VPN の置き換え 導入ガイドのネットワークオンボーディングと同様に、ネットワークトラフィックを Cloudflare のグローバルネットワークへオンランプする方法は複数あります。このガイドでは、Cloudflare Gateway で検査、ポリシー適用、フィルタを行うためのオンランプ選択肢を一通り確認します。
エンドユーザートラフィックを保護・フィルタする最も一般的な方法は、デバイスクライアントです。標準の Cloudflare デバイスクライアントは、多くの OS と導入方法に対応しています。それでも、別の経路が適する場合があります。
Cloudflare One Client は、ユーザートラフィックを Gateway へ送る最も一般的なオンランプです。軽量なデバイスクライアントで、Wireguard または MASQUE でプロキシトンネルを作り、DNS-over-HTTPS で DNS プロキシを作ります。主要な OS に対応し、一般的なエンドポイント管理ツールも使え、多様なユーザーに合わせた管理パラメーターとプロファイルがあります。動作モードは柔軟です。プロキシとしてデバイストラフィックを制御することも、DNS プロキシとしてデバイスの DNS トラフィックを制御することも、両方行うこともできます。ユーザーデバイスからのトラフィックを Cloudflare Gateway でフィルタし、復号する最も一般的な方法です。
Cloudflare は、ユーザーデバイス上の PAC ファイル経由で送られた HTTP/S トラフィックのフィルタに対応しています。Cloudflare へトラフィックを送るように設定した PAC ファイルは、アカウントテナント固有のドメインを対象にし、そのプロキシプロファイルに合うデバイスの URL トラフィックをすべて受信して処理します。PAC ファイルは、デバイスクライアントが適さない、またはインストールできない場合に使うことがほとんどです。具体的には Windows 2008 以前、Windows Server 2012、クライアントソフトウェアをまったくインストールできないデバイスです。
Cloudflare Browser Isolation は、安全なブラウジングのために、ユーザー向けのヘッドレスな Chromium ベースブラウザーを実行します。Access アプリケーション、Gateway ポリシー、またはリンクベースの分離（リバースプロキシ）で有効にできます。このモデルでは、どのデバイスからでもプロキシサイトに接続し、Gateway の HTTP ポリシーと検査要件をすべて適用した状態でインターネットを閲覧できます。
| Cloudflare One Client | PAC Files | Clientless Browser Isolation | |
|---|---|---|---|
| 対応 OS | macOS、Windows、Linux、iOS、Android | すべてのデスクトップ OS | すべての OS（HTML5 対応ブラウザー） |
| MDM で設定可能 | はい | はい | 該当なし |
| 対応する Gateway ポリシー種別 | DNS、Network、HTTP、Resolver、Egress | HTTP | DNS、Network、HTTP、Resolver、Egress |
| ID ベースのポリシー | はい | いいえ | はい |
| Network Session Logs | はい | はい | はい |
複数デバイスまたはネットワークのトラフィックを Cloudflare Gateway へ送る主な方法は、GRE または IPsec トンネルを使う Cloudflare WAN（旧 Magic WAN）、すべてのポートのトラフィックをプロキシするソフトウェア定義の Cloudflare Mesh、または DNS フィルタリングロケーション を使うネットワーク全体のアップストリーム DNS です。
Cloudflare WAN は、従来の SD-WAN に最も近い Cloudflare の製品です。Cloudflare WAN は通常、顧客機器（ファイアウォールやルーターなど）で終端する IPsec または GRE トンネル、または Cloudflare One Appliance ハードウェア経由で導入します。Cloudflare Network Interconnect（CNI）を使い、プライベートピアリングロケーションや、互換性がある一部のパブリッククラウドインスタンスでも導入できます。
Cloudflare WAN は接続経由でトラフィックをオンランプし、すべてのネットワークおよび HTTP トラフィックを Cloudflare Gateway へ送って検査できます。
Cloudflare WAN と Zero Trust の連携については、Zero Trust 連携 を参照してください。
Cloudflare Mesh（旧 WARP Connector）は、デバイスクライアントに似たソフトウェアエージェントです。仮想デバイスとして動作し、自社ネットワークと Cloudflare のグローバルネットワークの間の接続を確立します。Cloudflare Mesh は、専用の Linux サーバーまたは仮想マシンにインストールできます。
Cloudflare Mesh は、プライベートネットワークからインターネットへトラフィックをエグレスするゲートウェイとして使えます。つまり、ネットワークから開始されたトラフィックを、パブリックまたはプライベートの宛先向けに Cloudflare へオンランプできます。各サーバーやユーザーが Cloudflare One Client を実行できないネットワークでも、Cloudflare Mesh で安全なエグレス経路を作り、Gateway のネットワークおよび HTTP 検査ポリシーを適用できます。この接続は、プロキシサーバー接続またはサイト間 VPN に最も近いです。
Cloudflare Mesh のセットアップについては、Cloudflare Mesh のセットアップ を参照してください。
DNS ロケーションは、オフィス、自宅、データセンターなどの物理的な拠点に対応付けられる DNS エンドポイントの集まりです。
あるロケーションからの DNS クエリのフィルタを始める最も速い方法は、ルーターの DNS リゾルバーを変更するか、アップストリームの名前解決を Cloudflare DNS の解決エンドポイントに更新することです。個別デバイスから行うことも、DHCP でクライアントにリゾルバー IP を設定するネットワークやサブネットから行うこともできます。
DNS ロケーションのセットアップについては、ロケーションの追加 を参照してください。
| Cloudflare WAN | Cloudflare Mesh | DNS Locations | |
|---|---|---|---|
| 対応する Gateway ポリシー種別 | Network、HTTP、Egress | Network、HTTP、Egress | DNS、Resolver |