Cloudflare One Appliance（旧称 Magic WAN Connector）のソフトウェアは、Dell Networking Virtual Edge Platform ↗ での利用が認定されています。パートナーネットワーク経由でソフトウェアをプリインストールした状態で購入でき、Cloudflare One へプラグアンドプレイで接続できます。
- Cloudflare は、TPM / Secure boot により Cloudflare One Appliance デバイスが安全であり、改ざんされていないことを保証します（Virtual Appliance には適用されません）。
- Cloudflare グローバルネットワークへの接続は安全で、すべてのトラフィックは IPsec トンネリングで暗号化されます。Cloudflare One Appliance は GCM-AES-256 暗号化の ESP-in-UDP を使います。Cloudflare は、制御プレーンに組み込んだ IKE 以外の鍵交換プロトコルを使い、TLS で保護したうえで、IPsec ESP プロトコルでデータプレーントラフィックを暗号化する鍵を確立します。Appliance バージョン 2026.2.0 以降、制御プレーンは TLS 1.3 上のハイブリッド ML-KEM（X25519MLKEM768）で耐量子保護を提供し、IPsec ESP で使うデータプレーン鍵を確立します。
- Cloudflare One Appliance は fail open をサポートしません。
- 追加のセキュリティ機能やポリシーを重ねて適用できます。これらは Cloudflare のネットワークで適用されます。
ICMP トラフィック はインターネット経由でルーティングされ、Cloudflare Gateway をバイパスします。これにより、Cloudflare One Appliance からインターネット上のリソースへ直接 ping でき、デバッグに役立ちます。
この機能では、Cloudflare One Appliance の同一物理ポート上に複数の 仮想 LAN ↗（VLAN）を構成できます。VLAN タギングは パケット ↗ に追加ヘッダーを付け、パケットが属する VLAN を識別して適切にルーティングします。これにより、同一の物理ポート上で複数のネットワークを運用できます。
WAN / LAN の VLAN ID フィールドに 0 以外の値を設定すると、VLAN タグ付きトラフィックを処理します。Cloudflare は VLAN ID を使い、Cloudflare One Appliance デバイスへ入るトラフィックを処理し、WAN / LAN 経由で出るトラフィックには設定した VLAN ID のタグを付けます。
VLAN ID は WAN と LAN の両方に設定できます。手順は ハードウェア Appliance を設定する または Virtual Appliance を設定する を参照してください。
- Primary / Secondary: 高可用性（HA）構成の Cloudflare One Appliance ペアを構成する 2 台のノードを識別します。この識別により、ノードは自分に属する設定を判別できます。たとえば LAN 設定で primary と secondary の IP を指定する場合です。この識別は Cloudflare ダッシュボードでユーザーが設定します。
- Active / Standby: HA ペアの 2 台が、選出プロセスに基づいて動的に取る状態です。任意の時点で active になるノードは 1 台だけです。
高可用性（HA）モードのサイトでは、同じ設定を 2 台のノードに複製した Cloudflare One Appliance を使います。一方の Cloudflare One Appliance が故障すると、もう一方が active ノードになり、LAN ゲートウェイ IP の設定を引き継ぎ、トラフィックを途切れなく継続できます。
LAN 設定時に、LAN リンクの 1 つを HA リンクとして設定します。このリンクでハートビートを交換し、ノードの active / standby を選出します。
状態の選出には PRIORITY パラメーターを使います。優先度が高いノードが active になり、もう一方が standby になります。優先度が同じ場合、状態マシンが自動的に一方を active に選びます。
HA ペアは非プリエンプティブモードで動作します。一度 active になったノードは、優先度がもう一方より下がらない限り active のままです。
高可用性（HA）ペアの 2 台の Cloudflare One Appliance は、1 つのサイトに属します。Cloudflare ダッシュボードで Cloudflare One Appliance を primary と secondary に指定します。
Cloudflare One Appliance のヘルスは、次の 3 つの状態のいずれかです。
- Good: すべてのヘルスパラメーターが正常です
- Degraded: 次のいずれかが当てはまります。
- 設定済みトンネルのうち少なくとも 1 つのヘルスが
DOWNです - LAN リンクのうち少なくとも 1 つが切断されています（物理的に抜けている）
- 設定済みトンネルのうち少なくとも 1 つのヘルスが
- Down: 次のいずれかが当てはまります。
- すべてのトンネルのヘルスが
DOWNです - すべての LAN インターフェイスが切断されています
- Cloudflare One Appliance のソフトウェアが正常ではありません
