Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

設定

最終更新 Markdown で表示Agent セットアップ

このページでは、cloudflared トンネルでよく使う設定を説明します。高可用性、ファイアウォールルール、実行時パラメーターを含みます。

レプリカと高可用性

トンネルを実行すると、cloudflared は 耐量子暗号 で暗号化された、アウトバウンドのみの接続を少なくとも 2 つの異なる Cloudflare データセンターへ 4 本確立します。いずれかの接続、サーバー、データセンターがオフラインになっても、リソースは利用できます。

レプリカは、同じトンネルを指す追加の cloudflared インスタンスです。レプリカごとに新しい接続が 4 本増え、オリジンへの入口が増えます。1 トンネルあたり最大 25 レプリカ（100 接続）まで実行できます。トラフィックは、地理的に最も近いレプリカへルーティングされます。

graph LR
    C((Cloudflare))
    subgraph E[ご利用のネットワーク]
        cf1["cloudflared <br> (tunnel-01 のレプリカ)"]
        cf2["cloudflared <br> (tunnel-01 のレプリカ)"]
        S1[アプリケーション]
        cf1-->S1
        cf2-->S1
    end
    C -- "接続 × 4 <br>"--> cf1
    C --> cf1
    C --> cf1
    C --> cf1
    C -- 接続 × 4--> cf2
    C --> cf2
    C --> cf2
    C --> cf2

レプリカをデプロイする

リモート管理トンネルのレプリカをデプロイするには、次の手順を行います。

  1. Cloudflare ダッシュボード ↗ で Networking > Tunnels を開きます。

    Tunnels を開く ↗

  2. トンネルを選択します。

  3. Add a replica を選択します。

  4. レプリカをデプロイするホストの OS を選択します。

  5. インストールコマンドをコピーし、ホスト上で実行します。

ローカル管理トンネル のレプリカをデプロイするには、同じ トンネル資格情報 を使い、追加のホストで cloudflared tunnel run <NAME> を実行します。

ファイアウォールルール

cloudflared は、ポート 7844 で Cloudflare へアウトバウンド接続します。ファイアウォールでは、次の宛先への送信を許可する必要があります。受信トラフィックはすべてブロックしてください。許可リスト型のセキュリティモデルです。公開されるのは、トンネル設定に書いたサービスだけです。

必須ポート

region1.v2.argotunnel.com

IPv4 IPv6 ポート プロトコル
198.41.192.167 198.41.192.67 198.41.192.57 198.41.192.107 198.41.192.27 198.41.192.7 198.41.192.227 198.41.192.47 198.41.192.37 198.41.192.77 2606:4700:a0::1 2606:4700:a0::2 2606:4700:a0::3 2606:4700:a0::4 2606:4700:a0::5 2606:4700:a0::6 2606:4700:a0::7 2606:4700:a0::8 2606:4700:a0::9 2606:4700:a0::10 7844 TCP/UDP (http2/quic)

region2.v2.argotunnel.com

IPv4 IPv6 ポート プロトコル
198.41.200.13 198.41.200.193 198.41.200.33 198.41.200.233 198.41.200.53 198.41.200.63 198.41.200.113 198.41.200.73 198.41.200.43 198.41.200.23 2606:4700:a8::1 2606:4700:a8::2 2606:4700:a8::3 2606:4700:a8::4 2606:4700:a8::5 2606:4700:a8::6 2606:4700:a8::7 2606:4700:a8::8 2606:4700:a8::9 2606:4700:a8::10 7844 TCP/UDP (http2/quic)

米国リージョンの IP

--region us フラグを使う場合は、ファイアウォールがこれらの米国リージョン向け宛先へポート 7844（TCP/UDP）の送信接続を許可していることを確認します。

us-region1.v2.argotunnel.com

IPv4 IPv6 ポート プロトコル
198.41.218.1 198.41.218.2 198.41.218.3 198.41.218.4 198.41.218.5 198.41.218.6 198.41.218.7 198.41.218.8 198.41.218.9 198.41.218.10 2606:4700:a1::1 2606:4700:a1::2 2606:4700:a1::3 2606:4700:a1::4 2606:4700:a1::5 2606:4700:a1::6 2606:4700:a1::7 2606:4700:a1::8 2606:4700:a1::9 2606:4700:a1::10 7844 TCP/UDP (http2/quic)

us-region2.v2.argotunnel.com

IPv4 IPv6 ポート プロトコル
198.41.219.1 198.41.219.2 198.41.219.3 198.41.219.4 198.41.219.5 198.41.219.6 198.41.219.7 198.41.219.8 198.41.219.9 198.41.219.10 2606:4700:a9::1 2606:4700:a9::2 2606:4700:a9::3 2606:4700:a9::4 2606:4700:a9::5 2606:4700:a9::6 2606:4700:a9::7 2606:4700:a9::8 2606:4700:a9::9 2606:4700:a9::10 7844 TCP/UDP (http2/quic)

