Network Flow のネットワークフローデータを暗号化する

ルーターから Cloudflare へ送るネットワークフローデータは、Cloudflare One Client を実行しているデバイス経由でルーティング ↗ すると暗号化できます。暗号化したネットワークフロートラフィックは、Cloudflare One Client デバイスから Cloudflare のネットワークフローエンドポイントへ転送されます。

Cloudflare One Client の詳細と、Linux、macOS、Windows へのインストール方法は、Cloudflare One Client のドキュメントを参照してください。

1. デバイスを設定する

Network Flow（旧称 Magic Network Monitoring）API の手順に従って、デバイスを設定します。

アカウントレベルの warp_devices 配列は、暗号化フローを送信できる WARP デバイスの一覧です。各 WARP デバイスには、次が必要です。

Cloudflare One Client の UUID。UUID は UI、または次のコマンドで取得できます。
```
warp-cli registration show
```
名前。
設定済みのルーター IP アドレスのいずれかに属する router_ip。

例:

Required API token permissions

At least one of the following token permissions is required:

Magic Network Monitoring Admin
Magic Network Monitoring Config Write

Update account configuration fieldsbash

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mnm/config" \
	--request PATCH \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY" \
	--json '{
		"warp_devices": [
				{
						"id": "<YOUR_WARP_DEVICE_UNIQUE_IDENTIFIER>",
						"name": "<NAME_OF_WARP_DEVICE>",
						"router_ip": "YOUR_ROUTER_IP"
				}
		]
	}'

2. Network Flow トラフィックを Cloudflare One Client 経由でルーティングする

Cloudflare One Client をインストールした場所によっては、サブネット上のほかのデバイスを、Cloudflare One Client 経由でルーティングするよう設定する必要があります。ルーターにアクセスでき、Cloudflare One Client が対応するバージョン / OS で動作している場合は、オプション 1 を推奨します。物理ルーターではなく、ソフトウェアベースのフローエクスポーター（softflowd など）でフローを収集・エクスポートする場合も同様です。

オプション 1: デフォルトゲートウェイ

ルーターまたはマシンコレクター（フロー情報を収集するコンピューター、仮想マシン、サーバー）に Cloudflare One Client をインストールした場合、追加の設定は不要です。すべてのトラフィックは、ルーターをデフォルトゲートウェイとして使います。フローエクスポート先は、NetFlow なら IP アドレス 162.159.65.1 とポート 2055、sFlow なら 162.159.65.1 とポート 6343 に設定します。

オプション 2: 代替ゲートウェイ

ルーターにアクセスできるが、Cloudflare One Client を別のマシンにインストールした場合は、フロートラフィックを Cloudflare One Client 実行マシンへエクスポートするようルーターを設定できます。手順は次のとおりです。

ルーターのエクスポート先に、そのマシンの IP アドレスを設定します。
ルーターのエクスポートポートを、Cloudflare One Client マシンの待ち受けポートに合わせます。
Cloudflare One Client 実行マシンに届いたトラフィックを、次の Cloudflare 宛先 IP とポートへリダイレクトします。
- NetFlow の場合: IP アドレス 162.159.65.1、ポート 2055。
- sFlow の場合: IP 162.159.65.1、ポート 6343。
  例: ネットワーク内の IP 10.10.10.10 のマシンで WARP が動作し、ポート 2055 または 6343 でトラフィックを受け付ける設定なら、フローエクスポート対応ルーターの送信先を 10.10.10.10 のポート 2055 または 6343 にします。

Cloudflare One Client 実行マシンでは、任意のプロキシまたはリダイレクトツールを使って、このトラフィックを Cloudflare へ転送できます。選択肢は次のとおりです。

socat で、目的のポートの UDP トラフィックを待ち受けます。そのトラフィックを Network Flow の宛先とポートへプロキシします。
- socat UDP-LISTEN:2055,reuseaddr,fork UDP:162.159.65.1:2055
- socat UDP-LISTEN:6343,reuseaddr,fork UDP:162.159.65.1:6343
ほかのプロキシまたはポート転送ツール（netcat、uredir、iptables など）。

3.（任意）スプリットトンネルを設定する

デバイス上のすべてのトラフィックを Cloudflare One Client 経由にしたくない場合は、スプリットトンネル / プロキシモードを設定し、162.159.65.1 向けの Network Flow トラフィックだけを許可するか、それ以外を除外します。