クライアントデバイスの接続

クライアントデバイス（ノート PC、スマートフォン、デスクトップ）は、Cloudflare One Client をインストールして登録すると、Mesh ネットワークに参加します。各デバイスは Mesh IP を受け取り、ほかの登録済みデバイスおよび Mesh ノードとすぐに通信できます。

• アカウントに デバイス登録の権限 が設定されていること。Mesh の セットアップウィザード がこの設定を自動で行います。

ノート PC またはスマートフォンを Mesh ネットワークに接続します。

クライアントの GUI でデバイスを登録するには、次の手順を行います。

1. Cloudflare One Agent アプリを ダウンロード してインストールします。
2. Cloudflare One Agent アプリを起動します。
3. Next を選びます。
4. プライバシーポリシーを確認し、Accept を選びます。
5. チーム名 を入力します。
6. 組織で必要な認証手順を完了します。
7. 認証後、Install VPN Profile を選びます。
8. Connection request のポップアップで OK を選びます。
9. 自動接続 ↗ を有効にしていない場合は、スイッチを手動で Connected にします。

ブラウザーのないデバイスでは、対話型の CLI 登録を使わないでください。代わりに Service Auth の登録ポリシーを作成します。マネージドデプロイのパラメーターとして organization、auth_client_id、auth_client_secret を設定します。

プラットフォームごとのインストール方法と設定ファイルの場所は、マネージドデプロイ を参照してください。Linux の完全な例は、ヘッドレス Linux マシンに Cloudflare One Client をデプロイする を参照してください。

この方法は 対応する Windows、macOS、Linux システム で使えます。サービストークンのデバイスは、共有 ID non_identity@<team-name>.cloudflareaccess.com を使います。ID プロバイダーのユーザーやグループに基づくポリシーは、これらのデバイスには適用されません。デバイスプロファイルを割り当てるには、式 identity.service_token_uuid == "<SERVICE_TOKEN_ID>" を使います。<SERVICE_TOKEN_ID> はサービストークンリソースの UUID（id）であり、auth_client_id ではありません。この Service Token セレクター は、より広い OS またはメールのプロファイルより前に置きます。すべての Service Auth デバイスを同じプロファイルに一致させたい場合だけ、共有の非 ID メールを使います。

登録後、デバイスは Mesh IP を受け取り、Mesh ネットワークに接続します。

Windows、macOS、または Linux デバイスから、Mesh ノードまたは別のクライアントデバイスへの TCP 接続をテストします。たとえば SSH をテストします。

nc -vz <MESH-IP> 22

Test-NetConnection <MESH-IP> -Port 22

<MESH-IP> は、ノードの Mesh IP（Mesh の概要ページ ↗ で確認できます）または別の登録済みデバイスの Mesh IP に置き換えます。ポート 22 は、サービスが使うポートに置き換えます。モバイルブラウザーから HTTP サービスをテストすることもできます。ICMP Gateway プロキシを有効にしている場合は、診断として ping <MESH-IP> も実行できます。

デバイスプロファイルが www.cloudflare.com を WARP 経由でルーティングする場合は、データパスを確認します。

curl --silent https://www.cloudflare.com/cdn-cgi/trace | grep '^warp=on$'

if (-not (curl.exe --silent https://www.cloudflare.com/cdn-cgi/trace | Select-String '^warp=on$')) { exit 1 }

Include モードでは、include リストにない宛先は warp=off になります。データパスの確認には、include した Mesh IP への接続成功を使います。warp-cli の成功メッセージだけに頼らないでください。Mesh 接続には Traffic and DNS mode が必要です。DNS-only mode では、登録の確認にだけ warp-cli registration show を使います。DNS-only mode では Mesh トラフィックを運べません。

接続後、クライアントデバイスは次に到達できます。

• ほかのクライアントデバイス — 登録済みの任意のデバイスに Mesh IP で到達できます。Mesh ノードは介しません。
• Mesh ノード — オンラインの任意のノードに Mesh IP で到達できます。SSH、データベース接続、API 呼び出しがすべて動作します。
• ノード背後のサブネット — ノードが CIDR ルート で公開しているプライベートネットワーク上のホスト（プリンター、データベース、クライアントを実行できないサーバーなど）にアクセスできます。

すべてのトラフィックは Gateway ネットワークポリシー の対象です。特定のリソースに到達できるユーザーとデバイスを制御できます。

クライアントデバイスが Mesh IP に到達するには、Mesh IP 範囲を Cloudflare 経由でルーティングする必要があります。設定方法は Split Tunnel モード によって異なります。

Mesh セットアップウィザードは、デフォルトのデバイスプロファイルを更新し、Mesh IP 範囲を Cloudflare 経由でルーティングします。ウィザードを使っていない場合、または別のプロファイルがデバイスに適用されている場合は、100.96.0.0/12（またはカスタムのデバイス IP 範囲）が除外リストに含まれていないこと、より広い除外範囲に含まれていないことを確認します。

Cloudflare のネットワーク設定によっては、除外リストから追加の IP を外す必要があります。確認すべき IP の一覧は 予約済み IP アドレス を参照してください。

Include モードでは、include リストに次を追加します。

• 100.96.0.0/12 — Mesh IP（デバイス IP）
• Mesh ノードに設定した CIDR ルート

ホスト名ルーティング に使う IPv4 範囲（172.64.128.0/20。MASQUE が必要）と、すべての Cloudflare One IPv6 範囲は 自動で Cloudflare 経由にルーティングされるため、手動追加は不要です。

一部のオペレーティングシステムは、Mesh IP 範囲からの受信トラフィックをデフォルトでブロックします。

• Windows — Windows Firewall は 100.96.0.0/12 からの受信トラフィックをブロックします。使いたいプロトコルとポートについて、100.96.0.0/12 からの受信を許可するファイアウォールルールを追加します。
• macOS / Linux — ほとんどの構成では、このトラフィックはデフォルトで許可されます。カスタムのファイアウォールルールがある場合は、100.96.0.0/12 を許可してください。