プライベートネットワークから Cloudflare へのオンランプには 複数の方法 があります。このページでは、VPN 置き換えでよく使うソフトウェア方式の 2 つ、Cloudflare Mesh と Cloudflare Tunnel を扱います。どちらも、ネットワーク内のホストマシンに軽量ソフトウェアを入れ、Cloudflare のグローバルネットワークへの安全な接続を作ります。
Cloudflare Mesh（旧 WARP Connector）は、Linux サーバー上で Cloudflare One Client（warp-cli）をヘッドレスモードで動かします。レイヤー 3 プロキシとして動作し、双方向トラフィック（TCP、UDP、ICMP）をサポートし、すべての参加者にプライベートな Mesh IP を割り当てます。次が必要なときに Mesh を使います。
- ユーザーからネットワークへのアクセス（VPN の置き換え）
- ネットワーク間 / サイト間接続
- サーバー起点の接続（VoIP、SIP、AD 更新、SCCM、DevOps）
- 登録済みデバイス同士のクライアント間接続
Cloudflare Tunnel は、ホストマシン上で cloudflared デーモンを動かします。送信専用の接続を作り、Cloudflare から社内アプリやネットワークへトラフィックをプロキシします。次が必要なときに Tunnel を使います。
- ホスト名で特定のアプリケーションを公開する
- 送信専用接続（着信ポートを開けない）
- 特定サービスへの HTTP/S、TCP、SSH トラフィックのプロキシ
- Linux 以外のプラットフォーム（macOS、Windows）で動かす
| Cloudflare Mesh | Cloudflare Tunnel | |
|---|---|---|
| 双方向トラフィック | ✅ | ❌ |
| 高可用性 | ✅（アクティブ/パッシブ） | ✅（アクティブ/アクティブのレプリカ） |
| リクエストの送信元 IP | リクエスト元デバイスの仮想 IP | cloudflared ホストマシン |
| ホストマシン | Linux（amd64、arm64） | Linux、macOS、Windows |
| IPv4 | ✅ | ✅ |
| IPv6 | ✅ | ✅ |
| OSI 層 | L3 | L7 |
| プロトコル | MASQUE | QUIC または HTTP/2 |
| プロキシするプロトコル | TCP、UDP、ICMP | HTTP/S、TCP、SSH、RDP、SMB |
| 接続の扱い | エンドツーエンド。パス全体で長寿命 TCP 接続を維持 | プロキシ。TCP 接続は Cloudflare で終端して再確立するため、長寿命セッションが切れることがあります（例: SAP トランザクション、データベースレプリケーションストリーム、永続 RDP セッションは、cloudflared の再接続時に落ちることがあります） |
ほとんどの VPN 置き換えでは、Cloudflare Tunnel がもっとも始めやすい方法です。すべてのプラットフォーム（Linux、macOS、Windows、コンテナ、Raspberry Pi）で動き、戻り経路の設定が不要で（トラフィックは cloudflared ホストへ送信元 NAT されます）、同じマシン上の既存 VPN ソフトとも干渉しません。
Cloudflare Mesh は、サーバー起点トラフィック（VoIP、SIP、AD 更新、SCCM）を含む双方向接続、複数拠点のサイト間ネットワーキング、元の送信元 IP を保ちたい導入、中断に弱い長寿命 TCP 接続（SAP、データベースレプリケーション、ERP）が必要なときに使います。
両方を併用できます。たとえば、シンプルなユーザーからアプリへのアクセスには Tunnel を使い、双方向またはサイト間接続が必要な場所に Mesh ノードを追加します。