Cloudflare One Client で RDP に接続する

Cloudflare One Client を使うと、好みの RDP クライアントで RDP サーバーに接続できます。Cloudflare Tunnel は、RDP サーバーから Cloudflare のグローバルネットワークへ、送信専用の安全な接続を作ります。そのため、サーバー（またはプライベートネットワーク内のほかのホスト）で cloudflared デーモンを実行する必要があります。ユーザーはデバイスに Cloudflare One Client をインストールし、Zero Trust 組織に登録します。リモートデバイスは、プライベートネットワーク上にいるかのように接続できます。デフォルトでは、組織に登録したすべてのデバイスが RDP サーバーに接続できます。特定のユーザーだけを許可またはブロックするには、ポリシーを作成します。

この例では、Google Cloud Platform（GCP）の仮想マシン（VM）に RDP サーバーをセットアップします。RDP 接続に対応するマシンなら、ほかでも同じ手順を使えます。

1. Google Cloud Console ↗ で 新しいプロジェクトを作成 ↗ します。
2. Compute Engine > VM instances を開きます。
3. Create instance を選択します。
4. VM インスタンスに名前を付けます（例: windows-rdp-server）。
5. VM インスタンスを設定します。
   1. Boot Disk までスクロールし、Change を選択します。
   2. Operating system で Windows Server を選択します。
   3. Desktop Experience 付きの Version を選びます（例: Windows Server 2016 Datacenter）。
6. VM が稼働したら、RDP の横のドロップダウンを開き、View gcloud command to reset password を選択します。
7. Run in Cloud Shell を選択します。
8. Cloud Shell ターミナルでコマンドを実行します。パスワードリセットの確認を求められます。
9. 自動生成されたパスワードとユーザー名を、安全な場所にコピーします。

RDP サーバーへのアクセスと設定には、任意の RDP クライアントを使えます。

Microsoft Remote Desktop でサーバーにアクセスするには、次の手順を実行します。

1. Microsoft Remote Desktop ↗ をダウンロードしてインストールします。
2. ダウンロード後、Microsoft Remote Desktop を開き、Add a PC を選択します。
3. PC name に、RDP サーバーのパブリック IP アドレスを入力します。GCP では、VM インスタンスの External IP です。
4. User account で Add User Account を選択し、自動生成されたパスワードとユーザー名を入力します。
5. Add を選択します。Microsoft Remote Desktop に PC が表示されます。
6. 基本的な接続を確認するには、追加した PC をダブルクリックします。
7. 続行するかを尋ねられたら、Continue を選択します。

これで、パブリック IP を使って RDP サーバーにリモートアクセスできます。次の手順では、プライベート IP でサーバーにアクセスするよう設定します。

1. Cloudflare ダッシュボードで Networking > Tunnels を開きます。

   Tunnels を開く ↗

2. 新しいトンネルを作成する か、既存の cloudflared トンネルを編集します。

3. Cloudflare ダッシュボードで Networking > Routes を開きます。

   Routes を開く ↗

4. Create route > Tunnel CIDR を選択します。作成したトンネルを選び、サーバーのプライベート IP または CIDR アドレスを入力します（GCP では、サーバー IP は VM インスタンスの Internal IP です）。Create route を選択します。

5. （任意）サーバーへのアクセスを細かく制御するには、Zero Trust ポリシーを設定 します。

デバイスを Cloudflare に接続するには:

1. デバイスに Cloudflare One Client をデプロイ し、Traffic and DNS mode にするか、プロキシエンドポイントを生成 して PAC ファイルをデプロイします。
2. デバイス登録ルールを作成 し、Zero Trust 組織に登録できるデバイスを決めます。

デフォルトでは、WARP は RFC 1918 空間 ↗ 向けのトラフィックを除外します。これはプライベートネットワークでよく使われ、インターネットから到達できない IP アドレスです。Cloudflare One Client が private network へトラフィックを送るには、Split Tunnels を設定し、private network の IP/CIDR が Cloudflare One Client 経由でルーティングされるようにします。

1. まず、Split Tunnels のモード が Exclude と Include のどちらになっているかを確認します。

2. モードに応じて Split Tunnel のルートを編集します。

   Exclude モードを使っている場合:

   a. private network の IP/CIDR 範囲を含む ルートを削除 します。たとえば、ネットワークが AWS のデフォルト範囲 172.31.0.0/16 を使っている場合は、172.16.0.0/12 を削除します。

   b. private network が明示的に使っていない IP/CIDR 範囲を再追加 します。上記の AWS の例では、172.16.0.0/13、172.24.0.0/14、172.28.0.0/15、172.30.0.0/16 を新たに追加します。こうすると、172.31.0.0/16 向けのトラフィックだけが Cloudflare One Client 経由になります。

   再追加する IP アドレスは、次の計算機で求められます。

   Base CIDRSubtracted CIDRs

   Calculate

   計算機の使い方

   1. Base CIDR に、Split Tunnels から削除した RFC 1918 範囲を入力します。
   2. Subtracted CIDRs に、private network が使う IP/CIDR 範囲を入力します。
   3. 計算機の結果を Split Tunnel の Exclude モードのリストに戻します。

   Cloudflare One Client に含めるプライベート IP 範囲を狭めると、ユーザーの ローカルリソースへのアクセス を壊すリスクを下げられます。

   Include モードを使っている場合:

   1. 必要な Zero Trust ドメイン または IP アドレス を Split Tunnel の include リストに追加します。
   2. private network の IP/CIDR 範囲を含める ルートを追加 します。

Cloudflare One Client を設定したあと、最初に使ったパブリック IP アドレスではなく、サーバーのプライベート IP アドレスへ RDP クライアントで接続できます。

Microsoft Remote Desktop で接続するには、次の手順を実行します。

1. Microsoft Remote Desktop を開き、Add a PC を選択します。
2. PC name に、RDP サーバーのプライベート IP アドレスを入力します。GCP では、VM インスタンスの Internal IP です。
3. User account に、RDP サーバーのユーザー名とパスワードを入力します。
4. Zero Trust 経由の接続を確認するには、追加した PC をダブルクリックします。
5. 続行するかを尋ねられたら、Continue を選択します。

これで、RDP サーバーへ安全にリモートアクセスできます。