ネットワークトラフィックを Cloudflare 経由にすると、拠点ごとに追加ハードウェアを置かなくてもセキュリティポリシーを適用できます。トラフィックが WAN オンランプ（IPsec トンネル、GRE トンネル、CNI、Appliance）で Cloudflare に届くと、複数のセキュリティサービスが最寄りの Cloudflare データセンターでインライン検査します。このページでは、WAN トラフィックにどのサービスが適用されるか、いつどれを使うか、どう連携するかを説明します。
Cloudflare WAN は 3 種類のトラフィックを運び、種類ごとに適用されるセキュリティサービスが異なります。
- アウトバウンド（拠点からインターネット）: WAN 接続拠点から公開インターネットへのトラフィックです。例として、支店の従業員が Web を閲覧したり、SaaS アプリケーションにアクセスしたりする場合があります。
- 東西（拠点間）: Cloudflare 経由で WAN 接続拠点同士を結ぶトラフィックです。例として、支店からデータセンター上のアプリケーションへアクセスする場合があります。
- インバウンド（インターネットから拠点）: 顧客ネットワーク宛のインターネットからのトラフィックです。通常は、自前の IP プレフィックス（BYOIP）を Cloudflare 経由で広報する Magic Transit のシナリオに該当します。
Cloudflare Network Firewall は、レイヤー 3 と 4 でパケット単位のフィルタリングを行います。IP アドレス、ポート、プロトコルに基づいて許可またはブロックのルールを定義します。
- 適用対象: インバウンド、アウトバウンド、東西トラフィック
- 含まれる範囲: Cloudflare WAN では、標準機能 がデフォルトで含まれます
パケット単位で制御したい場合に Network Firewall を使います。特定の IP 範囲のブロック、特定ポートへの制限、拠点間のプロトコルフィルタなどが該当します。
Cloudflare Gateway は、レイヤー 4 から 7 を検査し、次の 3 種類のポリシーをサポートします。
- DNS ポリシー: 拠点からの DNS クエリをフィルタし、ログに残します。WAN ネットワークの DNS リゾルバーを Gateway のリゾルバー IP に向けます。
- ネットワークポリシー: IP、ポート、プロトコル、ID 属性に基づいて TCP、UDP、ICMP トラフィックをフィルタします。
- HTTP ポリシー: HTTP および HTTPS トラフィックを、脅威、コンテンツカテゴリ、アプリケーション単位の制御について検査します。
HTTP 検査には TLS 復号と、クライアントデバイスへの Cloudflare ルート証明書のインストールが必要です。WAN トラフィック向けに Gateway プロキシも有効にしてください。
- 適用対象: アウトバウンドおよび東西トラフィック
Gateway は WAN トラフィックに対して最も深い検査を行い、DNS、ネットワーク、HTTP の各層をカバーします。詳しいセットアップは、Cloudflare WAN で Cloudflare Gateway に接続する を参照してください。
Browser Isolation は、Web コンテンツを Cloudflare ネットワーク上のリモートブラウザで実行し、画面の描画結果だけをユーザーのデバイスへストリーミングします。Web コードはローカルでは実行されません。
- 適用対象: アウトバウンドの Web トラフィック
- 起動条件: Gateway HTTP ポリシーの Isolate アクション
支店のユーザーが、信頼できないサイトやカテゴリ未分類のサイトにアクセスするとき、ローカルデバイスを Web ベースの脅威にさらしたくない場合に Browser Isolation を使います。
Data Loss Prevention (DLP) は、社会保障番号、クレジットカード番号、カスタム正規表現など、機微データのパターンについて HTTP のアップロードとダウンロードをスキャンします。
- 適用対象: アウトバウンド HTTP トラフィック
- 前提: TLS 復号を有効にした Gateway HTTP フィルタリング
検出ルールを含む DLP プロファイルを定義し、Gateway HTTP ポリシーからそのプロファイルを参照します。ポリシーが一致すると、Gateway は転送をブロック、ログ記録、または許可できます。
CASB は、次の 2 つのモードで SaaS アプリケーションの利用状況を可視化し、制御します。
- 適用対象: SaaS アプリケーション向けのアウトバウンドトラフィック
- API ベースのスキャン: SaaS アプリケーション（Google Workspace、Microsoft 365 など）に接続し、設定ミスやセキュリティ態勢の問題を検出します。
- インライン対応: Gateway HTTP ポリシーで、CASB が検出した未承認の SaaS 利用をブロックできます。未承認のクラウドストレージへのファイルアップロード防止などが該当します。
AI Security Report は、組織全体の AI アプリケーション利用を可視化します。従業員がどの AI ツールを、どの頻度で使い、どのデータを共有しているかを示します。
AI の可視化は、独立したインラインセキュリティサービスではありません。Gateway による分析機能であり、拠点からのアウトバウンドトラフィックを Gateway が検査している必要があります。
| トラフィックのシナリオ | 推奨サービス |
|---|---|
| IP、ポート、プロトコルで拠点間トラフィックをブロックする | Network Firewall |
| 支店からの DNS クエリをフィルタする | Gateway DNS ポリシー |
| 支店からのマルウェアダウンロードをブロックする | Gateway HTTP ポリシー |
| インターネットへの機微データアップロードを防ぐ | DLP（Gateway HTTP ポリシー経由） |
| 支店ユーザーの危険な Web 閲覧を分離する | Browser Isolation（Gateway HTTP ポリシー経由） |
| 未承認の SaaS アプリケーションを検出してブロックする | CASB + Gateway HTTP ポリシー |
| 従業員の AI ツール利用を監視する | AI Security Report（Gateway 経由） |
| 顧客所有 IP への DDoS から保護する | Network Firewall（インバウンド）+ Magic Transit |
Cloudflare ネットワーク上のトラフィックは、シングルパスの検査パイプラインを通ります。サービス間でトラフィックをバックホールする必要はありません。検査はすべて最寄りの Cloudflare データセンターで行われます。
評価順は次のとおりです。
- Network Firewall（L3/L4）: パケット単位のルールを最初に評価します。
- Gateway（L4〜L7 プロキシ）: Network Firewall を通過したトラフィックを Gateway が検査します。Gateway 内のポリシー順は、DNS → Network → HTTP です。
- DLP、Browser Isolation、CASB: これらのサービスは Gateway HTTP ポリシー経由で起動します。1 つの HTTP ポリシーで、DLP プロファイルの参照、Isolate アクションの適用、CASB がフラグしたアプリケーションのブロックができます。
同じトラフィックフローに複数のセキュリティサービスを重ねても、ネットワークホップやレイテンシは増えません。
- Cloudflare WAN で Cloudflare Gateway に接続する: WAN トラフィックと Gateway を連携させる詳細なセットアップです。
- Cloudflare Network Firewall: パケット単位のフィルタリングルールを設定します。
- SASE リファレンスアーキテクチャ: SASE プラットフォームとしての Cloudflare One の全体構成を確認します。
- WAN トランスフォーメーション: 従来型 WAN から Cloudflare への移行を計画します。