Cloudflare Tunnel

Cloudflare WAN（旧 Magic WAN）は、Cloudflare Tunnel と組み合わせて使えます。ネットワークとアプリケーションの間を、簡単に接続できます。

デフォルトでは、Cloudflare Gateway が、IPsec / GRE トンネル経由でルーティングされ、Cloudflare Tunnel 背後のルート宛てになる TCP、UDP、ICMP トラフィックをプロキシし、フィルタします。

Cloudflare は、プライベートネットワークのルートを最長プレフィックス一致（longest-prefix-match）で評価します。プレフィックスは、ベース IP アドレスと、ネットワーク部分を表すビット数（プレフィックス長）の組み合わせです（例: 192.168.0.0/24）。複数のルートが宛先 IP に一致する場合、Cloudflare は最も長いプレフィックス（最も具体的な一致）のルートを選びます。

たとえば、10.0.0.0/16 と 10.0.1.0/24 の両方がある場合、10.0.1.50 宛てのトラフィックは、より具体的な /24 ルートに一致します。

仮想ネットワーク 内では、各プレフィックスは Zero Trust のルーティングテーブルに 1 回だけ現れます。同じ仮想ネットワークで、同じプレフィックスを別のトンネルに向ける Zero Trust ルートは作成できません。

同じプレフィックスを別の宛先へ送るには、別の 仮想ネットワーク を使います。

Cloudflare は、Zero Trust サービス向けに次の IP 範囲を予約しています。

これらの予約範囲と重なるルートは設定しないでください。

アカウントで WAN 接続（IPsec、GRE、CNI）も使っている場合、ルート選択の動作はルーティングモードによって変わります。

詳細は、Zero Trust 接続でのルート評価 を参照してください。

最長プレフィックス一致は、デフォルトのルート選択方法です。ほかの仕組みは、ルート評価を迂回したり、補完したりできます。

Automatic Return Routing は、戻りトラフィックのルート検索を迂回します。

ARR を有効にすると、次のように動作します。

1. フロー確立時に、Cloudflare は各フローに送信元接続（トンネルまたはインターコネクト）をタグ付けします。
2. 戻りトラフィックでは、ルーティングテーブルを使わず、タグ付きの送信元接続へ直接パケットを戻します。
3. そのため、複数サイトが同じプライベート IP 範囲を使っても、NAT や VRF の設定は不要です。

ARR には Unified Routing モードが必要です。詳細は Automatic Return Routing を参照してください。

ホスト名ベースのルーティング では、Gateway DNS がホスト名を Initial resolved IPs に解決し、特定のネクストホップへ対応づけます。

Hostname Routes を有効にすると、次のように動作します。

1. Gateway DNS がホスト名を Initial resolved IP に解決します（デフォルトは 172.64.128.0/20）。
2. クライアントは、その Initial resolved IP 宛てにトラフィックを送ります。
3. Cloudflare は Initial resolved IP を調べ、実際の宛先 IP と割り当て済みネクストホップ（特定のトンネルまたはインターコネクト）を決めます。
4. トラフィックは割り当て済みネクストホップへ転送されます。ネクストホップ選択ではルート評価を使いません。

これで、宛先 IP を事前に知らなくても、非 HTTP トラフィックにホスト名ベースのポリシーを適用できます。

cloudflared トンネルが Cloudflare WAN 接続と正しく動作するか確認します。

1. 顧客構内機器の背後にあるホストから、ブラウザーを開きます。
2. Cloudflare Tunnel のプライベートネットワークルート経由で到達できる IP アドレスまたはホスト名（例: 10.1.2.3）を開きます。
3. アプリケーションが想定どおり表示されることを確認します。表示されれば、Cloudflare Tunnel は設定どおりにトラフィックを処理しています。