はじめに

デバイスとサーバーがプライベート IP で互いに到達できるように、Cloudflare Mesh を設定します。

• Cloudflare アカウント ↗

• 有効なサブスクリプション（Free プランを含む）を持つ Zero Trust 組織

• クライアントデバイスとして接続するラップトップまたはスマートフォン

• （任意）Mesh ノードをデプロイする Linux サーバー

  Linux サーバーの要件

  OS バージョン	RHEL 9 1, RHEL 10, Debian 12, Debian 13, Fedora 43, Fedora 44, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS, Ubuntu 26.04 LTS
  プロセッサ	AMD64 / x86-64 または ARM64 / AArch64
  ディスク容量	75 MB
  メモリ	35 MB
  ネットワークインターフェイスの種類	Wi-Fi または LAN
  MTU	1381 バイトを推奨 2

  Footnotes

  1. RHEL 9 以降では、cloudflare-warp をインストールする前に Extra Packages for Enterprise Linux (EPEL) ↗ リポジトリを有効にします（sudo dnf install epel-release）。EPEL はクライアント UI に必要な依存関係を提供します。 ↩

  2. Path MTU Discovery を使う場合の最小値は 1281 バイトです ↩

Cloudflare Mesh では、Mesh ノードの デバイスプロファイル が MASQUE を使うように設定されている必要があります。デバイスプロファイルが WireGuard を使う場合、ホスト名ルート、IPv6 CIDR ルート、高可用性は動きません。

接続したい対象に応じて、登録方法を選びます。

ダッシュボードウィザード、または API と Terraform リソースを選びます。

set -euo pipefail

PROFILE_RESPONSE=$(
	curl --fail-with-body --silent --show-error \
		"https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/devices/policy" \
		--request POST \
		--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
		--header "Content-Type: application/json" \
		--data "$(jq -n \
			--arg match "identity.email == \"warp_connector@$TEAM_NAME.cloudflareaccess.com\"" \
			'{
				name: "Cloudflare Mesh nodes",
				description: "Route Mesh IP traffic through Cloudflare",
				enabled: true,
				precedence: 100,
				match: $match,
				service_mode_v2: {mode: "warp"},
				tunnel_protocol: "masque",
				include: [{address: "100.96.0.0/12", description: "Cloudflare Mesh IPs"}]
			}')"
)

jq -e '.success == true and (.result.id | type == "string")' \
	<<< "$PROFILE_RESPONSE" > /dev/null
PROFILE_ID=$(jq -r '.result.id' <<< "$PROFILE_RESPONSE")

set -euo pipefail

NODE_RESPONSE=$(
	curl --fail-with-body --silent --show-error \
		"https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/warp_connector" \
		--request POST \
		--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
		--header "Content-Type: application/json" \
		--data '{"name":"web-server"}'
)

jq -e '.success == true and (.result.id | type == "string")' \
	<<< "$NODE_RESPONSE" > /dev/null
NODE_ID=$(jq -r '.result.id' <<< "$NODE_RESPONSE")

TOKEN_RESPONSE=$(
	curl --fail-with-body --silent --show-error \
		"https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/warp_connector/$NODE_ID/token" \
		--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"
)

MESH_NODE_TOKEN=$(jq -er \
	'select(.success == true) | .result | select(type == "string" and length > 0)' \
	<<< "$TOKEN_RESPONSE")

printf 'net.ipv4.ip_forward = 1\nnet.ipv6.conf.all.forwarding = 1\nnet.ipv6.conf.all.accept_ra = 2\n' | sudo tee /etc/sysctl.d/99-zzz-cloudflare-warp-connector.conf &&
sudo sysctl --system

curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | sudo gpg --yes --dearmor -o /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg &&
echo "deb [signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(. /etc/os-release && echo $VERSION_CODENAME) main" | sudo tee /etc/apt/sources.list.d/cloudflare-client.list &&
sudo apt-get update -qq && sudo apt-get install -y -qq cloudflare-warp

sudo warp-cli --accept-tos connector new <TOKEN> && sudo warp-cli --accept-tos connect

sudo dnf install -y epel-release

curl -fsSl https://pkg.cloudflareclient.com/cloudflare-warp-ascii.repo | sudo tee /etc/yum.repos.d/cloudflare-warp.repo &&
sudo yum install -y cloudflare-warp

sudo warp-cli --accept-tos connector new <TOKEN> && sudo warp-cli --accept-tos connect

ラップトップまたはスマートフォンを Mesh ネットワークに接続します。

クライアントの GUI でデバイスを登録するには、次の手順を行います。

1. Cloudflare One Agent アプリを ダウンロード してインストールします。
2. Cloudflare One Agent アプリを起動します。
3. Next を選びます。
4. プライバシーポリシーを確認し、Accept を選びます。
5. チーム名 を入力します。
6. 組織で必要な認証手順を完了します。
7. 認証後、Install VPN Profile を選びます。
8. Connection request のポップアップで OK を選びます。
9. 自動接続 ↗ を有効にしていない場合は、スイッチを手動で Connected にします。

