Cloudflare WAN（旧称 Magic WAN）オーバーレイ内の各サブネットは、一意のアドレス空間を持つ必要があります。そうしないと、Cloudflare は特定の IP アドレス宛のトラフィックをどのサイトへ送るべきかを判断できません。実務では、多くの組織が同じプライベートアドレス範囲（例: 192.168.1.0/24）を複数サイトで再利用しています。そうしたサブネットの番号を付け直す代わりに、Cloudflare One Appliance（旧称 Magic WAN Connector）上のサブネットに対して静的なネットワークアドレス変換（NAT）を有効にできます。NAT は、既存のローカルアドレスはそのままに、各サイトへオーバーレイ側で一意のプレフィックスを割り当てます。
サブネット NAT では、Appliance が次のあいだで静的な 1:1 変換を行います。
- サイト内部で使う ローカルプレフィックス。
- Cloudflare WAN オーバーレイへ広報する NAT プレフィックス。
マッピングは静的なため、Appliance はサイトからの送信接続と、Cloudflare WAN からサイトへの受信接続の両方に対応します。接続は、Cloudflare One Appliance 配下のホストから開始する必要はありません。
NAT は、同じサイズのプレフィックス同士で静的かつ 1:1 です。Appliance 上のサブネットで NAT を有効にすると、次のようになります。
- ローカルプレフィックス は、Appliance の LAN 側にあるサブネットです。
- NAT プレフィックス は、同じサイズの WAN 側プレフィックスです。
- Appliance は 2 つのプレフィックスのあいだでアドレスを 1:1 に変換します。
- サイトから Cloudflare WAN へ向かうトラフィックでは、ローカルアドレスを対応する NAT アドレスに置き換えます。
- Cloudflare WAN からサイトへ到着するトラフィックでは、NAT アドレスを対応するローカルアドレスに置き換えます。
オーバーレイ内でアドレスが重ならないように、Cloudflare WAN は次の規則を適用します。
-
LAN 内での一意性
- 各サブネットのローカルプレフィックスは、その Appliance 上のその LAN 内で一意である必要があります。
- 同じローカルプレフィックスを、別の LAN や別のサイトで再利用できます。
-
Cloudflare WAN オーバーレイ内での一意性
- すべての オーバーレイ側プレフィックス は、Cloudflare WAN 導入全体の全サイトで一意である必要があります。
- NAT を有効にした サブネットでは、オーバーレイ側プレフィックスは NAT プレフィックス です。
- NAT なし のサブネットでは、オーバーレイ側プレフィックスは ローカルプレフィックス です。
これらの規則により、Cloudflare WAN オーバーレイ内の各サブネットが一意のオーバーレイ側プレフィックスを持つ限り、複数サイトでローカル空間を再利用できます。
次のプレフィックスを使うサブネットを考えます。
- ローカルプレフィックス:
192.168.100.0/24 - NAT プレフィックス:
10.10.100.0/24
この場合:
- サイト内のアドレス
192.168.100.13のホストが Cloudflare WAN オーバーレイへトラフィックを送ると、Appliance はそのアドレスを10.10.100.13に変換します。 - 別サイトから、または Cloudflare WAN 経由の Internet から
10.10.100.13を宛先にした場合、Appliance はそのアドレスを192.168.100.13に戻します。
サブネット NAT は、Cloudflare One Appliance 上の LAN を作成または編集するときに設定します。Appliance の設定では次を行います。
- LAN 側サブネットの ローカルプレフィックス を定義します。
- 任意で、同じサイズの 静的 NAT プレフィックス を定義します。指定した場合、そのプレフィックスがそのサブネットのオーバーレイ側プレフィックスになります。
LAN を設定し、静的 NAT プレフィックスを指定する手順は、次を参照してください。