドレスを埋め込む VoIP および SIP プロトコル
• クライアント IP の可視性が必要な監査ログ
• 送信元 IP に基づいて認可判断をするアプリケーション

次の表は、各 Cloudflare One 接続オプションのトラフィック方向対応です。

表 10. Cloudflare One 接続のトラフィック方向対応

アプリケーションがサーバー起点の接続（VoIP コールバック、データベースレプリケーションなど）を必要とする場合は、Cloudflare One Client、Cloudflare Mesh、Cloudflare WAN（IPsec/GRE）、CNI などの双方向接続オプションを使います。Cloudflare Tunnel はサーバー起点のトラフィックに対応しません。

次のパターンは、組織がシナリオごとに Cloudflare One 接続オプションをどう組み合わせるかを示します。

このパターンは、分散したワークフォースと複数の物理拠点がある組織向けです。

構成要素:

• リモート従業員向けの Cloudflare One Client。任意の場所から安全なアクセスを提供します
• 既存ネットワークインフラがあるブランチオフィス向けの IPsec トンネル（Cloudflare WAN 経由）
• クライアントレスなブラウザーアクセスが必要な特定の内部アプリケーション向けの Cloudflare Tunnel

トラフィックフロー:

1. リモート従業員は Cloudflare One Client 経由で接続し、トラフィックを Cloudflare へオンランプします。
2. Gateway ポリシーは、ユーザー ID とデバイスポスチャに基づいてトラフィックを検査・フィルタします。
3. ブランチオフィスリソース宛てのトラフィックは、IPsec トンネル経由で Cloudflare WAN 接続サイトへルーティングされます。
4. 特定アプリケーション宛てのトラフィックは、Cloudflare Tunnel 経由でオリジンサーバーへルーティングされます。

このパターンは、インフラが主にクラウドで、オンプレミス機器が少ない組織向けです。

構成要素:

• クラウド VPC（AWS、GCP、Azure）向けの Multi-Cloud Networking。Cloudflare WAN への IPsec トンネル作成を自動化します
• Kubernetes サービスとコンテナ化アプリケーション向けの Cloudflare Tunnel
• 従業員デバイス向けの Cloudflare One Client

トラフィックフロー:

1. Multi-Cloud Networking が、クラウド VPC と Cloudflare WAN の間に IPsec トンネルを自動作成します。
2. Cloudflare Tunnel が、外部向けアプリケーションのイングレスを提供します。
3. 従業員は Cloudflare One Client 経由でクラウドリソースにアクセスします。

代替: Cloudflare WAN を使わない組織では、Cloudflare Mesh がクラウド VPC の双方向接続を提供できます。Legacy routing モードのアカウントでは、Cloudflare Mesh と Cloudflare WAN を併用できない点に注意します。

このパターンは、トラフィックが公衆インターネットを通過することを禁止する、厳しいコンプライアンス要件がある組織向けです。

構成要素:

• データセンターからの主要接続向けの Cloudflare Network Interconnect（CNI）
• CNI に問題がある場合のバックアップ接続としての IPsec トンネル
• リモート従業員向けの Cloudflare One Client

トラフィックフロー:

1. データセンターのトラフィックは CNI 経由でルーティングされ、公衆インターネットには触れません。
2. CNI に問題がある場合、IPsec トンネルがバックアップ接続を提供します。
3. リモート従業員は、公衆インターネット越し（暗号化）に Cloudflare One Client 経由で接続します。
4. Gateway ポリシーは、接続方法に関係なく、すべてのトラフィックにコンプライアンスルールを適用します。

• SASE リファレンスアーキテクチャ - Cloudflare One の導入ガイド
• WAN 変革 - レガシー WAN から Cloudflare One への移行計画
• Cloudflare Tunnel
• Cloudflare One Client
• Cloudflare Mesh
• Cloudflare WAN
• WAN Connectors のオンランプ - 対応オンランプの全一覧
• Multi-Cloud Networking - クラウド VPC 接続の自動化
• Magic Transit
• Cloudflare One Appliance
• Cloudflare Network Interconnect
• 仮想ネットワーク
• DNS locations - デバイスエージェントなしで DNS トラフィックをフィルタ
• Proxy endpoints - PAC ファイルで Web トラフィックをフィルタ
• Clientless Web Isolation - デバイスエージェントなしの安全な Web アクセス

Cloudflare One 接続オプションの組み合わせに関する実装ガイダンスは、SASE リファレンスアーキテクチャ を参照してください。