FedRAMP High の IP

FedRAMP High ↗ 環境に cloudflared をデプロイすると、cloudflared は トンネルトークン に基づいて FedRAMP データセンターへ自動でルーティングします。ファイアウォールで、ポート 7844（TCP/UDP）向けにこれらの FedRAMP 専用宛先への送信接続を許可してください。

fed-region1.v2.argotunnel.com

IPv4 IPv6 ポート プロトコル
162.159.234.1 162.159.234.2 162.159.234.3 162.159.234.4 162.159.234.5 162.159.234.6 162.159.234.7 162.159.234.8 162.159.234.9 162.159.234.10 2a06:98c1:4d::1 2a06:98c1:4d::2 2a06:98c1:4d::3 2a06:98c1:4d::4 2a06:98c1:4d::5 2a06:98c1:4d::6 2a06:98c1:4d::7 2a06:98c1:4d::8 2a06:98c1:4d::9 2a06:98c1:4d::10 7844 TCP/UDP (http2/quic)

fed-region2.v2.argotunnel.com

IPv4 IPv6 ポート プロトコル
172.64.234.1 172.64.234.2 172.64.234.3 172.64.234.4 172.64.234.5 172.64.234.6 172.64.234.7 172.64.234.8 172.64.234.9 172.64.234.10 2606:4700:f6::1 2606:4700:f6::2 2606:4700:f6::3 2606:4700:f6::4 2606:4700:f6::5 2606:4700:f6::6 2606:4700:f6::7 2606:4700:f6::8 2606:4700:f6::9 2606:4700:f6::10 7844 TCP/UDP (http2/quic)

SNI を強制するファイアウォール

ファイアウォールが Server Name Indication（SNI）を強制している場合は、ポート 7844 で次のホスト名も許可します。

ホスト名 ポート プロトコル
_v2-origintunneld._tcp.argotunnel.com 7844 TCP (http2)
cftunnel.com 7844 TCP/UDP (http2/quic)
h2.cftunnel.com 7844 TCP (http2)
quic.cftunnel.com 7844 UDP (quic)

任意のポート 443 向け宛先

ポート 443 を開けると、ソフトウェアの自動更新や Access の JWT 検証など、任意機能が使えます。これらの接続がなくても、cloudflared は正しく動作します。

宛先 用途
api.cloudflare.com ソフトウェアの更新確認
update.argotunnel.com ソフトウェアの更新確認
github.com 最新リリースのダウンロード
<team-name>.cloudflareaccess.com Access の JWT 検証（Access 有効時）
pqtunnels.cloudflareresearch.com 耐量子暗号のエラー報告
cfd-features.argotunnel.com (DNS TXT) UDP データグラムのバージョン交渉

ファイアウォールがトンネルトラフィックを許可しているかは、接続エラー を参照してください。

実行パラメーター

これらのフラグは cloudflared tunnel run コマンドに適用します。OS 上でのトンネルの動きを制御します。

よく使うパラメーターは次のとおりです。

パラメーター デフォルト 説明
--loglevel info ログの詳細度: debug、info、warn、error、fatal
--logfile stdout ログ出力の書き込み先パス
--metrics 127.0.0.1:20241–20245 Prometheus メトリクスエンドポイントのアドレス（範囲内の最初の空きポート）
--protocol auto 接続プロトコル: auto、quic、http2
--region global us を指定すると、米国のみのデータセンター経由でルーティングします
--token — トンネルトークン（リモート管理トンネル）

設定フラグ付きでトンネルを手動実行する例は次のとおりです。

cloudflared tunnel --loglevel info --logfile /var/log/cloudflared/cloudflared.log run --token <TOKEN VALUE>

実行パラメーターの全一覧と、トンネルサービスへの追加方法は、実行パラメーター を参照してください。

オリジンパラメーター

オリジン設定パラメーターは、cloudflared がオリジンサーバーへトラフィックをプロキシする方法を制御します。

よく使うパラメーターは次のとおりです。

パラメーター デフォルト 説明
originServerName "" オリジン証明書に期待するホスト名
noTLSVerify false TLS 証明書の検証を無効にする
httpHostHeader "" HTTP Host ヘッダーを上書きする
connectTimeout 30s オリジンへの TCP 接続タイムアウト

オリジンパラメーターの全一覧とセットアップ手順は、オリジンパラメーター を参照してください。

権限

Cloudflare メンバーの権限を、アカウント全体ではなく個々の Cloudflare Tunnel インスタンスに絞れます。特定の Tunnel の管理を委任できます。たとえば、アプリケーションチームに 1 つの Tunnel だけを管理させ、アカウントの他の部分は見せない、といった運用です。

詳細な権限 を参照してください。

役に立ちましたか？