仮想ネットワークでユーザーの egress IP を切り替える

Cloudflare ダッシュボードで Networking > Routes を開きます。

Virtual networks で Create virtual network を選びます。

仮想ネットワークに名前を付けます。対応する専用 egress IP の場所に関連する名前をおすすめします。たとえば、ユーザーが米州から egress する場合は、仮想ネットワーク名を vnet-AMER にできます。

Save を選びます。

ユーザーに切り替えさせたい専用 egress IP ごとに、手順 2〜4 を繰り返します。たとえば、欧州、中東、アフリカからの egress 向けに vnet-EMEA という別の仮想ネットワークを作成できます。

専用 egress IP の 1 つに対応する 仮想ネットワーク を作成します。対応する専用 egress IP の場所に関連する名前をおすすめします。たとえば、ユーザーが米州から egress する場合は、仮想ネットワーク名を vnet-AMER にできます。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/virtual_networks" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"comment": "Virtual network to egress from the Americas",
		"is_default": false,
		"name": "vnet-AMER"
	}'

詳細は 仮想ネットワークを作成する を参照してください。

ユーザーに切り替えさせたい専用 egress IP ごとに、手順 1 を繰り返します。たとえば、欧州、中東、アフリカからの egress 向けに vnet-EMEA という別の仮想ネットワークを作成できます。

Networking > Routes を開きます。

Create route を選び、Tunnel CIDR を選びます。

10.0.0.0/8 をルーティングするトンネルを選び、ネットワークとして 10.0.0.0/8 を入力します。

Virtual network で、最初の仮想ネットワークを選びます。例: vnet-AMER

Create route を選びます。

別の仮想ネットワーク経由で 10.0.0.0/8 をルーティングするには、別の仮想ネットワーク（例: vnet-EMEA）を使い、手順 2〜5 を繰り返します。

作成した各仮想ネットワークと、各プライベートネットワークのトンネルルートについて繰り返します。

最初の仮想ネットワークをプライベートネットワークルートに割り当てます。たとえば、10.0.0.0/8 をルーティングするトンネルに vnet-AMER を割り当てます。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/$ROUTE_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"network": "10.0.0.0/8",
		"tunnel_id": "<TUNNEL_UUID>",
		"virtual_network_id": "<VNET_AMER_UUID>"
	}'

詳細は トンネルルートを更新する を参照してください。

作成した各仮想ネットワークについて、この手順を繰り返します。例:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/$ROUTE_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"network": "10.0.0.0/8",
		"tunnel_id": "<TUNNEL_UUID>",
		"virtual_network_id": "<VNET_EMEA_UUID>"
	}'

各プライベートネットワークのトンネルルートについて、手順 1〜2 を繰り返します。

Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Egress policies を開きます。

Add a policy を選びます。

ポリシーに名前を付けます。トラフィックが egress する国またはリージョンを含めることをおすすめします。

Virtual Network セレクターで仮想ネットワークを追加します。例:

Select an egress IP で Use dedicated Cloudflare egress IPs を選びます。トラフィックの egress に使う専用 IPv4 アドレスと IPv6 アドレスを選びます。

Create policy を選びます。

作成した各仮想ネットワークについて、手順 1〜6 を繰り返して別の egress ポリシーを作成します。

対応する仮想ネットワークに一致する Gateway egress ポリシーを追加します。例:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"action": "egress",
		"description": "Egress via North America by connecting to vnet-AMER",
		"enabled": true,
		"filters": [
				"egress"
		],
		"name": "Egress AMER vnet",
		"precedence": 0,
		"traffic": "net.vnet_id == <VNET_AMER_UUID>",
		"rule_settings": {
				"egress": {
						"ipv4": "<DEDICATED_IPV4_ADDRESS>",
						"ipv4_fallback": "<SECONDARY_DEDICATED_IPV6_ADDRESS>",
						"ipv6": "<DEDICATED_IPV6_ADDRESS>"
				}
		}
	}'

詳細は Zero Trust Gateway ルールを作成する を参照してください。

作成した各仮想ネットワークについて、手順 1 を繰り返して egress ポリシーを作成します。