- すべてのトンネルのヘルスが
フェイルオーバーは、active ノードのヘルスが standby ノードより低い水準へ下がったときに発生します。たとえば GOOD から DEGRADED、または DEGRADED から DOWN です。一方の Cloudflare One Appliance が DHCP サーバーとして動作している場合、フェイルオーバー時に DHCP リースは同期されます。
フェイルオーバーが発生すると、トラフィックは新しい active ノードへ移ります。新しい active ノード上でトラフィックが完全に復旧するまで、最大 30 秒かかることがあります。
ここで WAN 接続を追加して設定します。設定した WAN ごとに IPsec トンネルが 1 本作成されます。ただし、アカウントに複数の anycast IP が設定されている場合は除きます。
アカウントに複数の anycast IP が設定されている場合（Cloudflare WAN（旧称 Magic WAN）のオンボーディング時に設定）、Cloudflare One Appliance は WAN ポートあたり最大 2 本のトンネルを自動作成します。信頼性と性能が向上し、追加の設定は不要です。
WAN が複数ある場合、それぞれに異なる優先度を付けられます。値が小さいほど優先度は高くなります。Cloudflare One Appliance は、優先度の高い WAN、より正確にはそのインターフェイス上で確立した IPsec トンネル経由でトラフィックをルーティングします。一方、同じ優先度の WAN を複数設定すると、等コストマルチパス（ECMP）ルーティング でトラフィックをそれらのリンクに分散します。
WAN 接続を複数作成すると、Cloudflare One Appliance は回線のヘルスに応じてフェイルオーバーもできます。
大容量のユースケースでは、同じ優先度で複数のトンネルを確立できます。送信トラフィックは ECMP ルーティング アルゴリズムで利用可能なすべての接続に分散され、負荷が均衡します。
アカウントに複数の anycast IP がなく、同じ WAN プロファイルに複数のトンネルが必要な場合は、WAN 接続を複数設定 します。WAN ごとに IPsec トンネルが 1 本割り当てられます。
- Interface number: ハードウェア版の Cloudflare One Appliance では、WAN に使う Ethernet ポートを指します。1 Gbps を超えるスループットが必要な場合は、SFP+ ポートのいずれかを使えます。対応ハードウェアの詳細は SFP+ ポート情報 を参照してください。
Virtual Appliance を使う場合は、仮想マシン上にセットアップした Virtual Appliance インスタンスの仮想ネットワークインターフェイスに対応させる必要があります。 - VLAN ID: Cloudflare One Appliance の同一ポート上に複数の仮想 WAN を構成できます。詳細は VLAN ID を参照してください。
- Priority: WAN インターフェイスに優先度を割り当てます。数値が小さいほど優先度は高くなります。Cloudflare が優先度を計算する方法は トラフィックステアリング を参照してください。
- Health check rate: WAN のヘルスチェック頻度を設定します。選択肢は low、mid、high です。詳細は トンネルヘルスチェックの頻度を更新する を参照してください。
- Addressing: Cloudflare One Appliance を DHCP または静的 IP 環境で動作するよう設定します。
- Interface number: ハードウェア版の Cloudflare One Appliance では、LAN に使う Ethernet ポートを指します。1 Gbps を超えるスループットが必要な場合は、SFP+ ポートのいずれかを使えます。対応ハードウェアの詳細は SFP+ ポート情報 を参照してください。
Virtual Appliance を使う場合は、仮想マシン上にセットアップした Virtual Appliance インスタンスの仮想 LAN インターフェイスに対応させる必要があります。 - VLAN ID: Cloudflare One Appliance の同一ポート上に複数の仮想 LAN を構成できます。詳細は VLAN ID を参照してください。
- Static addressing: Appliance の IP アドレッシングの種類を設定します。ユースケースに応じて、ここで LAN インターフェイスの IP アドレスを設定するか、DHCP サーバーまたは DHCP リレーを有効にします。詳細は DHCP オプション を参照してください。
- Static NAT prefix: NAT（ネットワークアドレス変換）を有効にします。任意の設定です。
- Routed subnets: レイヤー 3 ルーターの背後にある追加サブネットを設定します。詳細は ルーテッドサブネット を参照してください。
ユースケースに応じて、Cloudflare One Appliance でポリシーを定義し、LAN 間のトラフィックを構内から出さずに通すか、Cloudflare のネットワーク経由で転送して追加のセキュリティ機能を適用できます。デフォルトの動作は、すべての LAN 間トラフィックを破棄することです。これらのポリシーは特定のサブネット向けに作成でき、2 つの LAN を結びます。
詳細は ネットワークセグメンテーション を参照してください。