Cloudflare のソース IP を設定する

Cloudflare Load Balancing などの Cloudflare サービスが Cloudflare One のプライベートネットワークへトラフィックを送るときに使う、ソース IP アドレス範囲を設定できます。このアドレス範囲を Cloudflare Source IP Prefix（API では cloudflare_source サブネット種類）と呼びます。

• IPv4 トラフィックのソースは 100.64.0.0/12 です。この範囲は設定できます。
• IPv6 トラフィックのソースは 2606:4700:cf1:5000::/64 です。この範囲は設定できません。

Cloudflare のサービスがプライベートネットワークへトラフィックを送るとき、ソース IP アドレスは戻りトラフィックのルーティング方法を決めます。オンプレミスのセキュリティデバイスがトラフィックを正しく検査できるかどうかも決まります。レガシールーティングモードでは、プライベートネットワーク向けトラフィックのソースはパブリックな Cloudflare IP です。ルーティングとセキュリティの問題を起こすことがあります。

Unified Routing を使う顧客では、プライベートネットワーク向けトラフィックのソースは、デフォルトでインターネットにルーティングされない専用のプライベート IPv4 範囲です。これにより次が保証されます。

• 対称ルーティング — 戻りトラフィックはパブリックインターネット上の非対称パスではなく、プライベートネットワーク接続上に留まります。
• ファイアウォール状態の維持 — オンプレミスのステートフルファイアウォールは、リクエストと応答の両方を見るため、接続をエンドツーエンドで追跡できます。
• セキュリティとコンプライアンス — プライベートトラフィックはセキュアなプライベートパス上に留まります。

IP の衝突を避けるため、または既存の IP Address Management 計画に合わせるため、デフォルト割り当て範囲を変更したい場合があります。

これらのソース範囲に対する応答トラフィックが、Cloudflare One 接続経由で Cloudflare に戻るよう、ネットワークにルートを設定する必要があります。

始める前に、次を確認してください。

• Cloudflare One の Unified Routing があること。アカウントが Legacy Routing を使う場合は、Unified Routing へのアップグレード方法 に従います。
• Cloudflare One Networks Write 権限があること。
• 希望する新しいネットワーク範囲が次の要件を満たすこと。
  • ネットワークは、プレフィックス長 /12 の単一 CIDR として定義する必要があります。
  • 同じアカウント内の Cloudflare One サブネットは重複できません。デフォルト割り当ては次のとおりです。
    • Cloudflare Source IPs（100.64.0.0/12）
    • Hostname Route Token IPs（デフォルトは 172.64.128.0/20。設定可能）
    • Cloudflare One Clients（100.96.0.0/12）
    • Private Load Balancers（100.112.0.0/16）
  • ソースサブネットは、Cloudflare One のルーティングテーブル内の既存ルートと一致したり、含んだりしてはいけません。ソースサブネットはスーパールート内にあっても構いません。

Cloudflare One は複数の 接続オプション に対応します。Cloudflare サービスが接続先ネットワークまたはエンドポイントをオフランプとしてリクエストを開始するとき、次のコネクターは cloudflare_source サブネットからトラフィックを受け取ります。

• Anycast トンネル: GRE、IPsec、CNI
• ソフトウェアコネクター: Cloudflare One Client と Cloudflare Mesh

Cloudflare Tunnel 経由で接続されたネットワークまたはエンドポイントは、Cloudflare ソース IP サブネットからトラフィックを受け取りません。代わりに、ソース IP アドレスは cloudflared ソフトウェアを実行しているホストのものになります。

接続を開始またはプロキシするすべての Cloudflare サービスは、Cloudflare ソース IP からトラフィックを送ります。

これには、プライベートネットワークまたはエンドポイントのオンランプからプロキシされるトラフィックも含まれます。

たとえば、Cloudflare One Client から Cloudflare Load Balancer または Gateway DNS Resolver 経由でオンランプされたトラフィックは、宛先オフランプに Cloudflare ソース IP を提示します。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/zerotrust/subnets/cloudflare_source/$ADDRESS_FAMILY" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"comment": "example_comment",
		"name": "IPv4 Cloudflare Source IPs",
		"network": "100.64.0.0/12"
	}'