エグレス IP のベストプラクティス

アカウントで専用エグレス IP を有効にすると、Cloudflare はユーザーの物理的な位置や、アクセス先リソースの位置などの要因に応じて、ユーザートラフィックを各 IP のあいだで自動的に分散します。たとえば、アムステルダム、ロンドン、ワシントン D.C. にエグレス IP のロケーションがあり、ポリシーを設定していない場合、Cloudflare は次のようにエグレス IP を割り当てます。

• オランダ付近のユーザーにはアムステルダムのエグレス IP
• イングランド付近のユーザーにはロンドンのエグレス IP
• 北米のユーザーにはワシントン D.C. のエグレス IP

Cloudflare のネットワーク設計により、ユーザーは Cloudflare ネットワーク上で、宛先までの最速の経路を取れます。ほとんどの場合、エグレス IP の追加によるレイテンシの増加はわずかです。

ユーザーの物理的な位置に最も近い地域へ、分散した IP を予約することを推奨します。たとえば、ユーザーがすべて北米にいる場合は、冗長性と性能を確保するため、北米の複数データセンターに IP を配置することを検討してください。

明示的なエグレスが必要な拠点がある場合も、複数のエグレス IP を予約します。たとえば、ロンドンからエグレスする必要があり、ダブリンへフォールバックできないユーザーがいる場合は、冗長性を確保するためにロンドンの複数拠点へ IP を配置します。あわせて、この要件を持つすべてのユーザーに対して、トラフィックがロンドンのエグレス IP のいずれかでエグレスするようにポリシーを作成します。

エグレスポリシーのよくある用途のひとつは、SAML に対応していない SaaS アプリケーション（または IP レベルの制御しか使えないベンダーサービス）へアクセスするユーザーに、一貫したエグレス IP を確保することです。選択肢がある場合、または自社でアプリケーションを管理している場合は、IP レベルの認証から、継続的な評価を使うアイデンティティに基づく認証へ移すために Cloudflare Access を使うことを強く推奨します。

大半のユースケースをカバーしつつ、ポリシー管理が複雑になりすぎないベースラインのエグレスポリシーを作ることを推奨します。すべてのユーザーが、特定のエグレス IP を必要とする一連のアプリケーションにアクセスする場合は、それらのユーザー（または全ユーザー）向けに明示的なポリシーを作り、トラフィックがそのエグレス IP で出ていくようにします。たとえば、財務データへアクセスできるユーザーに特定のエグレス IP を定義できます。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"action": "egress",
		"description": "Define static egress for finance team",
		"enabled": true,
		"filters": [
				"egress"
		],
		"name": "Finance team static egress",
		"precedence": 0,
		"identity": "any(identity.groups.name[*] in {\"finance\"})",
		"rule_settings": {
				"egress": {
						"ipv4": "<DEDICATED_IPV4_ADDRESS>",
						"ipv4_fallback": "<SECONDARY_DEDICATED_IPV6_ADDRESS>",
						"ipv6": "<DEDICATED_IPV6_ADDRESS>"
				}
		}
	}'

特定のユーザーグループが、エグレスする場所を自分で変える必要がある場合があります。Cloudflare では、あらかじめ決めた別の地域からアクセスしているかのように、アプリケーションやサイトのリソースを検証する品質保証（QA）チームでよく見られます。必要なときはエグレスポリシーで管理できますが、管理画面と既存ポリシーを継続的に変更せずに済ませたい利用者がほとんどです。そのために、エグレスポリシーのセレクターとして使える仮想ネットワークを作成できます。ユーザーは接続先の仮想ネットワークを切り替え、エグレス IP を自分で変更できます。

詳細は、ユーザーが選べるエグレス IP のチュートリアル を参照してください。