ネットワークトラフィックを Cloudflare 経由でルーティングする主な利点は、拠点ごとに追加のハードウェアを置かなくてもセキュリティポリシーを適用できることです。IPsec トンネル、GRE トンネル、CNI、Appliance などの WAN オンランプでトラフィックが Cloudflare に届くと、複数のセキュリティサービスが最寄りの Cloudflare データセンターでインライン検査します。このページでは、WAN トラフィックにどのサービスが適用されるか、それぞれの使いどころ、組み合わせ方を説明します。
Cloudflare WAN は 3 種類のトラフィックを運び、種類ごとに適用されるセキュリティサービスが異なります。
- アウトバウンド（サイトからインターネット）: WAN 接続サイトからパブリックインターネットへのトラフィックです。たとえば、支店の従業員が Web を閲覧したり、SaaS アプリケーションにアクセスしたりする場合です。
- 東西（サイト間）: Cloudflare 経由でルーティングされる、WAN 接続拠点間のトラフィックです。たとえば、支店からデータセンター上のアプリケーションにアクセスする場合です。
- インバウンド（インターネットからサイト）: 顧客ネットワーク宛のインターネットからのトラフィックです。通常は、独自の IP プレフィックス（BYOIP）を Cloudflare 経由で広報する Magic Transit のシナリオに該当します。
Cloudflare Network Firewall は、レイヤー 3 と 4 でパケットレベルのフィルタリングを提供します。IP アドレス、ポート、プロトコルに基づいて許可またはブロックのルールを定義します。
- 適用対象: インバウンド、アウトバウンド、東西トラフィック
- 含まれるプラン: 標準機能 については、Cloudflare WAN にデフォルトで含まれます
パケットレベルでトラフィックを制御したい場合に Network Firewall を使います。たとえば、特定の IP レンジをブロックする、特定のポートに制限する、サイト間のプロトコルをフィルタリングする場合です。
Cloudflare Gateway はレイヤー 4 から 7 でトラフィックを検査し、次の 3 種類のポリシーに対応します。
- DNS ポリシー: サイトからの DNS クエリをフィルタリングし、ログに残します。WAN ネットワークの DNS リゾルバーを Gateway のリゾルバー IP に向けます。
- ネットワークポリシー: IP、ポート、プロトコル、ID 属性に基づいて、TCP、UDP、ICMP トラフィックをフィルタリングします。
- HTTP ポリシー: 脅威、コンテンツカテゴリ、アプリケーションレベルの制御のために、HTTP および HTTPS トラフィックを検査します。
HTTP 検査には TLS 復号と、クライアントデバイスへの Cloudflare ルート証明書のインストールが必要です。WAN トラフィックに対して Gateway プロキシも有効にする必要があります。
- 適用対象: アウトバウンドおよび東西トラフィック
Gateway は WAN トラフィックに対して、DNS、ネットワーク、HTTP 層をカバーする最も深い検査を提供します。詳細なセットアップは Cloudflare WAN で Cloudflare Gateway に接続する を参照してください。
Browser Isolation は、Cloudflare のネットワーク上のリモートブラウザーで Web コンテンツを実行し、ユーザーのデバイスへ視覚表現をストリーミングします。Web コードはローカルでは実行されません。
- 適用対象: アウトバウンドの Web トラフィック
- トリガー: Isolate アクションを使う Gateway HTTP ポリシー
支店のユーザーが、信頼できない、またはカテゴリ未分類の Web サイトにアクセスするとき、ローカルデバイスを Web ベースの脅威にさらしたくない場合に Browser Isolation を使います。
Data Loss Prevention（DLP） は、Social Security numbers、クレジットカード番号、カスタム正規表現などの機密データパターンについて、HTTP のアップロードとダウンロードをスキャンします。
- 適用対象: アウトバウンド HTTP トラフィック
- 必要な条件: TLS 復号を有効にした Gateway HTTP フィルタリング
検出ルールを持つ DLP プロファイルを定義し、そのプロファイルを Gateway HTTP ポリシーで参照します。ポリシーが一致すると、Gateway は転送をブロック、ログ記録、または許可できます。
CASB は、次の 2 つのモードで SaaS アプリケーションの利用状況を可視化し、制御します。
- 適用対象: SaaS アプリケーションへのアウトバウンドトラフィック
- API ベースのスキャン: SaaS アプリケーション（Google Workspace、Microsoft 365 など）に接続し、設定不備とセキュリティポスチャの問題を検出します。
- インラインの是正: Gateway HTTP ポリシーは、CASB が検出した未承認の SaaS 利用をブロックできます。たとえば、未承認のクラウドストレージへのファイルアップロードを防ぐ場合です。
AI Security Report は、組織全体の AI アプリケーション利用を可視化します。従業員がどの AI ツールを、どの頻度で使い、どのようなデータを共有しているかを示します。
AI の可視化は、独立したインラインセキュリティサービスではありません。Gateway を基盤とする分析機能です。サイトからのアウトバウンドトラフィックを Gateway が検査している必要があります。
| トラフィックのシナリオ | 推奨サービス |
|---|---|
| IP、ポート、プロトコルでサイト間トラフィックをブロックする | Network Firewall |
| 支店からの DNS クエリをフィルタリングする | Gateway DNS ポリシー |
| 支店からのマルウェアダウンロードをブロックする | Gateway HTTP ポリシー |
| インターネットへの機密データアップロードを防ぐ | DLP（Gateway HTTP ポリシー経由） |
| 支店ユーザーのリスクの高い Web 閲覧を分離する | Browser Isolation（Gateway HTTP ポリシー経由） |
| 未承認の SaaS アプリケーションを検出してブロックする | CASB + Gateway HTTP ポリシー |
| 従業員の AI ツール利用を監視する | AI Security Report（Gateway 経由） |
| 顧客所有 IP への DDoS から保護する | Network Firewall（インバウンド）+ Magic Transit |
Cloudflare ネットワーク上のトラフィックは、シングルパスの検査パイプラインを通ります。サービス間でトラフィックをバックホールする必要はありません。すべての検査は最寄りの Cloudflare データセンターで行われます。
評価順は次のとおりです。
- Network Firewall（L3/L4）: パケットレベルのルールを最初に評価します。
- Gateway（L4〜L7 プロキシ）: Network Firewall を通過したトラフィックを Gateway が検査します。Gateway 内では、DNS → Network → HTTP の順でポリシーを評価します。
- DLP、Browser Isolation、CASB: これらのサービスは Gateway HTTP ポリシー経由で起動します。1 つの HTTP ポリシーで、DLP プロファイルの参照、Isolate アクションの適用、CASB がフラグしたアプリケーションのブロックができます。
つまり、ネットワークホップやレイテンシを増やさずに、同じトラフィックフローへ複数のセキュリティサービスを重ねられます。
- Cloudflare WAN で Cloudflare Gateway に接続する: WAN トラフィックと Gateway を連携する詳細なセットアップガイドです。
- Cloudflare Network Firewall: パケットレベルのフィルタリングルールを設定します。
- SASE リファレンスアーキテクチャ: SASE プラットフォームとしての Cloudflare One の全体構成を確認します。
- WAN の移行: 従来型 WAN から Cloudflare への移行を計画します。