多くのサードパーティサービスは、接続を受け入れる前に、特定の送信元 IP アドレスを許可リストに登録する必要があります。専用エグレス IP は、アカウント専用の静的 IP アドレスです。他の Cloudflare 顧客とは共有しません。
各専用エグレス IP は、IPv4 アドレスと IPv6 範囲で構成され、どちらも特定の Cloudflare データセンターに紐づきます。Cloudflare は、異なる 2 都市に少なくとも 2 つの専用エグレス IP をアカウントへプロビジョニングします。
専用エグレス IP は、いつでも追加を依頼できます。サービスウィンドウの調整は、アカウントチームに連絡してください。
専用エグレス IP 経由でトラフィックをルーティングし始めるには、次の手順を行います。
- アカウントチームに連絡し、専用エグレス IP を取得します。
- Cloudflare ダッシュボード ↗ で、Zero Trust > Traffic policies > Traffic settings を開きます。
- Allow Secure Web Gateway to proxy traffic をオンにします。
- TCP を選びます。
- （任意）UDP を選びます。HTTP/3 トラフィックも専用 IP でエグレスできるようになります。
Gateway がプロキシするすべてのネットワークおよび HTTP トラフィックで、専用エグレス IP が有効になります。一部のトラフィックだけに専用エグレス IP を使う場合は、エグレスポリシー を参照してください。
デバイスが正しい専用エグレス IP を使っているかを確認するには、次の手順を行います。
- デバイスが Cloudflare One Client 経由で Zero Trust 組織に接続していることを確認します。
https://ipv4.icanhazip.com/を開き、デバイスの送信元 IPv4 アドレスを確認します。https://ipv6.icanhazip.com/を開き、デバイスの送信元 IPv6 アドレスを確認します。- 送信元の IPv4 および IPv6 アドレスが、専用エグレス IP と一致することを確認します。
別のオリジンに対してテストすると、IPv4 または IPv6 のいずれかが表示されることがあります。どちらのプロトコルを使うかは Gateway では制御しません。一方のプロトコルだけに対応するオリジンもあり、両方使える場合はクライアントの OS とブラウザーが決めます。たとえば Windows は、デフォルトで IPv6 を優先 ↗ します。
組織が地域インターネットレジストリから IPv4 または IPv6 アドレスをすでに所有している場合、Cloudflare 提供のアドレスではなく、それらを専用エグレス IP として使えます。IPv6 範囲の取得は、American Registry for Internet Numbers（ARIN） ↗ または Regional Internet Registry for Europe, Middle East and Central Asia（RIPE NCC） ↗ を参照してください。
IP アドレスをオンボードすると、エグレスポリシー を作成し、エグレス方法 で Use dedicated egress IPs (Cloudflare or BYOIP) を選んだときに選択肢として表示されます。BYOIP の専用エグレス IP は IP 地理位置情報 に対応していません。
詳細は Cloudflare BYOIP を参照するか、アカウントチームに連絡してください。
レジストリから割り当てられた独自の IPv4 および IPv6 アドレスがない場合は、Cloudflare の IP アドレスを専用エグレス IP として使えます。
リースされた Gateway dedicated egress IPs は、ダッシュボードの Address space > Leased IPs ↗ で確認できます。
各専用エグレス IP は、宛先 IP と宛先ポートの組み合わせごとに、最大 40,000 の同時接続をサポートします。専用エグレス IP と送信元ポートの組み合わせごとに、複数のオリジンを設定できます。
次のトラフィックタイプには、専用エグレス IP は適用されません。これらの接続は、送信元 IP ではなく、トンネル ID やアカウントコンテキストなど別の手段で識別されるため、デフォルトの共有 IP を使います。
- Cloudflare Tunnel 経由で Zero Trust に接続したプライベートネットワーク
- Cloudflare WAN 経由で Zero Trust に接続したプライベートネットワーク宛のトラフィック
- ICMP トラフィック（例:
ping）
デフォルトでは、Gateway がカスタムリゾルバーへ送る DNS クエリは、共有の Cloudflare 送信元 IP アドレスを使います。リゾルバーポリシーを設定し、これらのクエリを専用エグレス IP から送る こともできます。
トラフィックの耐障害性を高めるには、専用エグレス IP を異なる Cloudflare データセンターの場所へ割り当てます。同じ都市に複数の IP がある場合は、その都市内の別データセンターを選びます。詳細はアカウントチームに連絡してください。
専用エグレス IP を使うエグレスポリシーを作成するときは、トラフィックの耐障害性を確保するためにセカンダリ IPv4 アドレスを設定する必要があります。セカンダリ IPv4 アドレスには 0.0.0.0 を指定するか、プライマリ IPv4 アドレスとは異なる Cloudflare ロケーションを指定できます。0.0.0.0 を設定すると、Gateway はユーザーにいちばん近いロケーションへトラフィックをルーティングします。プライマリ IPv4 アドレスの物理ロケーションが使えない場合、Gateway はデフォルトの Cloudflare エグレス範囲、または指定したセカンダリロケーションへトラフィックをルーティングします。
