WARP を Cloudflare WAN（旧 Magic WAN）の オンランプ として使い、Cloudflare One Client をインストールしたユーザーデバイスから、Cloudflare Tunnel または IP レイヤーのトンネル（エニーキャスト（anycast） GRE、IPsec、または CNI）で接続した任意のネットワークへトラフィックをルーティングします。Cloudflare WAN と Cloudflare Network Firewall の連携を活用し、Cloudflare のグローバルネットワークでポリシーを適用できます。
Cloudflare One Client を Cloudflare WAN のオンランプとして使い始める前に、Zero Trust アカウント を設定する必要があります。
デバイスを Cloudflare WAN に接続すると、Cloudflare One Client から 100.96.0.0/12 範囲の仮想 IP アドレスが割り当てられます。
エニーキャスト GRE トンネルなどの背後にあるサービスから、Cloudflare One Client デバイスへパケットを戻すルートを設定します。WARP をインストールする前に、この設定を完了してください。完了していないと、インフラが Cloudflare グローバルネットワークへ正しくパケットをルーティングできず、接続に失敗します。
Cloudflare は仮想 IP（VIP）空間からデバイスへ IP アドレスを割り当てます。仮想 IP アドレスを確認するには、Cloudflare ダッシュボード ↗ を開き、Zero Trust > My Team > Devices を選びます。
宛先 IP が VIP 空間にあるパケットは、すべてトンネル経由で戻す必要があります。たとえば GRE トンネルが gre1 の 1 本だけの場合、Linux では次のコマンドでそのようなパケットをルーティングするルールを追加できます。
ip route add 100.96.0.0/12 dev gre1Zero Trust アカウントから Split Tunnels を設定し、アクセスしたいプライベート IP アドレスのトラフィックだけを含めます。
任意で、パブリック IP アドレスへの接続に使いたい IP 範囲やドメインを Split Tunnels に含めることもできます。
手動デプロイと管理デプロイのどちらを選ぶかは、組織へ Cloudflare One Client をデプロイする を参照してください。
これで、Split Tunnel 設定に指定したプライベート IP アドレスへアクセスできます。
設定をデバイスへ反映するには、少なくとも 1 台のデバイスで一度ログアウトして、再度ログインする必要があります。
Cloudflare One Client のユーザーが、すでに IPsec / GRE トンネルを設定した拠点（オフィスなど）から接続すると、Cloudflare One Client のトラフィックは二重にカプセル化されます。先に Cloudflare One Client がカプセル化し、そのあと Cloudflare WAN がカプセル化します。各オンランプ方法がそれぞれ完全な Zero Trust 保護を提供するため、この二重化は不要です。
Cloudflare One Client のトラフィックは単体ですでに保護されているので、Cloudflare WAN 側で Cloudflare One Client のトラフィックを除外し、通常の接続でインターネットへ送るように設定します。
除外すべき IP アドレスと UDP ポートは、WARP ingress IP を参照してください。
拠点に Cloudflare One Appliance（旧 Magic WAN Connector）と Cloudflare One Client をデプロイしている場合、Cloudflare One Appliance は Cloudflare One Client のトラフィックを Cloudflare WAN の IPsec トンネルではなくインターネットへ自動でルーティングします。これにより、トラフィックが二重にカプセル化されるのを防ぎます。
この新しいトラフィックを許可するには、ファイアウォールの設定が必要になることがあります。次の IP とポートを許可してください。
- Destination IPs:
162.159.193.0/24、162.159.197.0/24 - Destination ports:
443、500、1701、2408、4443、4500、8095、8443
このトピックの詳細は ファイアウォールと Cloudflare One Client を参照してください。
テストの前に、Cloudflare One Client の設定でサーバーまたはサービス向けに ドメインフォールバック を設定します。これは、Cloudflare Zero Trust がデフォルトで、ローカル解決に使う一般的なトップレベルドメインを Gateway へ送らないように除外しているためです。
直近 1 日以内にアカウントで WARP 連携を有効にした場合は、テスト前に Cloudflare One Client で一度ログアウトして、再度ログインします。
Cloudflare One Client がオンランプとして正しく動作しているかを確認するには、Cloudflare WAN 上のサーバーまたはサービスについて、完全修飾ドメイン名（FQDN） ↗ の名前解決テストを行います。デバイスを持つユーザーからテストします。
例:
nslookup <SERVER_BEHIND_CLOUDFLARE_WAN>この DNS ルックアップは、テスト対象のサーバーまたはサービスに関連する有効な IP アドレスを返すはずです。
次に、ブラウザーで WAN 上のサービスに接続できるかをテストします。WAN 上でのみアクセスできる Web ページを開きます。DNS ルックアップで使ったサーバー、または WAN 上の別のサーバーを使います。ドメイン名ではなく IP アドレスでの接続も動作するはずです。