Connected 状態になったら、デバイスはメッシュ上にあり、独自の Mesh IP を受け取ります。

Windows、macOS、または Linux のクライアントデバイスから、Mesh ノードまたは別の登録済みデバイスへの TCP 接続を確認します。たとえば SSH をテストします。

nc -vz <MESH-IP> 22

Test-NetConnection <MESH-IP> -Port 22

<MESH-IP> は Mesh 概要ページに表示される Mesh IP に置き換えます。ポート 22 はサービスが使うポートに置き換えます。モバイルブラウザーから HTTP サービスをテストできます。接続済みクライアントまたは正常なコネクタ状態だけでは、ピア接続は検証されません。使いたいアプリケーションプロトコルを検証してください。ICMP Gateway プロキシをオンにしている場合は、診断チェックとして ping <MESH-IP> も実行できます。

Mesh ノードからのトラフィックは、Gateway アクティビティログ に ID warp_connector@<your-team-name>.cloudflareaccess.com で表示されます。クライアントデバイスのトラフィックは、登録済みユーザーの ID で Gateway アクティビティログに表示されます。

ダッシュボードウィザードは、新規導入向けに次の Cloudflare One 設定を自動で構成します。ウィザードを使わない導入では、同じ設定を構成する必要があります。

自動化デプロイでは、デバイスプロファイルのドキュメントに API と Terraform の例があります。service_mode_v2 = { mode = "warp" } を設定し、一般的な例の wireguard プロトコルを tunnel_protocol = "masque" に置き換え、Split Tunnels で 100.96.0.0/12 を Cloudflare 経由にします。Mesh ノードは identity.email == "warp_connector@<TEAM_NAME>.cloudflareaccess.com" で一致させ、このプロファイルをより広いプロファイルより前に置きます。デバイス登録のドキュメントには、Terraform の登録ポリシーフローがあります。

cloudflare_zero_trust_device_settings ↗ リソースは、一意のデバイス IP と TCP / UDP の Gateway プロキシに対応しています。

resource "cloudflare_zero_trust_device_settings" "mesh" {
	account_id                        = var.cloudflare_account_id
	use_zt_virtual_ip                 = true
	gateway_proxy_enabled             = true
	gateway_udp_proxy_enabled         = true
}

Terraform リソースは Allow all Cloudflare One traffic to reach enrolled devices や ICMP Gateway プロキシを構成しません。参加者を接続する前に、ダッシュボードで登録済みデバイスへの到達性をオンにします。ping、traceroute、またはその他の ICMP ベースのワークフローが必要な場合にのみ ICMP をオンにします。

アカウントにすでに Cloudflare One の導入がある場合、セットアップウィザードは既存の構成を上書きしません。Mesh が動くように、次の設定が有効であることを確認してください。

• デバイス登録 — デバイスとノードがアカウントに登録できるように、少なくとも 1 つの 登録ルール が必要です。
• Mesh ノード向けデバイスプロファイル — Mesh ノードには、Mesh IP 範囲（100.96.0.0/12）を Cloudflare 経由でルーティングする デバイスプロファイル が必要です。Include モードでは Mesh 範囲を追加します。Exclude モードでは、カスタムまたはレガシーのエントリが Mesh 範囲を含んでいないことを確認します。
• Mesh 接続 — デバイスプロファイル設定で、Allow all Cloudflare One traffic to reach enrolled devices を有効にします。
• 一意のデバイス IP — 各参加者がルーティング可能な Mesh IP を受け取れるように、Assign a unique IP address to each device を有効にします。
• クライアントモード — Mesh ノードは Traffic and DNS モード で動かす必要があります。DNS only またはプロキシのみのモードには対応していません。
• トラフィックプロキシ — 使うプロトコル向けに Gateway プロキシ をオンにします。TCP と UDP が Mesh サービスを運びます。ICMP は ping や traceroute などの診断ツールをサポートします。

• ノードが Offline と表示される — サーバーで warp-cli status を実行します。出力に Status update: Connected が表示されない場合:
  • warp-cli connect を実行します。
  • プライベートネットワークがファイアウォールでインターネットトラフィックを制限している場合は、WARP のポートと IP を許可していることを確認します。
  • 接続失敗の理由について、WARP デーモンログ を確認します。
• クライアントデバイスが Mesh IP に到達できない — Split Tunnel 構成が Mesh IP 範囲（100.96.0.0/12）を Cloudflare 経由でルーティングしていることを確認します。詳細は クライアントデバイスを接続する を参照してください。
• Windows ファイアウォールが Mesh トラフィックをブロックする — Windows Firewall はデフォルトで 100.96.0.0/12 からの受信トラフィックをブロックします。目的のプロトコルとポート向けに、この範囲からの受信リクエストを許可するファイアウォールルールを追加します。

一般的なクライアントの問題は Cloudflare One Client のトラブルシューティング を参照してください。

• クライアントデバイスを接続する — プラットフォーム別のインストール詳細、Split Tunnel 構成、ファイアウォールの考慮事項。
• Docker / Kubernetes で実行する — Docker Compose、Kubernetes、CI/CD パイプライン向けに、Mesh ノードを Docker コンテナとしてデプロイします。
• ルートを追加する — ノード背後のサブネット全体（データベース、プリンター、その他のサーバー）を到達可能にします。
• 高可用性を有効にする — 本番の耐障害性のために複数レプリカを実行します。
• ヒントとベストプラクティス — クラウド VPC の構成、クライアントの更新、cloudflared との併用。