Web サイトやサービスは、訪問者の所在地を判定するためにサードパーティの IP 地理位置情報データベースを使います。専用エグレス IP を有効にすると、Gateway はこれらのデータベースを更新し、新しい IP を正しい都市に関連付けます。更新が完了するまでは、Google 検索などが誤った地域コンテンツを表示することがあります。たとえば、インドのユーザーを米国のランディングページへ誘導します。
エグレストラフィックの地理位置は、エグレスポリシー で選んだ都市になります。エグレスポリシーに一致しないトラフィックは、最も近い専用エグレス場所がデフォルトです。データベース更新中の誤った地理位置を防ぐには、アカウントへ専用エグレス IP が割り当てられる前に キャッチオールのエグレスポリシー を作成してください。
IP 地理位置情報が更新されたかを確認するには、対応データベースのいずれかで専用エグレス IP を調べます。
対応している IP 地理位置情報データベース
ユーザーのトラフィックが Cloudflare ネットワークから物理的に出る場所は、接続が IPv4 か IPv6 かによって異なります。
| プロトコル | Cloudflare がプロキシする宛先 | 物理的なエグレス場所 | IP 地理位置情報 |
|---|---|---|---|
| IPv4 | いいえ | 専用エグレス IP のあるデータセンター | 専用エグレス IP の場所と一致します |
| IPv4 | はい | ローカル接続のデータセンター | 専用エグレス IP の場所と一致します |
| IPv6 | いいえ | ローカル接続のデータセンター | 専用エグレス IP の場所と一致します |
| IPv6 | はい | ローカル接続のデータセンター | 専用エグレス IP の場所と一致します |
IPv4 アドレスは希少のため、Cloudflare は IPv4 トラフィックを、専用アドレスがプロビジョニングされたデータセンターへ物理的にルーティングする必要があります。ユーザーは最も近い Cloudflare データセンターに接続し、Cloudflare が内部で エグレスポリシー に設定した専用エグレス場所へトラフィックを送ります。そのため、ユーザーの Cloudflare One Client 設定に表示されるデータセンターと、実際のエグレス場所が異なることがあります。
Cloudflare がプロキシするドメイン（オレンジクラウド のドメイン）を訪れる場合、パフォーマンスは向上します。この場合、IPv4 トラフィックは最もパフォーマンスの良いデータセンターから物理的にエグレスしつつ、専用エグレス場所から発信されたように見えます。
たとえば、プライマリの専用エグレス IP がロサンゼルス、セカンダリがニューヨークにあるとします。ラスベガスのユーザーには、接続先データセンターとしてラスベガスが表示されます。Cloudflare がプロキシしないサイト（グレイクラウド）の espn.com などにアクセスすると、ロサンゼルス（または一致するエグレスポリシーの都市）からエグレスします。オレンジクラウドのサイト（cloudflare.com など）にアクセスすると、ラスベガスから物理的にエグレスしますが、IP 地理位置情報はロサンゼルスになります。
IPv4 とは異なり、IPv6 トラフィックはユーザーが接続したデータセンターから物理的に出つつ、専用エグレス IP の地理位置から発信されたように見えます。IPv6 には十分なアドレス空間があるため、Cloudflare はすべての地理位置の IPv6 範囲を各データセンターへ割り当てられます。各アカウントには /64 の IPv6 範囲が割り当てられます。
上の例では、ラスベガスのユーザーはラスベガスから物理的にエグレスしますが、トラフィックの IP 地理位置情報はロサンゼルスになります。つまり次のとおりです。
| 属性 | 値 |
|---|---|
| 物理的なエグレス | ユーザーに最も近い Cloudflare データセンター（ラスベガス） |
| IP 地理位置情報 | エグレスポリシーで設定した専用エグレス IP の場所（ロサンゼルス） |
| ログ | 物理的なエグレスが別の場所（ラスベガス）でも、正しい IP 地理位置情報（ロサンゼルス）が記録されます |
いいえ。エグレス IP は 1 つのデータセンターに限定されます。
いいえ。トラフィックは、エグレス IP がプロビジョニングされたデータセンターから出ます。ユーザーが複数の地域に分散している場合は、異なるデータセンターに複数のエグレス IP を確保し、各ユーザーグループを最寄りの IP に割り当てます。
PAC ファイル 経由でプロキシしたトラフィックでも、専用エグレス IP を使えますか？
はい。ユーザーはプロビジョニングされた IP アドレス経由でエグレスします。
Cloudflare Browser Isolation と専用エグレス IP を併用するとどうなりますか？
ユーザーは最寄りのデータセンターに接続し、そこでリモートブラウザーセッションが読み込まれます。リモートブラウザーは、プロビジョニングされたエグレス IP のあるデータセンター経由でエグレスします。
専用エグレス IP は Cloudflare China Network で使えますか？
いいえ。Gateway は China Network 上の専用エグレス IP に対応していません。